Investigadores descubrieron un fallo que permitiría a un atacante infiltrarse en grupos privados de WhatsApp y desde allí manipular la entrega de mensajes.
La falla, descubierta por investigadores de la Universidad de Ruhr, afecta además a Signal y Threema. Sin embargo, es WhatsApp la más afectada, que hace inútil a su sistema de encriptación de mensajes.
El error
Los administradores de grupos son los únicos que pueden agregar nuevos usuarios a la conversación. La falla aparece cuando la invitación a sumarse a un grupo es enviada mediante un link.
El sistema para agregar nuevos miembros a un grupo no emplea mecanismos de identificación, por lo que un usuario con acceso a los servidores de WhatsApp podría otorgarse a sí mismo permisos para tomar el control. Desde allí, sería capaz de infiltrarse o sumar a otros de manera silenciosa.
Con el control del servidor, los atacantes podrían manipular todo el contenido del grupo, incluido el famoso mensaje que revela cuando un nuevo miembro se ha sumado a la conversación.
«El atacante podría almacenar en caché los mensajes enviados al grupo, leerlos primero y decidir en qué orden son entregados», asegura el estudio.
No es sencillo
Desde WhatsApp reconocieron el fallo y agregaron que explotarlo sería bastante complicado. Mencionan que retrasar el aviso de un nuevo miembro en el grupo implicaría romper varias capas de seguridad.
¿Quiénes tienen acceso a los servidores? Obviamente, WhatsApp y Facebook, dueña de la app, y las autoridades en caso de requerirlo para algún tipo de investigación.