Agencias / InsurgentePress, Ciudad de México.- Un especialista indio en ciberseguridad, Athul Jayaram, alerta de una nueva vulnerabilidad de seguridad en la aplicación de mensajería instantánea WhatsApp que permite encontrar números de teléfonos personales en el buscador de Google, según ha explicado en su blog.
Para encontrar los números hay que teclear en el buscador de Google el texto: site: wa.me, apareciendo miles de resultados que contienen números de móviles de personas reales de casi todo el mundo. También es posible buscar los números que provienen de un país particular añadiendo el prefijo del estado entre comillas después del texto, por ejemplo, site:wa.me “+1″‘. Según el investigador, de esta forma ha descubierto al menos 300.000 números filtrados.
El fallo de seguridad está vinculado con la función denominada ‘clic para chatear’, una herramienta que permite comenzar un chat con alguien sin necesidad de tener su número de teléfono guardado entre los contactos. Si una persona sabe el número de otro usuario o negocio que tiene una cuenta activa de WhatsApp es posible crear un enlace que permitirá comenzar un chat con esa persona. Una persona o un comercio puede generar un enlace hacia su perfil del servicio del mensajería e integrarlo en su página web.
https://twitter.com/amitbhawani/status/1269563260963033088?ref_src=twsrc%5Etfw
Sin embargo, explica Jayaram, el enlace que se genera para empezar a chatear con una persona particular no encripta su número de teléfono. Por esa razón la secuencia de las cifras aparece en el buscador y estos enlaces del clic para chatear están indexando en Google.
Los resultados de la búsqueda en la web no muestran ni el nombre ni una imagen de perfil de un usuario de la app. Sin embargo, si el usuario tiene su imagen de perfil como pública, en este caso cualquier persona podrá verla.
Según Forbes, WhatsApp ha comentado que aprecia el informe del investigador pero ha explicado que los mismos usuarios eligieron hacer público estos números. “Nuestra función de ‘clic para chatear’, que permite a los usuarios crear una URL con su número de teléfono para que cualquier usuario pueda enviarles un mensaje fácilmente, es ampliamente utilizada por pequeñas empresas y microempresas de todo el mundo para conectarse con sus clientes. Si bien apreciamos el informe de este investigador… simplemente contenía un índice de motor de búsqueda de URL que los mismos usuarios de WhatsApp eligieron hacer público. Todos los usuarios de WhatsApp, incluidas las empresas, pueden bloquear mensajes no deseados con solo un toque de un botón”, han destacado desde la empresa.
Your Whatsapp number may be leaked in the open web, they don't care do you?https://t.co/kUXHn7kmIN
— Seth Mason (@misoverstood) June 8, 2020
Riesgos y protección de datos
El peligro de estas filtraciones es que los números de los usuarios lleguen a manos de ciberdelincuentes que podrían usarlos para cometer delitos leves desde mandar mensajes spam e incluso más graves, como suplantar la identidad del usuario, rastrear sus contactos e incluso sus cuentas en otras redes sociales.
Las opciones que existen para proteger los datos sensibles en WhatsApp no son muchas. Por ello, es recomendable usar todas para evitar que los números queden totalmente descubiertos. Puedes ingresar a las opciones de seguridad/privacidad de la aplicación y seleccionar las opciones nadie o mis contactos para limitar el acceso público de la foto de perfil, estados, grupos y la hora de la última conexión. Estas medidas no solucionaran el problema de filtración, pero te brindarán más protección para que tus datos no sean visibles para aquellas personas que no estén en tus contactos.
Después de descubrir el problema, el 23 de mayo, Jayaram dijo que contactó a WhatsApp y Facebook a través de su programa de recompensas de errores. Sin embargo, Facebook le respondió que el abuso de datos solo está cubierto para las plataformas de Facebook, y no para WhatsApp.
No obstante, un portavoz de WhatsApp le dijo a Threatpost que esta aplicación sí es parte del programa de recompensas por abuso de datos.
“Si bien apreciamos el informe de este investigador y valoramos el tiempo que se tomó para compartirlo con nosotros, no calificó para una recompensa, ya que simplemente contenía un índice de URL de motores de búsqueda que los usuarios de WhatsApp eligieron para hacer público. Todos los usuarios de WhatsApp, incluidas las empresas, pueden bloquear mensajes no deseados con solo tocar un botón”, aclaró.
When you write (site:https://t.co/aj7Mr2oTOI "+91") on google many links or contacts available openly for which we can text through these links.@WhatsApp @Facebook @fbnewsroom please look into this matter.
Thanks to @amitbhawani pic.twitter.com/ejII3u8I0z— Umang verma (@creativemess21) June 7, 2020
