3,5 Milliarden WhatsApp-Konten ausgelesen

Wie die Wiener Forscher im Rahmen eines sogenannten Enumerationsangriffs zeigten, waren sie in der Lage, neben Profilbildern und Profilbeschreibungstexten auch Telefonnummern, öffentliche Schlüssel und Zeitstempeln abzufragen. Grund für das gigantische Datenleck war eine Sicherheitslücke in der Contact-Discovery-Funktion. Diese nutzt der Messenger-Dienst, um zu prüfen, welche Kontakte eines Users ebenfalls WhatsApp nutzen. Innerhalb einer Stunde hätten die Experten 100 Millionen Telefonnummern auslesen können. „Üblicherweise sollten nicht so viele Anfragen in so kurzer Zeit und von einer Quelle beziehungsweise von einem Ser­ver beantwortet werden. Darin lag die Sicherheitslücke, denn wir konnten quasi unbe­grenz­te Anfragen an den Server stellen und so schließlich eine weltweite Erhebung machen“, er­klärt Hauptautor Gabriel Gegenhuber von der Universität Wien. Mithilfe dieser Datenpunkte konnte das Team wiederum zusätzliche Metadaten extrahieren, die Rückschlüsse auf das Betriebs­sys­tem der Nutzer, das Alter ihres Kontos sowie die Anzahl der verbundenen Sekundärgeräte, zum Beispiel über WhatsApp Web, schließen. Nachrichteninhalte seien von dieser Sicherheitslücke nicht betroffen, da diese durch die Ende-zu-Ende-Verschlüsselung geschützt sind.

Darüber hinaus konnten die Forschenden aus Wien feststellen, dass Millionen WhatsApp-Konten in Ländern aktiv seien, in denen die Plattform offiziell verboten ist, darunter China, Iran und Myanmar. Zudem hätten die Analysten in wenigen Fällen die Wiederverwendung von krypto­grafischen Schlüsseln über verschiedene Geräte oder Telefonnummern hinweg fest­ge­stellt, was auf Schwächen in inoffiziellen WhatsApp-Clients oder betrügerische Nutzung hin­deute. Außerdem konnten sie feststellen, dass von den 3,5 Milliarden WhatsApp-Konten 81 Prozent auf Android-Geräten liefen und 19 Prozent auf iOS-Geräten.