🛏 Крупнейшая утечка метаданных: кейс WhatsApp 2025

Исследователи из University of Vienna взяли обычную функцию WhatsApp — Contact Discovery — и через неё собрали данные 3.5 миллиарда аккаунтов. За несколько месяцев. Без единой блокировки.

🔵 Как работала эксплуатация:

Механизм простой: WhatsApp позволяет проверить, зарегистрирован ли номер в системе. Легитимная функция для синхронизации контактов.

Исследователи сгенерировали 63 миллиарда потенциальных номеров для 245 стран и начали массовую проверку через официальный API.

Скорость атаки:
→ 7,000 номеров в секунду
→ Более 100 миллионов в час
→ Первые 30 млн американских номеров за 30 минут

Защита? Отсутствовала. Никакого rate limiting, никаких блокировок.

Кампания шла с декабря 2024 по апрель 2025 — пока не собрали весь глобальный датасет.

🔵 Что оказалось в открытом доступе:

Формально только то, что сами пользователи сделали публичным:

→ Телефонные номера (3.5 млрд активных)
→ Фото профиля у 57% аккаунтов
→ Публичные ключи шифрования и временные метки
→ Метаданные: возраст аккаунта, ОС, количество устройств

🔴 Последствия:

Геополитика: миллионы активных аккаунтов обнаружены в странах с запретом WhatsApp — Китай, Иран, КНДР, Мьянма. Власти этих стран преследуют за обход блокировок, теперь есть готовый список целей.

Региональные особенности: в Западной Африке 80% профилей были публичными — максимальная утечка метаданных. В других регионах показатели ниже, но общий объём критичен.

Потенциал для атак: база из 3.5 млрд номеров с привязкой к метаданным идеальна для таргетированного фишинга, SIM-swap и социальной инженерии. 9% датасета — WhatsApp Business аккаунты с расширенной информацией о компаниях.

🔴 Реакция Meta:

Детальный отчёт Meta* получила в августе 2025. Первые меры внедрили в сентябре, полную митигацию — в октябре.

Исследователи удалили датасет после анализа и получили баунти через официальную программу. Доказательств эксплуатации реальными злоумышленниками не найдено.

*Корпорация Meta признана в РФ экстремистской

🐸 Библиотека хакера

#breach_breakdown