Tecnologia

Un altro bug per WhatsApp: 300 mila numeri di telefono finiscono su Google

di Marco Nepi

9 Giu. 2020 alle 08:31 - Aggiornato il 9 Giu. 2020 alle 12:32

WhatsApp, un nuovo bug: 300 mila numeri di telefono su Google

Un altro bug per WhatsApp. La piattaforma di messaggistica avrebbe messo a rischio i numeri di cellulari dei suoi utenti, parliamo di almeno 300 mila numeri, con la funzione “click to chat”. A denunciare l’accaduto è stato un esperto di sicurezza, Athul Jayaram, sul proprio blog. Secondo l’esperto, i numeri di telefono sono finiti nella ricerca web di Google, indicizzati come un comune sito web e quindi visibili a tutti.

Cosa succede utilizzando la funzione “click to chat”? Tale funzione è utile per connettere in modo più rapido in genere clienti e venditori, quindi parliamo di un supporto per siti web (in particolare e-commerce). Si inserisce un plugin sul proprio portale che permette all’utente di entrare in contatto in modo diretto con il venditore, basterà riprendere con la fotocamera il codice QR mostrato e, dopo la scansione, si aprirà la sessione di chat sena inserire alcun numero di telefono sull’app di messaggistica.

E allora perché i numeri di telefono sono finiti nella ricerca Google? Perché il bug interessa i numeri di cellulare inseriti nel backend dei siti attivi per il “click to chat”. L’errore sembrerebbe essere legato al modo in cui WhatsApp comunica i metadati utilizzati a Google. Quando si avvia la sezione di chat tramite “click to chat”, i numeri di telefono vengono rilevati come parte di una stringa URL (( https://wa.me/ < phone_number >). “Il tuo numero di cellulare è visibile in chiaro in questo URL e chiunque sia in possesso dell’URL può conoscere il tuo numero di cellulare. Non puoi revocarlo”, ha spiegato Jayaram. Utilizzando una stringa di ricerca appositamente predisposta dal dominio https://wa.me/, l’esperto avrebbe poi dichiarato di aver scoperto persino l’indicizzazione di 300 mila numeri di telefono WhatsApp di utenti che hanno utilizzato “click to chat”. Secondo Jayaram, dunque, tale funzione rappresenta un problema di sicurezza che potrebbe causare abusi e frode.

L’esperto, dopo aver scoperto il bug, ha dichiarato di aver contattato Facebook (tramite il programma di bug bounty), ma senza successo: l’azienda avrebbe risposto che l’abuso di dati è coperto solo per le piattaforme di Facebook e non per WhatsApp. In più, la piattaforma di messaggistica ha replicato così: “Tutti gli utenti, comprese le aziende, possono bloccare i messaggi indesiderati con il semplice tocco di un pulsante”.

“La nostra funzione Click to Chat – ha spiegato Whatsapp – che permette agli utenti di creare un URL con il proprio numero di telefono in modo che chiunque possa facilmente inviare loro messaggi, è largamente usata da piccole e micro imprese nel mondo per connettersi con i propri clienti”. “Sebbene abbiamo apprezzato il report e il tempo che il ricercatore ha impiegato per condividerlo con noi – ha chiarito l’app di messaggistica – non è stata tuttavia prevista una ricompensa perché il report contiene semplicemente un indice, ricavato da un motore di ricerca, degli URLs che gli utenti di WhatsApp hanno deciso di rendere pubblici. Tutti gli utenti di WhatsApp, incluse le aziende, hanno la possibilità di bloccare i messaggi indesiderati semplicemente con un tasto.”