WhatsApp sistemlərində kritik zəiflik qlobal qazanc – təxmini 3,5 milyard nəfərin – profil məlumatlarını və telefon nömrələrini idarə etməyə imkan verib. Bu kəşf Vyanada (Avstriya) universitetinin ekspertləri ilə aparılmış tədqiqatda ətraflı təsvir edilmişdir. Alimlər pozğunluğu aşkar edib və onun 245 səviyyəsində miqyasını təyin edib.

Tədqiqat göstərib ki, zəiflikdən istifadə üçün istifadə hesablarla bağlı telefon nömrələrinə deyil, həm də profil şəkillərinə və açıq statuslara daxil olmaq mümkündür. Tətbiqin ən böyük bazarlarından biri Braziliya (təxminən 206 milyon aktiv hesab) zərərli təsirə məruz qalanlardan biri.

Meta (WhatsApp-ın ana şirkəti) problem barədə məlumatlandırılıb və 2025-ci ilin sentyabrında, tədqiqatçıların sınaq mərhələsindən bir neçə ay sonra son düzəlişləri tətbiq edib. Kiber cinayətkarlar tərəfindən geniş şəkildə istifadəyə görə istifadəyə heç bir icazə verilməsə də, tədqiqat kommunikasiya platformalarında metadata idarəetməsi ilə risklərə nəzarət edir.

Kəşfin metodologiyası

Alimlərin zəifliyinin miqyasını öyrənmək üçün istifadə edilən metod brute-force (brutal qüvvə) metodu qurulub. Proses əlavəki telefon nömrələrinin standartlarına uyğun rəqəmsallıqların avtomatik qurulmasından idi.

Braziliyada səkkiz və doqquz onların kombinasiyalar sınaqdan keçirildi ki, bütün aktiv mobil telefon xətləri məsələyə toxunsun. Bu yanaşma qlobal miqyasda on milyardlarla potensial nömrənin ilkin mənbəyi yaratmağa imkan verib.

Siyahı yaradılmış sonra tədqiqatçılar WhatsApp serverinə əlavə etmək üçün alternativ proqram təminatından istifadə edə bilərsiniz. Bu proqram saniyədə 7000-ə qədər nömrəni yoxlayaraq, hansı nömrələrin aktiv hesaba bağlı olduğunu müəyyənləşdirib.

Platformada sürətli sürəti mexanizmlər bu qədər sürətli tam məlumat toplamaq imkan verib və şəbəkə infrastrukturunu ciddi planlaşdırma ilkin olaraq planlaşdırmaya kömək edir.

Braziliyada məlumatların açıqlanmasının miqyası

Tədqiqat Braziliya bazarında 206 milyon nəfərin potensial risk altında olduğunu göstərib. Toplanmış məlumatların təhlili nəticəsində hesabların olduğunu 81,4%-nin Android, qalan 18,6%-nin iPhone cihazlarında ortaya qoyub. Bu rəqəmlər smartfon bazarının paylanmasını təsirli və zəiflədən yalnız bir əməliyyat sistemi ilə məhdudlaşmadığını, geniş üzərindəki bazasını dəyişdirdiyini göstərir.

Ən mühüm məlumatlardan biri profil şəkillərinin tam görünmə tezliyidir. Sorğuya, braziliyalı hesabların 61%-də profil şəkilləri nömrəni görən hər kəsə – buna görə də əlavə etməsə belə – görünürdü. Şəkillərlə yanaşı, məxfilik parametrləri əldə edilən status mətnləri də əldə edilib. Bu məlumat telefon nömrəsi ilə birləşən sosial mühəndislikləri və ya hədəflənmiş fişinq kampaniyaları üçün istifadə oluna bilər.

Metanın reaksiyası və alınmasın alınması tədbirləri

Tədqiqatçılarla əlaqə 2024-cü ilin sentyabrında, ilk zəiflik bildirişi göndərilir. Lakin ilkin yumşaldıcı tədbirlər yalnız 2025-ci ilin avqustunda, avstriyalı komandanın vəziyyətinin ciddiliyini bildirdikdən sonra həyata keçirilib.

Şirkət işçilərinin Bug Bounty proqramının vaxtı verdiyi töhfəni tanıyıb və tədqiqat toplanmış bütün məlumatların təsdiqi və etik protokollarına uyğun olaraq silindiyini silinib.

Edilən düzəlişlər tətbiqində gündəlik istifadəsinə təsir göstərmək nəticəsində əldə edilən məlumatların təmizlənməsi almağa yönəlib. Meta yemək ki, söhbətlərin məzmunu yuxarıdan qorunub saxlama ilə və bu zəiflikdən təsirlənməyib.

Zəifliyin və düzəlişlərin qrafiki

İlk bildirişdən tam həllə qədər təxminən bir il keçib. Vyanada universiteti ilə 2024-cü ilin sentyabrında rəsmiləşdirilmiş sistem və mesajlaşma platformasının saxlanması potensial siqnalı verilib.

2024-cü ilin dekabrından 2025-ci ilin aprelinə qədər tədqiqatçılar bir neçə dəfə sayğac testləri apararaq uğursuzluqların miqyasını müəyyən edib və ölçüb.

Meta kütləvi avtomatik axtarışlara qarşı ilk müdafiə mexanizmləri yalnız 2025-ci ilin avqustunda tətbiq edilir – ilk məlumatdan bir il sonra.

Nəhayət, 2025-ci ilin sentyabrında şirkətin profili və şəkilləri tanımayanların baxışına daha sərt şəkildə tətbiq olunan müdafiəni gücləndirib. Bütün qlobal məlumatlarla tam tədqiqat noyabr 2025-ci ildə dərc olunub və zəiflik nəticəsində məlum olub.

İstifadəçilərin məxfilik nəticələri

Mesajların bağlanması pozulmasa da, telefon nömrəsi, profil şəkli, status və aktivləşdirmə kimi metadataların alınmasının məxfilik üçün ciddi risk yaradır. Öz-özünə zərərsiz görünən bu məlumat əldə edilən insanların ətraflı profilləri üçün istifadə oluna və spam kampaniyaları, fişinq hücumları və digər kiberhücumlar üçün asan hədəfə çevrilə bilər.

Qlobal istifadəçi sayımı qeyd edirəm

Tədqiqat zamanı WhatsApp istifadəsinin bir neçə ətraflı icmalı əldə edildi. Hindistan 749 milyon aktiv hesabla ən böyük bazar kimi seçilib, ardınca İndoneziya 235 milyonla gəlir.

Braziliyada ərazi axtarışı ilə bağlı araşdırmalar aparılıb və ölkənin bütün ərazisində rəqəmsal kombinasiyaları edilib. Pik saatlarda server sorğularının həcmi saatda 100 milyon nömrəyə qədər.

Platforma yolu ilə düzəlişlər

Təhlükəsizliyi artırmaq üçün Metalamaqlı giriş modellərini daha effektiv aşkar etmək üçün daxili alqoritmlərini tənzimləmək. Bu, fəaliyyət zaman damğalarının monitorinqini və qurğusunu açıq açarlarına giriş üsulunu dəyişdirir ki, bu da gələcəkdə kütləvi məlumat toplamaq onlara qarşı əlavə qoruma səviyyəsini əlavə edir.