En utilisant une méthode décrite comme simple, des chercheurs de l'université de Vienne en Autriche ont réussi à vérifier l'existence de 3,5 milliards de numéros de téléphone sur la plateforme WhatsApp.

Selon les auteurs de l'étude, ce projet aurait pu se transformer en la plus grande fuite de données de l'histoire, s'il n'avait pas été conduit dans un cadre de recherche responsable. Le volume de données exposées s'avère sans précédent.

Comment une telle collecte de données a-t-elle été rendue possible ?

Le talon d'Achille du système résidait dans la fonctionnalité de synchronisation des contacts, conçue pour faciliter les connexions entre utilisateurs. Faute de mécanismes de limitation de débit adéquats, l'application permettait d'interroger les serveurs de WhatsApp de manière industrielle pour valider chaque numéro.

Gabriel Gegenhuber, l'un des chercheurs, raconte à Wired qu'il ne leur a fallu qu'une demi-heure pour capturer 30 millions de numéros américains. " Nous avons été assez surpris. Et puis nous avons juste continué. "

Quelle est l'ampleur réelle des informations personnelles exposées ?

L'opération ne s'est pas limitée à une simple liste de numéros valides. Elle a permis de constituer une base de données enrichie d'informations contextuelles. Pour environ 57 % des comptes identifiés sur WhatsApp, la photo de profil était publiquement accessible, et 29 % affichaient leur texte de présentation personnel.

L'étude met en exergue des disparités culturelles en matière de confidentialité. Alors que 62 % des utilisateurs indiens exposaient leur photo, ce chiffre tombe à 44 % pour les numéros américains, augmentant d'autant les risques de profilage pour certaines populations.

Pour la France, ce sont presque 54 millions de numéros de téléphone, dont la moitié avec la photo de profil exposée publiquement.

Pourquoi Meta a-t-il tardé à réagir face à cette faille ?

Le plus troublant dans cette affaire est la chronologie des événements, car la faille n'était pas nouvelle. Dès 2017, un chercheur avait averti l'entreprise des dangers de l'énumération de numéros, une alerte alors minimisée par la direction qui qualifiait ces données d'informations publiques de base.

Il aura fallu la nouvelle preuve de concept pour que Meta déploie un correctif en octobre dernier, avec des défenses anti-scraping efficaces. 

" Il est important de noter que les chercheurs ont supprimé de manière sécurisée les données collectées dans le cadre de l'étude, et nous n'avons trouvé aucune preuve que des acteurs malveillants aient exploité cette méthode ", a réagi un porte-parole de Meta.

Dans sa réaction, Meta souligne que les messages des utilisateurs sont sécurisés par du chiffrement de bout en bout, et insiste sur le fait qu'aucune donnée non publique n'était accessible aux chercheurs.