На днях на конференции по информационной безопасности Black Hat 2019, которая проходила 7-8 августа в Лас-Вегасе, стало известно о новой уязвимости в популярном мессенджере WhatsApp. Она позволяет удаленно перехватывать и менять сообщения в личных и групповых чатах.
Мессенджер сегодня является, пожалуй, самым популярным мессенджером. Им пользуется больше 1,5 млрд человек по всему миру. Так что компания Facebook не зря потратила 16 млрд долларов в 2014 году, когда купила WhatsApp.
По данным самой компании, программой пользуются в 180 странах, средний пользователь проводит в ней 23 минуты. Число тех, кто запускает мессенджер хотя бы иногда растет каждый год. Только в США к 2021 году число пользователей может вырасти до 25,6 млн человек. Соответственно, дыры в безопасности могут угрожать огромному числу интернет-пользователей.
Еще в конце прошлого года исследовательская группа Check Point Security предупреждала WhatsApp о трех возможных методах атаки, использующих найденную им уязвимость.
Существует три опасности:
1) использование функции «квотирование» в групповом чате, чтобы поменять личность отправителя, даже если он не является членом группы;
2) изменить текст чужого ответа, что дает злоумышленникам шанс по распространению дезинформации, подменяя исходные сообщения;
3) отправка личного сообщения другому участнику группы, которое для всех замаскировано под публичное (поэтому при ответе оно видно всем).
На конференции Black Hat 2019 представители исследовательской группы заявили, что третья возможность атаки закрыта. Но две других по-прежнему могут использоваться для дезинформации. Правда, в самой компании WhatsApp считают, что эти уязвимости не считаются таковыми.
Чтобы показать разработчикам из WhatsApp, что опасность серьезная, исследователи создали инструмент для перехвата и подделывания сообщений.
Впрочем, все не так просто. Уязвимости имеют значение только при целенаправленной атаке. Во-первых, хакер должен находится в одной сети, что и жертва. Во-вторых, ему нужно перехватить трафик. В-третьих, нужно знать, когда перехватываемые данные могут представлять интерес для злоумышленника или его заказчиков.
Как видите, прочитать переписку Ватсап не так и просто. Равно и как взломать Ватсап. Но существуют разные уязвимости и разные инструменты по взлому. Плюс пользователи часто оставляют в интернете «следы» и личную информацию, которая облегчает злоумышленникам последующий взлом.
Кстати, еще в мае этого года Павел Дуров, основатель мессенджера Telegram, подверг критике политику WhatsApp из-за имеющихся проблем с безопасностью данных пользователей. По его словам, как только разработчики закрывают очередную дыру, как тут же появляется новая. Дуров фактически обвинил программистов в оставлении намеренно оставленных бэкдоров (возможно, из-за требований американский спецслужб). Кроме того, не публикуется исходный код, что также не говорит в пользу популярного мессенджера.