WhatsApp rất lớn và sự phát triển của nó một phần đến từ việc dễ dàng tìm thấy những người sử dụng dịch vụ – tất cả những gì bạn cần là số điện thoại của họ. Thật không may, điều này cũng có nghĩa là cho đến gần đây, mọi số điện thoại của người dùng WhatsApp đều có thể dễ dàng bị lấy được bởi bất kỳ ai – kể cả bất kỳ nhóm hacker bất chính nào ngoài kia.
Điều này đã được tiết lộ bởi các nhà nghiên cứu người Áo, những người có thể trích xuất số điện thoại của tất cả 3,5 tỷ người dùng WhatsApp. Và đối với khoảng 57% trong số 3,5 tỷ người dùng đó, các nhà nghiên cứu cũng có thể truy cập ảnh hồ sơ của họ và 29% khác là văn bản trên hồ sơ của họ.
Nếu bạn đang thắc mắc họ cần sử dụng thủ thuật ma thuật hack mũ đen nào, thì không. Về cơ bản, tất cả những gì họ làm là thử cộng hàng tỷ con số – giống như cách bạn làm. Bạn thêm một số và sau đó WhatsApp sẽ cho bạn biết người sử dụng số đó có tài khoản hay không, đồng thời hiển thị cho bạn ảnh hồ sơ và nội dung tài khoản của họ.
Vậy đó, đó là những gì các nhà nghiên cứu này đã làm, chỉ trên quy mô lớn, bằng cách sử dụng WhatsApp Web, giao diện dựa trên trình duyệt của dịch vụ. Họ đã có thể kiểm tra khoảng 100 triệu số điện thoại mỗi giờ vào đầu năm nay, vì mặc dù Meta, công ty mẹ của WhatsApp, đã được một nhà nghiên cứu khác cảnh báo về vấn đề này vào năm 2017 nhưng họ vẫn không làm gì được.
Rất may, các nhà nghiên cứu Áo đã thông báo cho họ về vấn đề này vào tháng 4 và đến tháng 10, công ty đã thực hiện giới hạn tỷ lệ để ngăn chặn việc phát hiện liên hệ trên quy mô lớn như vậy. Nhưng tất nhiên, điều này đã không được thực hiện trong nhiều năm, trong thời gian đó mọi loại tác nhân bất chính đều có thể khai thác hệ thống.
Về phần mình, Meta nhấn mạnh rằng tất cả dữ liệu này là “thông tin cơ bản có sẵn công khai” và ảnh cũng như văn bản hồ sơ sẽ không bị tiết lộ đối với những người dùng chọn đặt thông tin đó ở chế độ riêng tư. Công ty cũng đảm bảo với mọi người rằng họ “không tìm thấy bằng chứng nào cho thấy các tác nhân độc hại lạm dụng vectơ này” và “các nhà nghiên cứu không thể truy cập được dữ liệu không công khai”.
