WhatsApp, con más de 3.500 millones de cuentas activas a principios de 2025, es la plataforma de mensajería instantánea más grande del mundo. Su enorme base de usuarios le otorga un papel fundamental en la comunicación global.
Proceso de inicio de conversaciones
Para iniciar una conversación, los usuarios deben verificar si sus contactos están registrados en WhatsApp. Esto se logra consultando los servidores de la plataforma con los números de teléfono extraídos de la libreta de direcciones del usuario (si este ha permitido el acceso).
Vulnerabilidad a la enumeración
Esta arquitectura permite inherentemente la enumeración de números de teléfono, ya que el servicio debe permitir a los usuarios legítimos consultar la disponibilidad de sus contactos. Aunque la limitación de la velocidad de las consultas es una defensa estándar contra el abuso, en la investigación «Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy», los investigadores de la Universidad de Viena demostraron que WhatsApp sigue siendo altamente vulnerable a la enumeración a gran escala.
Estudio y hallazgos
En el estudio, pudieron sondear más de cien millones de números de teléfono por hora sin encontrar bloqueos ni limitaciones de velocidad efectivas. Los hallazgos demuestran no solo la persistencia, sino también la gravedad de esta vulnerabilidad.
Riesgos asociados a filtraciones
Los investigadores demostraron que casi la mitad de los números de teléfono expuestos en la filtración de datos de Facebook de 2021 siguen activos en WhatsApp, lo que subraya los riesgos persistentes asociados a este tipo de filtraciones.
Información macroscópica
Con los datos recopilados, también descubrieron la reutilización de ciertas claves X25519 en diferentes dispositivos y números de teléfono, lo que indica implementaciones inseguras (personalizadas) o actividad fraudulenta.
Remediación colaborativa
En el artículo también ofrecen información sobre el proceso de remediación colaborativa mediante el cual confirmaron que se había resuelto el problema subyacente de limitación de velocidad.