O WhatsApp, o aplicativo de mensagens usado por 3,5 bilhões de usuários, há muito é celebrado por sua segurança e privacidade rígidas.
Mas os pesquisadores conseguiram desbloquear o aplicativo de uma forma bastante simples: adicionando os números de telefone das pessoas.
O truque, revelado em artigo publicado no Github, plataforma de software onde programadores compartilham código, mostra praticamente o número de cada usuário.
Isto equivale a uma das “maiores violações de dados da história”, disse a equipe da Universidade de Viena, na Áustria.
Meta, dona do WhatsApp, em destaque Metrô que nenhuma informação privada do usuário foi acessada e todos os números foram posteriormente excluídos.
A empresa não encontrou nenhuma evidência de que os hackers tenham “abusado” do hack.
Como os pesquisadores descobriram os números de telefone de 3,5 bilhões de pessoas?
Para enviar uma mensagem para alguém no WhatsApp, o usuário deve primeiro adicioná-la em seus contatos e o aplicativo verifica se a pessoa já possui conta.
Se o fizerem, a pessoa será adicionada à sua lista de contatos e a foto do perfil e o slogan “sobre”, se houver, serão exibidos.
Isso faz parte do recurso de descoberta de contatos do aplicativo e você deve ser capaz de pesquisar números de telefone para que funcione.
Pesquisadores de segurança da Universidade de Viena testaram a falha de segurança gerando e pesquisando automaticamente 63 bilhões de números de telefone potenciais para ver se eles tinham contas no WhatsApp.
Com isso, foram confirmados os números de telefone de 100 milhões de usuários por hora.
Os pesquisadores não abriram apenas os números de telefone: conseguiram ver as fotos de perfil de 57% dos usuários.
Para 29,3% dos utilizadores, o texto “sobre” era acessível, com alguns a partilhar informações sobre as suas opiniões religiosas e políticas ou links para outras contas de redes sociais.
O WhatsApp oferece a cada usuário dois conjuntos de chaves para manter suas mensagens seguras: uma chave pública que pode ser compartilhada com qualquer pessoa que queira criptografar uma mensagem e uma chave privada que não pode ser compartilhada e que descriptografa as mensagens.
Isso faz parte da criptografia ponta a ponta do aplicativo, uma ferramenta de segurança à prova de bisbilhoteiros que criptografa mensagens para que apenas o remetente e o destinatário possam vê-las.
Ninguém, nem mesmo o WhatsApp, pode ler mensagens.
Os pesquisadores descobriram que 2,9 milhões de instâncias de chaves públicas são reutilizadas, o que poderia prejudicar a criptografia de ponta a ponta.
Pelo menos 20 números dos EUA compartilhavam uma chave pública composta apenas por zeros.
O estudo, realizado em dezembro de 2024 e abril de 2025, gerou o conjunto de dados por meio de uma ferramenta chamada libphonegen, semelhante a uma lista telefônica.
Devo me preocupar com minha privacidade?
Marijus Briedis, CTO do software de segurança cibernética NordVPN, disse Metrô que a vulnerabilidade poderia ser usada por hackers.
“Esta questão destaca um problema fundamental da arquitetura do WhatsApp: o próprio número de telefone é a vulnerabilidade”, disse ele.
“Como o WhatsApp usa números como seu principal sistema de identidade, os invasores conseguiram investigar automaticamente bilhões deles e recuperar detalhes de perfis em uma velocidade extraordinária.
“Você não precisava hackear mensagens; bastava verificar se um número estava cadastrado e o sistema revelaria muito mais do que deveria.”
Breidis disse estar preocupado com o fato de a falha também colocar em risco as informações subjacentes a todas as mídias digitais (metadados).
Os metadados incluem endereços IP (que revelam sua localização geral e podem ser vinculados ao seu dispositivo) e quando e para quem você envia mensagens, de acordo com a política de privacidade do WhatsApp.
“Em grande escala, isto se torna uma mina de ouro para golpistas, criminosos e grupos cibernéticos com bons recursos”, acrescentou Briedis.
“A magnitude deste incidente, que poderá afetar milhares de milhões de números, deveria ser um alerta para qualquer plataforma que ainda dependa de números de telefone para identificação”.
«Os números de telefone nunca foram concebidos para serem identificadores seguros; Eles são muito públicos, muito permanentes e muito fáceis de excluir.
O estudo foi conduzido como parte do programa Bug Bounty da Meta, onde a gigante da mídia social paga pessoas para alertar a empresa sobre falhas de segurança.
gol dito Metrô recebeu 13.000 envios de bugs este ano, concedendo aproximadamente £3 milhões em recompensas por quase 800 relatórios válidos.
O estudo austríaco foi considerado uma das “maiores descobertas” já feitas pela empresa em um comunicado à imprensa na terça-feira.
Nitin Gupta, vice-presidente de engenharia do WhatsApp, agradeceu aos acadêmicos austríacos por descobrirem a “nova” falha.
Como posso manter minha conta do WhatsApp segura e protegida?
A Central de Ajuda do aplicativo afirma que existem cinco maneiras de fazer isso:
- Bloqueie e proteja bate-papos pessoais com senha, o que oculta as conversas em uma pasta “Bate-papos bloqueados”.
- Limite quem pode ver sua foto de perfil.
- Proteja sua conta com Face ID, Touch ID ou impressão digital.
- Envie mensagens de voz e multimídia como “visualizar uma vez” para que sejam excluídas posteriormente e o destinatário não possa salvá-las.
- Escolha quem pode ver seu status, a resposta do aplicativo aos Stories do Instagram, que pode ser uma imagem ou vídeo do que você está fazendo.
“Já estávamos trabalhando em sistemas anti-riscos líderes da indústria, e este estudo foi fundamental para testar o estresse e confirmar a eficácia imediata dessas novas defesas”, disse ele em comunicado ao Metrô.
“É importante ressaltar que os pesquisadores excluíram com segurança os dados coletados como parte do estudo e não encontramos nenhuma evidência de que atores mal-intencionados tenham abusado desse vetor.
“Como lembrete, as mensagens dos usuários permaneceram privadas e seguras graças à criptografia ponta a ponta padrão do WhatsApp, e os pesquisadores não tiveram acesso a nenhum dado não público”.
Entre em contato com nossa equipe de notícias enviando um e-mail para webnews@metro.co.uk.
Para mais histórias como esta, confira nossa página de notícias.
MAIS: Hackers russos ‘acessaram detalhes íntimos de milhares de casais em clínicas de fertilização in vitro em todo o Reino Unido’
MAIS: 1.300.000.000 de senhas expostas em violação histórica ligada a cibercriminosos
MAIS: Dois em cada cinco usuários de dispositivos como Fire Sticks ‘duvidosos’ foram hackeados financeiramente
