Μεγάλης κλίμακας κενό απορρήτου με διαρροή δεδομένων στο WhatsApp

Μεγάλης κλί­μα­κας κενό απορ­ρή­του (διαρροή δεδο­μέ­νων) στην πλατ­φόρμα WhatsApp εντό­πι­σαν ερευ­νη­τές του τομέα ασφά­λειας στην πλη­ρο­φο­ρική από το Πανε­πι­στή­μιο της Βιέννης και τo κέντρο ερευνών SBA Research, με απο­τέ­λε­σμα να απο­κτή­σουν πρό­σβαση σε 3,5 δισε­κα­τομ­μύ­ρια λογα­ρια­σμούς. Σε συνερ­γα­σία με τους ερευ­νη­τές, η ΜΕΤΑ έχει έκτοτε λάβει μέτρα περιο­ρι­σμού του προ­βλή­μα­τος.

Σύμφωνα με το πανε­πι­στή­μιο, το πρό­βλημα εντο­πί­στηκε στον μηχα­νι­σμό ανα­κά­λυ­ψης επαφών και η μελέτη «υπο­γραμ­μί­ζει τη σημασία της συνε­χούς, ανε­ξάρ­τη­της έρευνας ασφα­λείας σε ευρέως χρη­σι­μο­ποιού­με­νες πλατ­φόρ­μες επι­κοι­νω­νίας και επι­ση­μαί­νει τους κιν­δύ­νους που σχε­τί­ζο­νται με τη συγκέ­ντρωση των υπη­ρε­σιών άμεσων μηνυ­μά­των».

Τα απο­τε­λέ­σματα της έρευνας θα παρου­σια­στούν επι­σή­μως στο Συμπό­σιο Ασφά­λειας Δικτύου και Κατα­νε­μη­μέ­νων Συστη­μά­των (NDSS) το 2026.

Πώς εντο­πί­στηκε το κενό

Ο μηχα­νι­σμός ανα­κά­λυ­ψης επαφών του WhatsApp μπορεί να χρη­σι­μο­ποι­ή­σει το βιβλίο διευ­θύν­σεων ενός χρήστη προ­κει­μέ­νου να βρει άλλους χρήστες του WhatsApp με βάση τον αριθμό τηλε­φώ­νου τους. Χρη­σι­μο­ποιώ­ντας τον ίδιο υπο­κεί­μενο μηχα­νι­σμό, οι ερευ­νη­τές απέ­δει­ξαν ότι ήταν δυνατό να ανα­ζη­τη­θούν περισ­σό­τε­ροι από 100 εκα­τομ­μύ­ρια αριθμοί τηλε­φώ­νου ανά ώρα μέσω της υπο­δο­μής του WhatsApp, επι­βε­βαιώ­νο­ντας περισ­σό­τε­ρους από 3,5 δισε­κα­τομ­μύ­ρια ενερ­γούς λογα­ρια­σμούς σε 245 χώρες.

«Κανο­νικά, ένα σύστημα δεν θα έπρεπε να αντα­πο­κρί­νε­ται σε τόσο μεγάλο αριθμό αιτη­μά­των σε τόσο σύντομο χρονικό διά­στημα – ειδικά όταν προ­έρ­χο­νται από μία μόνο πηγή», εξηγεί ο επι­κε­φα­λής της έρευνας Γκά­μπριελ Γκε­γκεν­χού­μπερ από το Πανε­πι­στή­μιο της Βιέννης. «Αυτή η συμπε­ρι­φορά απο­κά­λυψε το υπο­κεί­μενο ελάτ­τωμα, το οποίο μας επέ­τρεψε να εκδώ­σουμε ουσια­στικά απε­ριό­ρι­στα αιτή­ματα στον δια­κο­μι­στή και με αυτόν τον τρόπο να αντι­στοι­χί­σουμε δεδο­μένα χρηστών παγκο­σμίως», προ­σθέ­τει.

Τα προ­σβά­σιμα στοι­χεία δεδο­μέ­νων που χρη­σι­μο­ποι­ή­θη­καν στη μελέτη είναι αυτά που είναι δημόσια για όποιον γνω­ρί­ζει τον αριθμό τηλε­φώ­νου ενός χρήστη και απο­τε­λού­νται από: αριθμό τηλε­φώ­νου, δημόσια κλειδιά, χρο­νι­κές σημάν­σεις και, εάν ορι­στούν ως δημόσια, κείμενο και εικόνα προφίλ. Από αυτά τα σημεία δεδο­μέ­νων, οι ερευ­νη­τές μπό­ρε­σαν να εξα­γά­γουν πρό­σθε­τες πλη­ρο­φο­ρίες, οι οποίες τους επέ­τρε­ψαν να συμπε­ρά­νουν το λει­τουρ­γικό σύστημα ενός χρήστη, την ηλικία του λογα­ρια­σμού, καθώς και τον αριθμό των συν­δε­δε­μέ­νων συνο­δευ­τι­κών συσκευών. Η μελέτη δείχνει ότι ακόμη και αυτή η περιο­ρι­σμένη ποσό­τητα δεδο­μέ­νων ανά χρήστη μπορεί να απο­κα­λύ­ψει σημα­ντι­κές πλη­ρο­φο­ρίες, τόσο σε μακρο­σκο­πικό όσο και σε ατομικό επίπεδο.

