Исследователи собрали данные 3,5 миллиарда пользователей WhatsApp

Группа исследователей из Венского университета заявила о сборе персональных данных и изображений 3,5 миллиарда пользователей WhatsApp. Как сообщает The Register, учёные утверждают, что полученная информация «стала бы крупнейшей утечкой данных в истории, если бы не была собрана в рамках ответственно проведённого исследования».

В ходе исследования были собраны номера телефонов, временные метки, статусы «о себе», фотографии профилей и открытые ключи для сквозного шифрования. По словам исследователей, публикация этих данных «повлекла бы негативные последствия для вовлечённых пользователей».

Ключевой момент заключается в том, что метод исследования основан на функциональности самого WhatsApp. Мессенджер позволяет проверять наличие аккаунта по номеру телефона и получать некоторую публичную информацию, включая фотографии профиля. Однако пользователи могут ограничить доступ к этим данным, сделав их приватными или доступными только для контактов.

Исследователи выявили, что платформа не применяла явных ограничений на частоту запросов номеров телефонов. Это позволило австрийской команде достичь скорости проверки 100 миллионов пользователей в час и «подтвердить регистрацию 3,5 миллиарда номеров на WhatsApp (что превышает официально заявленные «более 2 миллиардов человек»)».

Любопытная деталь: 57% номеров в WhatsApp имели свободно доступные фотографии профиля, причём на двух третях из них обнаруживаются человеческие лица. Исследователи утверждают, что это можно использовать для создания обратного телефонного справочника на основе изображений пользователей.

Компания Meta, владелец WhatsApp, отреагировала на исследование внедрением защитных мер. «В этом исследовании академические учёные сгенерировали список телефонных номеров, проверили их регистрацию в WhatsApp и собрали базовую публичную информацию, которую пользователи сделали доступной для «всех», новым способом, превышающим наши предполагаемые ограничения. Мы внедрили новые меры, включая некоторые ведущие в отрасли системы защиты от сканирования, над которыми мы уже работали до этого исследования», — заявили в компании.

Конкретные изменения включают введение ограничения на частоту запросов номеров для обычных пользовательских аккаунтов (это не касается бизнес-аккаунтов), а также удаление временной метки последнего обновления при получении фотографий профиля. Также была устранена уязвимость в клиентах Android, связанная со сменой номеров телефонов.

ИИ: Это исследование наглядно демонстрирует, насколько уязвимыми могут быть даже технически защищённые платформы, когда речь идёт о массовом сборе публичных данных. Пользователям действительно стоит пересмотреть настройки конфиденциальности в мессенджерах, но в 2025 году ответственность за защиту от подобных «атак перечисления» должна лежать в первую очередь на разработчиках платформ.

* Meta, Facebook и Instagram запрещены в России.