חוקרי האבטחה של חברת צ'ק פוינט הישראלית איתרו חולשת אבטחה בוואטסאפ שאיפשרה לגורמים זדוניים להחדיר לקבוצות הודעה שגורמת לקריסת האפליקציה. על נמת להפעיל את האפליקציה מחדש, כל החברים בקבוצה היו צריכים להסיר אותה ולהתקין מחדש, תהליך שהיה גורם למחיקת כל הנתונים בצ'ט הקבוצתי.
בחברת צ'ק פוינט העבירו את המידע לידי וואטסאפ והיא תוקנה תוך ימים ספורים. כעת ממליצים מומחים בתחום לוודא שהאפליקציה שמותקנת אצלכם מעודכנת לגרסה האחרונה.
ראש מחלקת חולשת מוצרים בצ'ק פוינט, עודד ואנונו אמר: "וואסטאפ היא אחת מאפליקציות התקשורת המובילות בעולם ולכן היכולת לעצור את השימוש בה ולהביא למחיקת הזכרון בקבוצות השיחה היא תחמושת משמעותית עבור שחקנים זדוניים". ואנונו הוסיף: "אנו ממליצים לכל צרכני האפליקציה לוודא שהיא מעודכנת בעדכון התוכנה האחרון שלה בכדי להבטיח שהם מוגנים מחולשה זו".
"התוקף היה צריך לעשות איזושהי מניפולציה על אחד הפרמטרים בפרוטוקול התקשורת של וואטסאפ", מסביר ואנונו, "וכך להחדיר לקבוצה הודעה שנראית תמימה אך בפועל משמידה לחלוטין את האפליקציה".
ואנונו מסביר איך התוקפים היו גורמים למחיקת האפליקציה: "התוצאה היא שהאפליקציה קורסת ללא הפסקה, עד שאתה מסיר אותה מהמכשיר. אם לא גיבית את הנתונים שלך בענן – כל המידע יימחק. במקרה שכן היה לך גיבוי, אם היית משחזר את המידע, ההודעה הזדונית הייתה גורמת שוב לקריסה. מה שנותר לעשות זה לזהות את הבעיה, למחוק את הקבוצה הבעייתית ולאבד את כל המידע שקשור אליה".
חולשת האבטחה התגלתה על-ידי חוקרי הסייבר דיקלה ברדה, רומן זאיקין ויערה שריקי – ולא ברור אם נעשה בה שימוש לרעה. כיום ניתן לצרף משתמשים גם בלי לקבל מהם אישור. כך, ניתן היה לכאורה ליצור קבוצה של פעילים פוליטיים המזוהים עם מפלגה מסויימת, לשלוח את ההודעה הזדונית – ולנטרל להם את הוואטסאפ ביום הבחירות.
בוואטסאפ בירכו על איתור החולשה. אהרן קרט, מהנדס תוכנה בחברה מסר: "וואטסאפ מלאת הוקרה לקהילה הטכנולוגית שמסייעת לה לשמור על אבטחה חזקה באפליקציה עבור כל משתמשיה ברחבי העולם. דיווח אחראי מסוג זה של צ'ק פוינט אפשר לנו לפתור את הנושא במהירות עוד באמצע ספטמבר. כמו כן, הוספנו אמצעי בקרה נוספים שמטרתם למנוע מאנשים להיות מצורפים לקבוצות שהם לא מעוניינים להיות בהן, וזאת כדי להימנע מתקשורת עם גורמים בלתי רצויים".
וואטסאפ היא אפליקציית המסרים הפופולרית ביותר בעולם עם יותר מ-1.5 מיליארד משתמשים. העובדה שהיא מותקנת על כל כך הרבה מכשירים הופכת אותה למטרה מועדפת על האקרים, שפועלים בכל המרץ כדי לאתר ולמכור חולשות אבטחה באפליקציה.
