Μια ακαδημαϊκή έρευνα αποκάλυψε ότι ένας κοινός μηχανισμός WhatsApp θα μπορούσε να χρησιμοποιηθεί για να ελέγξει, σε βιομηχανική κλίμακα, ποιοι αριθμοί έχουν λογαριασμούς στην εφαρμογή. Το αποτέλεσμα; Η συλλογή... περίπου 3.500 δισεκατομμύρια τηλεφωνικοί αριθμοίΣε αυτό που οι ίδιοι οι συγγραφείς περιγράφουν ως μια πρωτοφανή παρουσίαση αυτού του είδους δεδομένων, το έργο δημοσιεύθηκε από το εξειδικευμένο μέσο ενημέρωσης. Ενσύρματη και υπογεγραμμένο από ερευνητές του Πανεπιστημίου της Βιέννης, απέδειξε ότι ήταν αρκετό για να αυτοματοποιήσει τη λειτουργία του ανακάλυψη επαφών να επαναλάβω δισεκατομμύρια συνδυασμοί και σημειώστε ποιες επέστρεψαν έγκυρο αριθμό.
Ποια ευπάθεια αξιοποιήθηκε
Η αχίλλειος πτέρνα δεν ήταν η κρυπτογράφηση ούτε ένα εκμεταλλεύονται πολύπλοκο, αλλά η λογική του ελέγχου εάν ένα τηλέφωνο είναι σε λειτουργία. Τροφοδοτώντας αυτόν τον έλεγχο με μια τεράστια ακολουθία αριθμών, οι ερευνητές μπόρεσαν να επικυρώσουν λογαριασμούς με εξαιρετικά υψηλό ρυθμό, φτάνοντας περίπου 100 εκατομμύρια έλεγχοι ανά ώρα και να καταφέρουμε να εξαγάγουμε τα πρώτα 30 εκατομμύρια αριθμοί στις ΗΠΑ σε μόλις μισή ώρα.
Ο κύριος φορέας ήταν η έκδοση του WhatsApp για το πρόγραμμα περιήγησης, όπου τα συστήματα αντι-ελέγχουαπόξεση Αυτά τα αυτοματοποιημένα ερωτήματα δεν είχαν σταματήσει εκείνη τη στιγμή. απαρίθμηση αριθμών Η αποτελεσματικότητά του πολλαπλασιάζεται σε χώρες με προβλέψιμα προθέματα και μορφές ή όπου η υιοθέτηση υπηρεσιών είναι ευρέως διαδεδομένη.
Ποια δεδομένα παρέμειναν διαθέσιμα
Εκτός από την επικύρωση των τηλεφώνων που είχαν λογαριασμούς, η διαδικασία επέτρεπε τη συλλογή σχετικών δημόσιων μεταδεδομένων: φωτογραφίες προφίλ στο 57% των περιπτώσεων και το κείμενο κατάστασης σε ένα 29%Από τεχνικής άποψης, δεν υπήρξε παραβίαση των κρυπτογράφηση από άκρο σε άκρο, έτσι Τουλάχιστον τα προσωπικά μηνύματα δεν έχουν παραβιαστεί..
Η Meta υποστηρίζει ότι αυτό που παρουσιάζεται είναι «δημόσια διαθέσιμες βασικές πληροφορίες» και τονίζει ότι τα στοιχεία που έχουν διαμορφωθεί ως ιδιωτικά από τον χρήστη (για παράδειγμα, Διαχείριση της εικόνας προφίλ σας περιορίζεται σε επαφές) Δεν προβλήθηκεΑκόμα κι έτσι, η κλίμακα της συλλογής καθιστά αυτά τα δεδομένα πολύτιμο στόχο για καμπάνιες κοινωνικής μηχανικής.
Μια προειδοποίηση που βρίσκεται στο τραπέζι εδώ και χρόνια.
Η δυνατότητα απαρίθμησης αριθμών δεν είναι κάτι καινούργιο. Το 2017, ο ερευνητής Loran Kloeze είχε ήδη επισημάνει τον κίνδυνο αυτής της προσέγγισης και ζήτησε μέτρα για την αντιμετώπισή του. Οκτώ χρόνια αργότερα, η ομάδα της Βιέννης έφερε αυτή την ιδέα σε μεγάλη κλίμακα και απέδειξε πόσο μακριά μπορεί να φτάσει. αυτοματοποίηση ανακάλυψης επαφών εάν δεν υπάρχουν τα κατάλληλα φρένα.
Οι συγγραφείς δήλωσαν ότι ειδοποίησαν το Meta μέσω του προγράμματος bug bounty και ότι Διέγραψαν τη βάση δεδομένων μετά τις δοκιμές. Η μελέτη σημειώνει επίσης ότι, όταν αυτές οι εκθέσεις παρατείνονται με την πάροδο του χρόνου, ορισμένες από τις πληροφορίες παραμένουν χρήσιμες χρόνια αργότερα.
Meta απάντηση και τρέχουσα κατάσταση
Το WhatsApp υποδεικνύει ότι ήδη εργαζόταν πάνω σε αντι-άμυνεςαπόξεση και ότι, ως αποτέλεσμα της έρευνας, ενίσχυσε το περιορισμός συχνότητας για την αποφυγή μαζικών απαριθμήσεων. Η εταιρεία ισχυρίζεται ότι δεν βρήκε κανένα στοιχεία κακοποίησης από κακόβουλους παράγοντες μέσω αυτού του φορέα και τονίζει ότι η κρυπτογράφηση από άκρη σε άκρη Παρέμεινε άθικτο.
