WhatsApp, que contaba con 3.500 millones de cuentas activas a principios de 2025, se posiciona como la plataforma de mensajería instantánea más grande a nivel global. Debido a su vasta base de usuarios, juega un papel crucial en la comunicación a nivel mundial.
Para empezar a interactuar, los usuarios deben verificar si sus contactos están inscritos en la plataforma. Esto se realiza consultando los servidores de WhatsApp con los números de teléfono móvil extraídos de la agenda del usuario, siempre y cuando se haya concedido el acceso correspondiente.
Esta estructura permite, de manera inherente, la enumeración de números de teléfono, ya que el servicio debe habilitar a los usuarios legítimos a verificar la disponibilidad de sus contactos. Aunque la limitación en la velocidad de consultas es una medida habitual para prevenir abusos, en el estudio realizado en
«¡Hola! Estás usando WhatsApp: Enumerando Tres Mil Millones de Cuentas para la Seguridad y Privacidad»,
los investigadores de la Universidad de Viena analizaron este problema y evidenciaron que WhatsApp sigue siendo altamente vulnerable a la enumeración a gran escala.
En su investigación,
lograron sondear más de cien millones de números de teléfono por hora sin encontrar restricciones efectivas o bloqueos en la velocidad.
Estos hallazgos no solo resaltan la persistencia, sino también la seriedad de esta vulnerabilidad. Además, demostraron que casi
la mitad de los números de teléfono expuestos en la filtración de datos de Facebook de 2021 siguen activos en WhatsApp, lo que pone de manifiesto los riesgos que persisten asociados a este tipo de incidentes.
Asimismo, realizaron un censo de usuarios de WhatsApp, lo que permitió vislumbrar la información macroscópica que un servicio de mensajería de gran escala puede generar, incluso con el cifrado de extremo a extremo en los mensajes.
Con los datos obtenidos, también identificaron la reutilización de ciertas claves X25519 en distintos dispositivos y números de teléfono, lo que sugiere posibles implementaciones inseguras (personalizadas) o actividad fraudulenta.
En el artículo, también ofrecen detalles sobre el proceso de remediación colaborativa mediante el cual confirmaron que se había solucionado el problema subyacente de limitación de velocidad.
Con Información de blog.segu-info.com.ar