Pesquisadores da Universidade de Viena (Áustria), em parceria com a SBA Research, identificaram uma grave vulnerabilidade no recurso de “descoberta de contatos” do WhatsApp. Segundo o estudo, a falha permitiu a enumeração de 3,5 bilhões de números de telefone associados a contas ativas no aplicativo.

Como a brecha funcionava

• A técnica explorava a função padrão do WhatsApp que verifica se um número faz parte da plataforma ao adicioná-lo à lista de contatos.
• Por meio dessa funcionalidade, os pesquisadores conseguiram realizar mais de 100 milhões de consultas por hora, sem limitações impostas pelo WhatsApp, o que possibilitou a coleta em massa de números ativos.
• Além dos números, os especialistas obtiveram fotos de perfil de cerca de 57% dos usuários identificados e os textos do status (“about”) em 29% dos perfis.

Quais riscos isso traz

Embora os pesquisadores não tenham coletado o conteúdo das mensagens — já que as conversas continuam protegidas pela criptografia de ponta a ponta , a exposição dos números junto a metadados pode facilitar golpes, spam, phishing e até campanhas de engenharia social.

Correções adotadas

• Após a denúncia dos pesquisadores, a Meta (empresa dona do WhatsApp) implementou novas medidas de limitação de taxa (rate-limiting) para impedir que servidores façam consultas em massa sem controle.
• A equipe de pesquisadores afirmou ter deletado de forma segura todos os dados coletados durante o experimento
• O WhatsApp também destacou que não encontrou evidências de que agentes mal-intencionados tenham explorado essa vulnerabilidade de forma massiva antes da correção.

Reflexões sobre privacidade

Especialistas em segurança afirmam que esse tipo de falha reforça o risco de usar números de telefone como identificadores únicos em plataformas de mensagens. Segundo os pesquisadores da Universidade de Viena, sistemas mais privados precisariam adotar nomes de usuário ou mecanismos alternativos para reduzir essa exposição.