Eksperci ds. bezpieczeństwa z firmy Check Point znaleźli lukę w aplikacji WhatsApp, która pozwala na utworzenie złośliwej wiadomości grupowej, doprowadzając do awarii aplikacji wszystkich członków grupy. Komunikator ten jest bardzo popularny wśród polskich polityków. Według źródeł Wirtualnej Polski z 2018 roku, prezydent Andrzej Duda loguje się na nią niemal codziennie, korzysta z niej także premier Mateusz Morawiecki.
Zespół Check Point Research odkrył tę lukę, sprawdzając komunikację między WhatsApp a WhatsApp Web, internetową wersją aplikacji, która odzwierciedla wszystkie wiadomości wysyłane i odbierane z telefonu użytkownika. Umożliwiło to badaczom sprawdzenie parametrów używanych do komunikacji WhatsApp i manipulowanie nimi. Nowe badanie opiera się na usterce „FakesApp” odkrytej przez Check Point Research, która umożliwiała edytowanie wiadomości czatu grupowego w celu rozpowszechniania fałszywych wiadomości.
WhatsApp posiada około 1,5 miliarda użytkowników i ponad miliard grup, dzięki czemu jest najpopularniejszą aplikacją do komunikacji na całym świecie. Ponad 65 miliardów wiadomości jest codziennie wysyłanych za pośrednictwem WhatsApp. Komunikatory są bardzo popularne wśród polskich polityków. Jak informował tygodnik Newsweek w 2018 roku, z WhatsAppa korzystają m.in. Arkadiusz Mularczyk, Borys Budka, Władysław Kosiniak-Kamysz czy Sławomir Neumann. Z kolei z podobnej aplikacji o nazwie Viber komunikują się np. Jacek Żalek, Bartosz Arłukowicz czy Robert Biedroń, z Telegrama Marcin Kierwiński i Stanisław Gawłowski, a z Signala – Włodzimierz Czarzasty, Krzysztof Kwiatkowski i Marek Suski.
Check Point Research, ramię wywiadu zagrożeń firmy Check Point Software Technologies, pomógł w procesie łatania luki w komunikatorze WhatsApp, która mogła pozwolić hakerom na wysłanie złośliwego czatu grupowego, który spowodowałby awarię aplikacji wszystkich członków grupy. Aby odzyskać aplikację WhatsApp, użytkownicy musieliby ją odinstalować i zainstalować ponownie, a następnie usunąć grupę zawierającą wiadomość.
Aby utworzyć złośliwą wiadomość, która miałaby wpływ na grupę WhatsApp, „zły aktor” musiałby być członkiem grupy docelowej (WhatsApp pozwala na maksymalnie 256 użytkowników na grupę). Używając WhatsApp Web i narzędzi do debugowania swojej przeglądarki internetowej, mógłby edytować określone parametry wiadomości i wysłać edytowany tekst do grupy. Ta edytowana wiadomość spowodowałaby awarię u wszystkich członków grupy, uniemożliwiając im dostęp do wszystkich funkcji WhatsApp, dopóki nie zainstalują aplikacji ponownie i nie usuną grupy ze złośliwą wiadomością.
Oded Vanunu, szef działu badań nad lukami bezpieczeństwa produktów w firmie Check Point, powiedział: – Ponieważ WhatsApp jest jednym z wiodących na świecie kanałów komunikacji dla konsumentów, firm i agencji rządowych, możliwość uniemożliwienia korzystania z WhatsApp i usunięcie cennych informacji z czatów grupowych jest potężną bronią dla hakerów. Wszyscy użytkownicy WhatsApp powinni zaktualizować aplikację do najnowszej wersji, aby uchronić się przed tym potencjalnym atakiem.
Check Point Research przekazało swoje ustalenia WhatsAppowi 28 sierpnia 2019 r. WhatsApp potwierdził je i opracował poprawkę, aby rozwiązać problem, który jest dostępny od wersji WhatsApp 2.19.58. Użytkownicy powinni ręcznie dokonać aktualizacji swojego oprogramowania.
– WhatsApp zareagował szybko i odpowiedzialnie, by opracować zabezpieczenie przed wykorzystaniem tej luki – powiedział Oded Vanunu.
– WhatsApp bardzo ceni pracę społeczności technologicznej, w utrzymaniu silnego bezpieczeństwa dla naszych użytkowników na całym świecie – powiedział Ehren Kret, inżynier oprogramowania WhatsApp. – Dzięki odpowiedzialnemu zgłoszeniu z Check Point, szybko rozwiązaliśmy ten problem już w połowie września. Niedawno dodaliśmy również nowe elementy sterujące, aby uchronić użytkowników przed dodaniem do niechcianych grup, unikając w ten sposób komunikacji z niezaufanymi podmiotami.
