Tal Be’ery, pesquisador de segurança e cofundador da carteira de criptomoedas ZenGo, disse ter descoberto, em uma publicação no Medium, uma vulnerabilidade no WhatsApp que permite conferir os dispositivos registrados na conta de qualquer usuário.
Segundo o pesquisador, tudo o que você precisa para ver quais dispositivos uma pessoa utiliza para acessar o mensageiro da Meta é o seu número de telefone. E não para por aí: além de a pessoa não precisar tê-lo na sua lista de contatos, esse truque funciona mesmo se você já tiver sido bloqueado por ela antes.
Esse tipo de informação, verdade, não é exatamente o mais grave de ser vazado, mas ainda tem implicações importantes de privacidade. Ao TechCrunch, a especialista em segurança digital Runa Sandvik explicou que é possível que uma pessoa mal intencionada utilize desse truque para planejar um ataque.
Ao analisar a lista de aparelhos conectados, um criminoso pode, por exemplo, escolher qual plataforma focar em um possível ataque, já que algumas podem ser mais vulneráveis do que outras. Além disso, também é possível se aproveitar desse tipo de informação para aprender mais sobre os hábitos de uma pessoa e a forma como ela usa o WhatsApp.
Em seu post, Be’ery explicou que qualquer pessoa pode verificar esse tipo de informação ao inspecionar o tráfego de navegação com a ajuda alguma ferramenta de desenvolvedor em um navegador. A única coisa que ela precisa fazer é adicionar o número do seu alvo à sua lista de contatos.
Além disso, segundo ele, essa vulnerabilidade não se trata de um bug ou de uma brecha no código do serviço, e sim de uma falha no próprio projeto do mensageiro. Questionado pelo TechCrunch, Zade Alsawah, porta-voz da Meta (dona do WhatsApp), disse que o design atual do app “é o que os usuários querem e esperam”.
Costumava ser o caso em que seu telefone tinha que estar online para receber mensagens e isso resultava em limitações significativas para as pessoas. Com os múltiplos dispositivos, os usuários podem enviar e receber suas mensagens pessoais em todos os aparelhos de forma privada com criptografia de ponta a ponta — e essa é a direção que continuaremos a tomar.
Outra pessoa que criticou essa falha de projeto do WhatsApp foi Harlo Holmes, diretor da Freedom of the Press Foundation, que também trabalha com segurança digital. Segundo ele, informações como essa deveriam sempre vir acompanhadas de uma opção para torná-las 100% privadas — ponto de vista esse que é compartilhado por Be’ery.
Em outras palavras, do jeito que as coisas estão, nada há nada que você possa fazer para evitar que alguém veja os dispositivos conectados à sua conta — e, ao que tudo indica, a Meta não planeja mudar essa situação tão cedo.
A postagem de Be’ery com mais detalhes sobre a brecha pode ser conferida nessa página.
