Nowe ustalenia badaczy bezpieczeństwa pokazują, że sam Twój numer telefonu może wystarczyć atakującym, aby po cichu dowiedzieć się:
- kiedy jesteś online,
- z jakiego urządzenia korzystasz,
- jakie masz wzorce aktywności.
Wszystko to bez Twojej wiedzy.
Odkrycie
Badacz bezpieczeństwa Tal Be'ery pokazał, jak WhatsApp może ujawniać wrażliwe metadane, wykorzystując wyłącznie:
👉 numer telefonu
👉 niestandardową interakcję z WhatsApp Web
Bez złośliwego oprogramowania. Bez exploita. Bez włamania w tradycyjnym rozumieniu.
„Nie łamie się tu szyfrowania — wykorzystuje się to, jak system został zaprojektowany”.
Czego mogą się dowiedzieć atakujący
Dzięki tym technikom atakujący mogą:
⏱️ Śledzić Twoją aktywność
- wykrywać, kiedy jesteś online,
- odtworzyć Twój codzienny harmonogram,
- rozpoznać rytm snu i pracy.
📱 Rozpoznawać Twoje urządzenia
- iPhone czy Android,
- korzystanie z komputera czy z telefonu,
- urządzenia połączone z Twoim kontem.
🎯 Optymalizować ataki
- wysyłać wiadomości phishingowe w „idealnym” momencie,
- dopasowywać exploity do Twojego konkretnego urządzenia,
- zwiększać skuteczność oszustw lub oprogramowania szpiegującego.
Jak działa ta technika
1. Ciche „pingi”
Atakujący mogą wysyłać ukryte wiadomości, które:
- nie pojawiają się na Twoim urządzeniu,
- mimo to wywołują potwierdzenia dostarczenia.
👉 Dzięki temu mogą zmierzyć:
- kiedy jesteś aktywny,
- jak szybko reaguje Twoje urządzenie.
2. Fingerprinting urządzeń
System szyfrowania WhatsApp przypisuje:
- unikalne klucze każdemu urządzeniu,
- identyfikatory zależne od systemu operacyjnego.
👉 Samo rozpoczęcie czatu pozwala atakującym wywnioskować:
- z jakich urządzeń korzystasz,
- ile urządzeń jest powiązanych z kontem.
Dlaczego to budzi niepokój
To nie jest luka w zabezpieczeniach w tradycyjnym sensie.
👉 To problem na poziomie projektu systemu
Szyfrowanie end-to-end chroni treść wiadomości —
ale metadane pozostają odsłonięte
Rzeczywiste zagrożenia
🕵️ Inwigilacja i profilowanie
- śledzenie zachowań użytkowników bez ich zgody,
- budowanie szczegółowych wzorców aktywności.
🎯 Phishing i oszustwa
- wysyłanie wiadomości wtedy, gdy użytkownicy są najbardziej podatni na atak,
- zwiększanie skuteczności ataków socjotechnicznych.
🧬 Ukierunkowane oprogramowanie szpiegujące
- ustalenie dokładnego typu urządzenia,
- wdrażanie dopasowanych exploitów.
🔋 Nadużywanie zasobów
- Ciągłe ciche pingi mogą:
- rozładowywać baterię,
- zużywać zasoby urządzenia.
Źródło problemu: otwarty model komunikacji
WhatsApp pozwala na to, że:
👉 Każdy może napisać do każdego (jeśli zna Twój numer)
W porównaniu z platformami takimi jak:
- LinkedIn,
- Facebook,
👉 obowiązuje tu mniej ograniczeń i mniej filtrowania
Tworzy to większą powierzchnię ataku.
Co robi Meta?
Meta wprowadziła środki zaradcze, takie jak:
- Wyciszanie połączeń od nieznanych numerów (Silence Unknown Callers),
- ograniczanie liczby żądań (rate limiting),
- blokowanie niektórych technik cichych pingów.
Jednak:
Te poprawki są stopniowe — nie fundamentalne
Większe wyzwanie
Każda nowa funkcja (ankiety, multimedia, udostępnianie lokalizacji itd.):
👉 Tworzy nowe sposoby wysyłania ukrytych sygnałów
Prowadzi to do problemu bezpieczeństwa w stylu „whack-a-mole”
Jak się chronić
1. Zachowaj ostrożność wobec nieznanych kontaktów
Ignoruj nieoczekiwane wiadomości — nawet zwykłe „Cześć”
2. Ogranicz ujawnianie swojego numeru telefonu
Jeśli to możliwe, nie udostępniaj go publicznie
3. Sprawdź ustawienia prywatności WhatsApp
Ogranicz:
- kto może widzieć Twój status,
- kto może dodawać Cię do grup.
4. Włącz zaawansowane zabezpieczenia
Korzystaj z funkcji takich jak:
- wyciszanie nieznanych dzwoniących,
- ścisłe ustawienia konta (jeśli są dostępne).
Najważniejszy wniosek
Szyfrowanie chroni Twoje wiadomości — ale nie Twoje metadane.
To badanie wskazuje na kluczową zmianę w cyberbezpieczeństwie:
👉 Atakujący nie zawsze muszą łamać systemy
👉 Czasem wystarczy, że będą je obserwować
