WhatsApp, la app de mensajería que usamos a diario, ha estado en el centro de una polémica por un fallo de seguridad que expuso la información de miles de millones de usuarios. Investigadores de la Universidad de Viena y SBA Research descubrieron una forma sorprendentemente sencilla de acceder a datos sensibles de prácticamente todas las cuentas de WhatsApp a nivel mundial. ¿Qué tan grave es esto? Sigue leyendo para descubrirlo.
El fallo: Sencillez con graves consecuencias
La base del problema reside en una funcionalidad que todos conocemos: añadir un número a la agenda para saber si esa persona usa WhatsApp y ver su foto de perfil. Esta característica, pensada para la comodidad, carecía de limitaciones de velocidad y mecanismos anti-explotación, especialmente en WhatsApp Web.
Los investigadores automatizaron este proceso: generaban números válidos, consultaban a WhatsApp si tenían cuenta y descargaban los datos públicos asociados. El sistema no detectaba la actividad excesiva, permitiendo realizar 100 millones de comprobaciones por hora. En pocos meses, lograron confirmar 3.5 mil millones de cuentas activas.
¿Qué datos quedaron al descubierto?
La magnitud de la exposición es alarmante:
- Números de teléfono: El identificador personal más básico y sensible.
- Fotos de perfil y mensajes ‘info’: Un alto porcentaje de usuarios tenía su foto visible a desconocidos, y muchos mostraban información personal delicada en sus estados.
- Claves criptográficas y metadatos técnicos: Se accedió a claves públicas de cifrado, y se identificaron millones de casos de reutilización de claves, un grave problema de seguridad.
- Información sobre dispositivos vinculados: Se reveló cuántos dispositivos tenía asociada cada cuenta.
Un mapa global de riesgos
El estudio permitió crear un mapa del uso de WhatsApp en el mundo, revelando datos interesantes:
- India: 749 millones de cuentas, con un alto porcentaje mostrando foto pública.
- Brasil: 206 millones de cuentas, también con alta visibilidad de fotos.
- Estados Unidos: 137 millones de cuentas.
- Irán y China: A pesar de la prohibición de la app, se detectaron millones de cuentas activas, lo que implica un riesgo para los usuarios en esos países.
El problema de fondo: la dependencia del número de teléfono
Los investigadores señalan que el verdadero problema es el uso del número de teléfono como identificador universal. Los números son fáciles de enumerar, siguen patrones conocidos y no están diseñados para ser credenciales secretas. Esto expone a las plataformas a ataques de enumeración masiva. WhatsApp parece estar tomando medidas, probando un sistema de nombres de usuario para reducir esta dependencia.
La respuesta tardía de Meta
La vulnerabilidad fue reportada por primera vez en 2017. Meta inicialmente no la consideró un problema. No fue hasta 2025, ante la inminente publicación del estudio, que implementaron una limitación en el ritmo de consultas. Meta insiste en que la información expuesta era pública y que los mensajes permanecieron cifrados. Sin embargo, los investigadores afirman que no hubo defensas durante la extracción y que no se puede descartar que otros actores maliciosos hayan explotado el fallo antes.
Consecuencias potenciales: Más allá del spam
La reconstrucción del directorio global de WhatsApp abre la puerta a:
- Estafas y spam: Una base de datos enorme para campañas de phishing y fraudes.
- Doxxing y extorsión: Identificación de individuos, asociación con perfiles sociales y ubicación.
- Persecución estatal: Identificación de usuarios en países donde la app está prohibida.
- Robo de identidad: Cruce de datos con otras filtraciones para crear perfiles completos.
¿Qué puedes hacer para protegerte?
Aunque el fallo ya ha sido corregido, la exposición ya ocurrió. Aquí tienes algunas recomendaciones:
- Configura la privacidad de tu foto de perfil, ‘info’ y estado de conexión para que solo sean visibles para tus contactos.
- Evita compartir información personal sensible en tu estado.
- Revisa los dispositivos vinculados a tu cuenta y elimina los desconocidos.
- Desconfía de mensajes sospechosos, especialmente de números desconocidos.
- Considera usar un nombre de usuario cuando la función esté disponible.
Mantente alerta y toma medidas para proteger tu privacidad en WhatsApp. La seguridad en línea es responsabilidad de todos.
Fuente: Genbeta
Leave a Comment