Falla in WhatsApp consente di enumerare numeri e profili pubblici. Rate limiting dal 2025: rischi per la privacy degli utenti. 3,5 miliardi di account coinvolti.
© E. Vartanyan
Ricercatori austriaci affermano di aver individuato un problema grave in WhatsApp: il servizio, di fatto, permetteva a chiunque di raccogliere i numeri di telefono dell’intera base di 3,5 miliardi di utenti. E non servivano intrusioni: bastavano verifiche sequenziali dei numeri tramite la versione web.
WhatsApp è progettato in modo che trovare un contatto richieda solo inserire un numero di telefono. Il sistema segnala subito se l’utente è registrato e mostra eventuali dettagli pubblici del profilo. I ricercatori hanno trasformato questa funzione ordinaria in un’operazione su larga scala, automatizzando i controlli fino a verificare milioni di numeri all’ora.
Nel loro esperimento sono riusciti a raccogliere i numeri di tutti gli utenti e ad accedere alle foto profilo di circa il 57% degli account, oltre agli stati testuali di circa il 29% degli utenti: in sostanza, tutto ciò che le persone avevano lasciato visibile pubblicamente.
Il problema è rimasto irrisolto per anni: segnalazioni su una vulnerabilità simile erano arrivate agli sviluppatori già nel 2017, eppure il rate limiting è stato introdotto solo nell’ottobre 2025 — molti anni in cui gli utenti sono stati potenzialmente esposti. Per una piattaforma di queste dimensioni, la correzione è arrivata visibilmente in ritardo.
Gli sviluppatori sostengono che i dati coinvolti fossero informazioni di base già pubbliche, visibili solo nei limiti impostati dagli stessi utenti. Aggiungono di non aver trovato prove di un uso doloso della falla e che i ricercatori non hanno avuto accesso ad alcun dato privato. Una posizione che, pur comprensibile, lascia aperte domande sul costo reale di tanta facilità di accesso.