Un equipo de investigadores de la Universidad de Viena y SBA Research descubrió una vulnerabilidad en la API de WhatsApp que permitió obtener información personal vinculada a números de teléfono de más de 3.500 millones de usuarios.
Operación mediante consultas directas a la API
La operación se llevó a cabo mediante consultas directas a la API de WhatsApp en XMPP, aprovechando la ausencia de limitaciones de velocidad (rate limiting) en ciertos endpoints. Los investigadores utilizaron varios endpoints, entre ellos GetDeviceList, GetUserInfo, GetPrekeys y FetchPicture.
Enumeración de números de teléfono
En una primera fase, se enumeraron números de teléfono válidos de Estados Unidos (488 millones) obtenidos de la filtración de Facebook de 2021. Posteriormente, se generaron más números utilizando la librería Libphonenumber.
La operación se llevó a cabo a una velocidad de 100 millones de teléfonos por hora y en lotes de 50.000 cuentas por petición. Los investigadores desarrollaron Libphonegen, un generador de números de teléfono basado en planes de numeración definidos por la UIT y validaciones con Libphonenumber.
Resultados de la enumeración
Se generaron 646 mil millones de números para 245 países ISO 3166-1, que se redujeron a 63 mil millones tras un posprocesado. Entre diciembre de 2024 y abril de 2025, se realizaron varias rondas de enumeración contra la API de WhatsApp, confirmándose un total de 3.546.479.731 cuentas.
Datos obtenidos durante la operación
La operación se llevó a cabo desde un único servidor universitario usando cinco sesiones de autenticación. No hubo consecuencias: ninguna queja por parte de Meta, ninguna limitación a la velocidad de las peticiones y ningún mecanismo de throttling.
Más del 57 % de los usuarios tienen una imagen de perfil pública. Se ha podido extraer la biografía de al menos el 29 % de los usuarios. Un 9 % de las cuentas están marcadas como cuentas de negocios.
Países con mayor actividad en WhatsApp
Mónaco es el país con más cuentas de WhatsApp activas per cápita, seguido por Emiratos Árabes Unidos y varios países latinoamericanos. En contraste, en Etiopía y Corea del Sur esta tasa es muy baja debido a la preferencia por plataformas locales.
Se han encontrado cuentas activas en países que prohíben oficialmente el uso de WhatsApp, como China, Irán, Birmania y Corea del Norte. En Irán, donde dos de cada tres habitantes usaban WhatsApp, se levantó la prohibición en diciembre de 2024.
Descargas de imágenes de perfil
Se han descargado más de 77 millones de imágenes de perfil asociadas a números de teléfono estadounidenses, detectándose caras humanas en dos de cada tres de estas imágenes.
Respuesta de Meta
Los investigadores informaron del problema a Meta. Meta añadió limitaciones de velocidad para evitar futuros abusos.