Στο πλαίσιο της έρευνας προ­έ­κυ­ψαν πάντως και άλλα ευρή­ματα, όπως το γεγονός ότι εντο­πί­στη­καν εκα­τομ­μύ­ρια ενεργοί λογα­ρια­σμοί WhatsApp σε χώρες όπου η συγκε­κρι­μένη πλατ­φόρμα έχει απα­γο­ρευ­τεί, όπως στην Κίνα, στο Ιράν και στην Μιανμάρ. Επι­πλέον, κατα­γρά­φη­καν στοι­χεία σχετικά με την κατα­νομή συσκευών Android (81%) έναντι συσκευών iOS (19%).

Οι ερευ­νη­τές διευ­κρι­νί­ζουν πάντως ότι η μελέτη τους δεν περιε­λάμ­βανε πρό­σβαση σε περιε­χό­μενο μηνυ­μά­των και ότι δεν δημο­σιεύ­θη­καν προ­σω­πικά δεδο­μένα, ενώ όλα τα ανα­κτη­μένα δεδο­μένα δια­γρά­φη­καν από τους ίδιους. Δια­βε­βαιώ­νουν μάλιστα ότι το περιε­χό­μενο μηνυ­μά­των του WhatsApp είναι «κρυ­πτο­γρα­φη­μένο από άκρο σε άκρο» και δεν επη­ρε­ά­στηκε σε καμία φάση της έρευνας. «Αυτή η κρυ­πτο­γρά­φηση από άκρο σε άκρο προ­στα­τεύει το περιε­χό­μενο των μηνυ­μά­των, αλλά όχι απα­ραί­τητα τα σχετικά μετα­δε­δο­μένα», εξηγεί ο Αλιόσα Γιου­ντμάιερ, επίσης από το Πανε­πι­στή­μιο της Βιέννης και τονίζει ότι «η εργασία μας δείχνει ότι, όταν τέτοια μετα­δε­δο­μένα συλ­λέ­γο­νται και ανα­λύ­ο­νται σε μεγάλη κλίμακα, μπορούν να προ­κύ­ψουν κίν­δυ­νοι για την ιδιω­τι­κό­τητα». Η έρευνα ανα­δει­κνύει επίσης ότι «ακόμη και ώριμα, ευρέως αξιό­πι­στα συστή­ματα, μπορεί να έχουν αδύναμα σημεία σχε­δια­σμού ή υλο­ποί­η­σης που έχουν συνέ­πειες στον πραγ­μα­τικό κόσμο. Δεί­χνουν ότι η ασφά­λεια και το απόρ­ρητο δεν είναι εφάπαξ επι­τεύγ­ματα, αλλά πρέπει να επα­να­ξιο­λο­γού­νται συνεχώς καθώς η τεχνο­λο­γία εξε­λίσ­σε­ται», υπο­γραμ­μί­ζει ο κ. Γκε­γκεν­χού­μπερ.

Από την πλευρά της ΜΕΤΑ, ο επι­κε­φα­λής των μηχα­νι­κών του WhatsApp Νίτιν Γκούπτα εξέ­φρασε την ευγνω­μο­σύνη της εται­ρίας στους ερευ­νη­τές του Πανε­πι­στη­μίου της Βιέννης, επι­ση­μαί­νο­ντας ότι η πλατ­φόρμα εργα­ζό­ταν ήδη κατά της συλ­λο­γής δεδο­μέ­νων. Δια­βε­βαί­ωσε επίσης ότι οι ερευ­νη­τές έχουν δια­γρά­ψει με ασφά­λεια τα δεδο­μένα που συλ­λέ­χθη­καν στο πλαίσιο της έρευνας και ότι τα μηνύ­ματα των χρηστών παρέ­μει­ναν ιδιω­τικά και ασφαλή χάρη στην κρυ­πτο­γρά­φηση της πλατ­φόρ­μας. Επι­πλέον, η έρευνα διε­ξή­χθη με αυστη­ρές ηθικές οδηγίες και τα ευρή­ματά της κοι­νο­ποι­ή­θη­καν άμεσα στο WhatsApp, το οποίο έχει έκτοτε εφαρ­μό­σει αντί­με­τρα προ­κει­μέ­νου να κλείσει το κενό ασφα­λείας που εντο­πί­στηκε.

Πηγή: skai.gr