WhatsApp : une faille a exposé 3,5 milliards de numéros de téléphone, la France n’est pas épargnée

Cependant, l’app pourrait bien devoir répondre de ses responsabilités. L’app de Meta a été victime d’une faille d’une ampleur exceptionnelle, d’autant plus inquiétante qu’elle est d’une simplicité déconcertante à exploiter.

Cette vulnérabilité permettait d’aspirer jusqu’à 3,5 milliards de données liées aux users, et cela inclut les numéros de téléphone, photos de profil ou encore statuts personnels. Wired révèle que cette faille ne nécessite aucune compétence de hacker aguerri.

C’est une équipe de l’université de Vienne qui l’a identifiée, avant de publier ses travaux sur GitHub. Ces derniers se sont appuyés sur la fonctionnalité permettant de vérifier si un numéro est associé à un compte WhatsApp.

Puis, ils ont testé toutes les combinaisons possibles. Une opération qui leur a permis d’identifier en masse les numéros liés à des comptes actifs.

Les résultats donnent le vertige. Les chercheurs expliquent avoir pu collecter jusqu’à 100 millions de numéros en une seule heure, sans rencontrer la moindre limite technique.

Les users de WhatsApp en danger

WhatsApp ne bloquait en effet aucune requête, même lorsque le volume de vérifications atteignait des niveaux manifestement aberrants. Selon eux, si des hackeurs s’étaient emparés de cette faille, elle aurait pu devenir la plus grande fuite de données au monde.

Meta affirme avoir corrigé le problème en octobre 2024, plusieurs mois après sa découverte, en renforçant simplement les limites de vérification. Mais l’étude montre que cette vulnérabilité était accessible depuis au moins 2017.

À l’époque déjà, le chercheur Loran Kloeze avait tiré la sonnette d’alarme. Mais Meta avait minimisé l’enjeu, estimant que les utilisateurs pouvaient se protéger en rendant leur profil privé.

La fuite ne se limitait pas aux numéros. Selon l’étude, 57 % des users actifs ont vu leur photo de profil ouverte. Et rien qu’en France, près de 54 millions de numéros ont pu être récupérés.

L’Inde et l’Indonésie sont les pays les plus touchés, ce qui vaut à eux seuls près d’un milliard de numéros compromis. Plus préoccupant encore, d’autres failles ont fait l’objet d’une id, dont des clés de chiffrement similaires entre plusieurs comptes.

Les chercheurs regardent des app WhatsApp non officielles, souvent créées par des groupes dangereux. Ils s’appuient pour cela sur la présence de 2,3 millions de numéros chinois dans leur récolte, alors que l’app est officiellement interdite en Chine.