Falha crítica do WhatsApp exposto: números de bilhões de usuários podiam ser coletados
Pesquisadores de ciência da computação da Universidade de Viena, na Áustria, revelaram que o WhatsApp manteve por anos uma falha que permitiu a qualquer pessoa descobrir e coletar em massa os números de celular de todos os seus usuários. A brecha estava localizada na função de busca que permite iniciar novas conversas, essencial para quem troca mensagens com contatos que não estão salvos na agenda.
A falta de um limite eficaz na taxa de buscas permitiu aos pesquisadores coletar números de celular dos 3,5 bilhões de usuários (acima dos 2 bilhões oficiais) e, para a maioria deles, também identificar fotos e frases de perfil. As mensagens em si permaneceram protegidas pela criptografia. O método usado é a enumeração (ou data scraping), que envolve testar um vasto intervalo de números para encontrar contas ativas.
Os pesquisadores afirmaram ter realizado 7 mil pesquisas por segundo sem bloqueio ou limitação eficaz por parte do WhatsApp. Eles ressaltaram que, embora a limitação de taxa seja uma defesa padrão, a plataforma permaneceu altamente vulnerável. O material coletado para o estudo foi excluído antes da publicação do artigo.
O “censo do WhatsApp” e risco à segurança
A partir dos dados coletados, os pesquisadores criaram um “Censo do WhatsApp” com detalhes por país, como sistema operacional e quantidade de fotos de perfil. O estudo apontou que o Brasil é o terceiro maior mercado do aplicativo, com 206 milhões de usuários ativos, atrás da Índia (749 milhões) e Indonésia (235 milhões). Além disso, o estudo identificou as fotos de perfil de 61% dos usuários no Brasil e registrou que 81,4% dos usuários brasileiros usam Android e 18,6%, iPhone. Os pesquisadores alertam que, em mãos mal-intencionadas, esses dados podem ser usados para campanhas de spam, ataques de phishing ou chamadas automáticas, representando sérios riscos à segurança e privacidade dos usuários.
Alerta e resposta da Meta
Os pesquisadores informaram a Meta, dona do WhatsApp, sobre o risco de exploração em setembro de 2024, antes de realizarem o teste de enumeração. Inicialmente, a Meta não deu atualizações. A preocupação da empresa aumentou em setembro de 2025, após os pesquisadores anunciarem a publicação do artigo. O WhatsApp adotou medidas para tentar limitar a quantidade de buscas por números de celular e restringiu a visualização de fotos e frases de perfil por pessoas desconhecidas. Nitin Gupta, VP de Engenharia do WhatsApp, agradeceu a parceria, reconheceu a técnica de enumeração “inédita que superou nossos limites previstos” e afirmou que a colaboração foi fundamental para testar a eficácia de novas defesas anti-scraping já em desenvolvimento. Ele reiterou que não houve acesso a dados não públicos e que as mensagens permaneceram seguras.
