Alarmující bezpečnostní díra: Jak WhatsApp odhalila 3,5 miliardy telefonních čísel

V posledních dnech byla odhalena závažná bezpečnostní chyba v aplikaci WhatsApp, která otevřela cestu k expozici až 3,5 miliardy telefonních čísel uživatelů. Tato událost zasahuje do oblasti ochrany soukromí a ukazuje, jak důležité je uvědomit si limity digitálních služeb.

Jak k tomu došlo

Funkce, kterou WhatsApp nabízí pro objevování kontaktů — tedy ověření, zda je dané telefonní číslo registrováno — byla zneužita. Vědci z University of Vienna využili toho, že systém připustil miliony i miliardy ověření čísel rychle za sebou. Objevili, že bez technických bariér lze vyzkoušet desítky až stovky milionů čísel za hodinu.

Celkem získali indikaci k 3,5 miliardám telefonních čísel registrovaných v systému WhatsApp. U zhruba 57 % těchto účtů bylo možné získat veřejně přístupnou profilovou fotografii, a u 29 % i veřejný „about“ text profilu.

Co to znamená pro uživatele

Pro běžného uživatele to znamená, že i když jsou zprávy šifrovány end-to-end, základní identifikační údaje — především telefonní číslo — mohly být získány ve velkém měřítku. Telefonní čísla totiž fungují jako primární identifikátor služby. Pokud někdo získá takovou databázi, může ji využít například pro nevyžádané kontakty, spam, podvody nebo sledování.

Je důležité zdůraznit, že nebyla potvrzena žádná aktivní zneužití této konkrétní metody — výzkumníci ponechali získaná data bezpečně smazaná poté, co oznámili chybu.

Proč k tomu došlo

Hlavní příčinou byla absence či velmi slabá omezující opatření pro automatické dotazy (tzv. rate limiting) v modulu „objevování kontaktů“. Funkce, jež měla být užitečná pro běžné uživatele (ověřit, kdo je na WhatsAppu), umožňovala neomezené hromadné dotazy.

Dalším aspektem je to, že telefonní čísla jako identifikátor uživatele nevynášejí dostatečnou náhodnost či anonymitu pro službu s miliardami uživateli — což znamená, že systém nemusí být dostatečně odolný vůči velkoobjemovému sběru dat.

Co společnost WhatsApp udělala

Společnost Meta (majitel WhatsAppu) byla výzkumníky upozorněna již v roce 2017, ale oprava přišla až nyní — konkrétně v roce 2025 byla zavedena přísnější opatření pro omezení počtu dotazů při objevování kontaktů.

Meta uvedla, že zprávy zůstaly šifrovány a žádná neveřejná data nebyla získána, ale přiznala, že zjištění výzkumníků pomohla testovat její anti-scraping systémy.

Jak se chránit

• Zkontrolujte si nastavení ochrany soukromí ve WhatsAppu — omezte, kdo může vidět vaši profilovou fotografii a „about“ text.
• Buďte ostražití vůči nevyžádaným kontaktům či zprávám od neznámých čísel — získaná data by mohla být využita pro spam nebo phishing.
• Zvažte využití alternativy k telefonnímu číslu jako identifikátoru — některé služby testují uživatelská jména místo čísel.
• Sledujte aktualizace aplikace WhatsApp a instalujte je ihned, jakmile jsou dostupné.