Obehöriga kan relativt enkelt stänga ned WhatsApp-konton genom att bara känna till det telefonnummer som används, avslöjar två säkerhetsforskare i en ny rapport. Det innebär att två miljarder användare kan få sina konton nedstängda utan förvarning.
Säkerhetsmissen är allvarlig därför att även om du har aktiverat tvåfaktor-inloggning så kan ditt konto stängs ned av obehöriga. Enligt säkerhetsforskarna Luis Márquez Carpintero och Ernesto Canales Pereña så innebär missen att konton kan stängas ned, användare förhindras från att kunna logga in och konton förblir stängt och obrukbart.
This shouldn’t happen. It shouldn’t be possible. Not with a platform used by 2 billion people. Not this easily. When researchers, Luis Márquez Carpintero and Ernesto Canales Pereña, warned they could kill WhatsApp on my phone, blocking me from my own account using just my phone number, I was doubtful. But they were right.
“This is yet another worrying hack,” warns ESET’s Jake Moore, “one that could impact millions of users who could potentially be targeted with this attack. With so many people relying on WhatsApp as their primary communication tool for social and work purposes, it is alarming at what ease this can occur.”
Flera missar
Svagheten och säkerhetsmissen består i en kombination av flera missar som WhatsApp har i sina system för att hantera användares konton – allt från att obehöriga överhuvudtaget inte borde kunnat installera appen med ett felaktigt telefonnummer till att blockera inloggningsförsök genom att försöka att logga in för många gånger.
Clearly, the combination of this verification architecture, the SMS/code limits and the automated, keyword-based actions triggered by incoming emails is open to abuse. There is no sophistication to this attack—that’s the real issue here and WhatsApp should address it immediately. There are many reasons why it might be advantageous to block someone from their go-to messenger. It shouldn’t be this easy. And this should not work when 2FA is enabled, as was the case on this “victim’s” app.
This isn’t complex and should be easily fixed. WhatsApp could ensure that an app on a device with 2FA registered can prevent this issue, using 2FA as a circuit breaker. Even more simply, when multi-device access eventually appears, WhatsApp could use the trusted device concept to enable one verified app to verify another. This is a much better system and would shut down this vulnerability.
