Мы протестировали дыру в системе мессенджера.
WhatsApp никогда не считался безопасным мессенджером, и тому нашлось новое подтверждение.
Техподдержка WhatsApp, адрес которой support@support.whatsapp.com, удалит любой аккаунт по вашей просьбе, не проверяя, …ваш он или нет. Удивлены? Мы тоже!
В ответ на запрос «Рlease deactivate my account … (телефонный номер)» (Пожалуйста, деактивируйте мой аккаунт …), отправленный с любого адреса электронной почты, вы получите ответ, что ваша просьба будет обязательно выполнена. Просьба с указанием профиля в виде https://wa.me/... не сработает – надо знать номер телефона.
Профиль будет заблокирован, и через 30 дней – удален. Вместе с ним пропадут и все переписки.
Это выяснил эксперт по интернет-безопасности Джейк Мур (Jake Moore) и оставил отчет о проблеме в Twitter (соцсеть заблокирована в России). С помощью скриншотов Мур показал, что техподдержка не запрашивала у него никаких доказательств того, что профиль, который нужно удалить, принадлежит ему. То есть, запросы выполняются без проверок.
Джейк Мур, ИБ-эксперт:
«Злоумышленники могут очень легко деактивировать любой номер WhatsApp, в результате чего эта учетная запись не будет получать никаких сообщений, пока ее не активируют повторно. Это можно проворачивать постоянно, и, кажется, нет никакой возможности уберечься от деактивации. Это вызывает опасения, так как с любого адреса электронной почты можно деактивировать любой профиль WhatsApp одним письмом в службу поддержки WhatsApp».
Мы не очень поверили происходящему и отправили в техподдержку WhatsApp просьбу удалить профиль одного из сотрудников (выбрали его рандомно и, естественно, не сказали об этом). Автоответ, что запрос получен и будет рассмотрен, пришел сразу. Но блокировки после этого не последовало – надо ждать. Так что, как выяснилось, блокировка – дело не пары минут и даже не пары часов.
Поэтому предполагаемый плюс, что таким образом можно удалить все переписки в мессенджере, если ваш телефон оказался в чужих руках, отсутствует. За пару часов (которые прождали мы, но так и не получили ответ) все переписки вполне могут стать достоянием гласности.
Но ответ пришел через 8 часов после публикации этого материала. Оказалось, что WhatsApp уже изменил политику и требует доказательств того, что указанный номер телефона ваш:
«To move forward with your request, we need you to verify that you own this phone number. Please send us documentation, such as a copy of your phone bill or contract to verify ownership» (Чтобы продолжить выполнение вашего запроса, нам нужно, чтобы вы подтвердили, что этот номер телефона принадлежит вам. Пожалуйста, пришлите нам документацию, например копию вашего телефонного счета или договора, чтобы подтвердить право собственности).
Также служба поддержки напомнила, что международный код имеет важное значение:
«Please make sure you provided your phone number in full international format. You can learn more about international format in this article» (Пожалуйста, убедитесь, что вы указали свой номер телефона в правильном международном формате. Вы можете узнать больше о международном формате в этой статье).
То есть, брешь устранена. Условно – если только у мошенника не найдется счета за телефон или скрина договора с мобильным оператором.
Как защитить свой WhatsApp
Помочь может двухэтапная авторизация, которая есть в WhatsApp, но не активирована по умолчанию. Тогда злоумышленникам понадобится и привязанный к профилю адрес e-mail. Загвоздка только в том, что он может быть известен им.
Но повода паниковать нет. Заблокированный профиль в WhatsApp легко восстанавливается. 30 дней после блокировки сохраняются все переписки, и возобновить доступ к ним и к профилю можно простой активацией. После нее вы получите все сообщения, которые отправлялись вам в период блокировки.
Только через 30 дней аккаунт будет удален, а это значит лишь потерю переписок. Пользователь может снова быстро зарегистрироваться через СМС.
Наверное, поэтому поддержка WhatsApp не заморачивалась с проверкой того, кому принадлежит блокируемый профиль. И не будет заморачиваться с проверкой присылаемых документов.
Читайте также:
50 лучших Telegram-каналов для маркетологов
Сторис в Телеграм: какими они будут и как с ними работать
Как написать текст для чат-бота, который сработает лучше менеджера по продажам