(ΑΡΧΕΙΑ) Μια φωτογραφία δείχνει το λογότυπο του αμερικανικού ομίλου τεχνολογίας Meta κατά τη διάρκεια της έκθεσης Vivatech για νεοσύστατες επιχειρήσεις τεχνολογίας και καινοτομίας στο εκθεσιακό κέντρο Porte de Versailles στο Παρίσι, στις 14 Ιουνίου 2023. Ο επικεφαλής τεχνολογίας της Meta σπεύδει να αντικρούσει τους ισχυρισμούς ότι η εταιρεία έχει μείνει πίσω από ανταγωνιστές όπως το ChatGPT στην εκρηκτική άνοδο της γενετικής τεχνητής νοημοσύνης σε ολόκληρο τον τεχνολογικό κλάδο. «Η πλειοψηφία του παγκόσμιου πληθυσμού θα έχει την πρώτη της εμπειρία γενετικής τεχνητής νοημοσύνης μαζί μας», δήλωσε ο Andrew «Boz» Bosworth στο AFP στο πρόσφατο συνέδριο Connect της εταιρείας για προγραμματιστές. Η εταιρεία που κατέχει το Facebook και το Instagram έχει θεωρηθεί ως υστερούντες ανταγωνιστές όπως η Microsoft και η Google, οι οποίες έχουν προωθήσει προϊόντα γενετικής τεχνητής νοημοσύνης και έχουν επενδύσει σημαντικά στην τεχνολογία που θεωρείται δύναμη έτοιμη να διαμορφώσει το μέλλον. (Φωτογραφία από ALAIN JOCARD / AFP)
Σύμφωνα με τους ερευνητές, η ειδοποίηση έγινε πριν από μήνες και οι νέες άμυνες αναπτύχθηκαν στη συνέχεια. Το ανοιχτό ερώτημα είναι εάν, πέρα από το περιορισμό ποσοστών, ο σχεδιασμός βασίζεται στον αριθμό τηλεφώνου ως κύριο αναγνωριστικό στοιχείο (για παράδειγμα, σε αντίθεση με το ονόματα χρηστών) είναι βιώσιμο μακροπρόθεσμα.
Πιθανοί κίνδυνοι που σχετίζονται με αυτήν την ευπάθεια
Μια τεράστια λίστα με αριθμούς τηλεφώνου που σχετίζονται με λογαριασμούς, με φωτογραφίες και κατάσταση σε πολλές περιπτώσεις, Διευκολύνει πολύ πιο ακριβείς επιθέσειςΜεταξύ των πιθανών σεναρίων, ξεχωρίζουν οι ακόλουθοι κίνδυνοι:
- Κοινωνική μηχανική και στοχευμένες απάτεςΟ συνδυασμός αριθμού, φωτογραφίας και κειμένου κατάστασης επιτρέπει την πιο αξιόπιστη εξατομίκευση των απατήσεων και των πλαστοπροσωπιών.
- Doxxing και παρενόχλησηΗ αναγνώριση ατόμων με βάση τα δεδομένα που εκτίθενται στο προφίλ αυξάνει την πιθανή βλάβη.
- Έκθεση σε χώρες με περιορισμούςΌπου η χρήση της εφαρμογής θα μπορούσε να οδηγήσει σε κυρώσεις, η απλή επιβεβαίωση ότι ένας αριθμός βρίσκεται στο WhatsApp προσθέτει κίνδυνο.
- Επιμονή με την πάροδο του χρόνουΜερικοί από τους αριθμούς που υπήρχαν σε προηγούμενες διαρροές εξακολουθούν να είναι ενεργοί, γεγονός που παρατείνει τη χρησιμότητα αυτών των βάσεων δεδομένων για μελλοντικές καμπάνιες.
Πώς να προστατεύσετε τον λογαριασμό σας τώρα
Δεν είναι δυνατό να αποκρύψετε τον αριθμό σας από όσους τον γνωρίζουν ήδη, αλλά μπορείτε να μειώσετε τη συσχέτισή του με στοιχεία ταυτοποίησης. Η προσαρμογή της ορατότητας του προφίλ σας περιορίζει την αξία της μελλοντικής αρίθμησης και περιπλέκει τη διαδικασία. προσαρμογή επίθεσηςΑκολουθήστε αυτά τα βήματα αν θέλετε να «προστατεύσετε» καλύτερα τον λογαριασμό σας:
- Άνοιγμα WhatsApp ρυθμίσεις και πατήστε Απόρρητο.
- En Εικόνα προφίλ e Πληροφορίες.Επιλέξτε "Οι επαφές μου" (ή "Κανείς" αν προτιμάτε μέγιστη προστασία προσωπικών δεδομένων).
- Αποφύγετε την συμπερίληψη συνδέσμων ή ευαίσθητων δεδομένων στο κείμενο κατάστασης.
- Ενεργοποιήστε το επαλήθευση σε δύο βήματα Και να είστε επιφυλακτικοί με μηνύματα που ζητούν κωδικούς ή χρήματα, ακόμα κι αν φαίνονται φιλικά.