La noticia que ha recorrido medio mundo en los últimos días hablaba de una supuesta filtración masiva en WhatsApp que habría dejado expuestos números de teléfono y fotos de miles de millones de usuarios. El mensaje corrió como la pólvora ente los usuarios de la plataforma, pero hay que explicar esta supuesta brecha de la privacidad de la app de mensajería.
La plataforma de mensajería ha saltado a la palestra para señalar que no ha habido acceso a datos privados, ni a servidores internos, ni rastro de actividad maliciosa, sino una detección temprana de un agujero de seguridad en WhatsApp.
¿Qué ha pasado con WhatsApp?
Lo que sucedió es que un grupo de investigadores de la Universidad de Viena logró recopilar 3.500 millones de números utilizando una técnica de enumeración basada en la función de búsqueda de contactos y en el sistema “Click to Chat”. No fue un ataque interno, sino una forma de automatizar consultas que explotaban ciertos límites mal ajustados.
La información era pública bajo condiciones muy concretas, pero extraída a una escala lo bastante grande como para levantar inquietud. El problema está en la mecánica de “Click to Chat”, que permite iniciar conversaciones sin guardar un número. Al generarse esos enlaces, algunos datos asociados al perfil podían quedar expuestos en URLs que ciertos buscadores indexaban.
Esto hacía posible rastrear números, fotos de perfil y nombres si se sabía dónde mirar. Pero no se trató de una filtración interna, pero sí de un diseño que facilitaba la recolección masiva.
La cuestión está en que, si un grupo académico puede recopilar miles de millones de números, un grupo de ciberdelinuentes, especializado en estas actividades, también podría hacerlo. Y disponer de bases de datos tan grandes abre la puerta a spam, intentos de phishing o suplantaciones que aprovechan la familiaridad que genera WhatsApp.
Meta responde
Meta ha salido rápido a negar que se haya producido una filtración global sino que todo forma parte de su programa de recompensas por errores. Al parecer, la investigación formaba parte de un proceso colaborativo y los investigadores no accedieron a datos privados.
Simplemente se usó la información recopilada para detectar brechas de seguridad y actuar en consecuencia. Además, desde Meta recuerdan que los mensajes de WhatsApp, siguen protegidos por cifrado de extremo a extremo y que el estudio sirvió para validar las defensas anti-scraping que estaban en desarrollo.
Nitin Gupta, vicepresidente de Ingeniería de WhatsApp, explicó que la técnica utilizada superó ciertos límites previstos para evitar enumeraciones masivas. El hallazgo permitió reforzar esas defensas de forma inmediata, demostrando que no existía una puerta abierta hacia datos internos ni un riesgo real para las conversaciones privadas, sino un funcionamiento inesperado en una herramienta de la plataforma.
Aun así, no hay que quedarse tranquilos porque sea una puerta trasera que representa un fallo de seguridad, o sea un mero comportamiento imprevisto en funciones que llevan años en marcha, la realidad es que el riesgo es evidente. Al menos, es bueno ver como las empresas tratan de minimizarlo por medio de actividades de este tipo.