WhatsApp ha sido históricamente criticado por su seguridad y manejo de datos. A pesar de involucrar cifrado de extremo a extremo (end-to-end o E2EE), recientemente investigadores descubrieron una vulnerabilidad que afecta la seguridad de los grupos privados.
El informe fue presentado por expertos de la Universidad Ruhr de Bochum y señala que es posible incorporarse o incorporar a un tercero en un chat grupal. A pesar de que el error también puede ser aplicado a Signal o Threema, en WhatsApp el asunto parece ser más serio.
Si bien el cifrado E2EE posibilita que nadie pueda ver las conversaciones que se mantienen por la aplicación, incluyendo a los mismos desarrolladores y trabajadores de WhatsApp, el fallo cambia parcialmente esta realidad.
Ver más: Arrancan los trabajos de construcción en el estadio Aristocles 'Toco' Castillo
El ataque aprovecha un error en la forma en que WhatsApp maneja los chats grupales, y permite que cualquiera que controle los servidores de WhatsApp, pueda insertar nuevos participantes en un grupo. Al mismo tiempo, un atacante que tenga acceso al grupo podría bloquear selectivamente lo que quisiera, cerrando la posibilidad de alertas entre los miembros (dentro del grupo).
Consultados por Techcrunch, la empresa le bajó el perfil al fallo, comentando que los usuarios tenían la posibilidad de darse cuenta si alguien entraba a un grupo:
"Hemos analizado este tema cuidadosamente y los miembros actuales son notificados cuando se agregan nuevas personas un grupo. La privacidad y seguridad de nuestros usuarios es increíblemente importante para WhatsApp. Es por eso que recolectamos muy poca información y todos los mensajes enviados en WhatsApp están encriptados de extremo a extremo".
Nótese que, según lo informado, sólo es posible accediendo a los servidores de WhatsApp. Evidentemente, se podría pensar que no es una situación de riesgo, pero es necesario considerar que cualquier trabajador de la aplicación con acceso podría llevar a cabo este método. Es más, conociéndose el error, entra la posibilidad que organismos externos exijan acceso al contenido de los usuarios.
Con datos de fayerwayer.
