Eigentlich soll die Click-to-Chat-Funktion die Nutzung des beliebten Messengers WhatsApp vereinfachen. Stattdessen scheint sie dich als Nutzer zu gefährden. Der Sicherheitsforscher Athul Jayaram warnt, dass WhatsApp-Nummern von der Google-Suche identifiziert und dadurch von jedem entdeckt werden können. Facebook sieht die Sache jedoch gelassen.
WhatsApp-Nummern bei Google
Jayaram ist Bug-Bounty-Jäger und will eine neue Sicherheitslücke bei dem Instant-Messenger entdeckt haben. Er geht davon aus, dass WhatsApp-Nummern „durchgesickert“ sind und nun ganz einfach über die Google-Suche abgerufen werden können. Das würde tatsächlich eine ernstzunehmende Schwachstelle darstellen. Warum also zeigt sich die WhatsApp-Mutter Facebook so unbeeindruckt?
Das Click-to-Chat-Feature bietet Websites die Möglichkeit, einen WhatsApp-Chat mit Besuchern zu initiieren. Dazu wird ein Quick Response (QR)-Code mit der WhatsApp-Nummer des Website-Besitzers verknüpft. Besucher können den QR-Code der Seite scannen oder auf eine URL klicken, um eine WhatsApp-Chat-Sitzung zu starten.
„Ihre Handynummer ist in dieser URL im Klartext sichtbar, und jeder, der die URL in die Hände bekommt, kann Ihre Handynummer kennen. Sie können sie nicht widerrufen“, erklärte Jayaram in einer Studie, die er Threatpost exklusiv zur Verfügung gestellt hat. „Wenn einzelne Telefonnummern durchgesickert sind, kann ein Angreifer ihnen eine Nachricht schicken, sie anrufen, ihre Telefonnummern an Vermarkter, Spammer, Betrüger verkaufen.“
Facebook zeigt sich gelassen
Nachdem er das Problem am 23. Mai entdeckt hatte, sagte Jayaram, er habe Facebook über dessen Bug-Bounty-Programm kontaktiert. Facebook antwortete ihm jedoch, dass Datenmissbrauch nur für Facebook-Plattformen und nicht für WhatsApp gedeckt sei. Ein WhatsApp-Sprecher erklärte wiederum gegenüber Threatpost, WhatsApp sei Teil des Kopfgeldprogramms für Datenmissbrauch.
„Wir schätzen den Bericht dieses Forschers und die Zeit, die er sich genommen hat, um ihn uns mitzuteilen, aber er hat sich nicht für eine Prämie qualifiziert, da sein Bericht lediglich einen Suchmaschinenindex mit URLs enthielt, die WhatsApp-Benutzer zur Veröffentlichung ausgewählt haben. Alle WhatsApp-Benutzer, einschließlich Unternehmen, können unerwünschte Nachrichten mit nur einem Tastendruck blockieren“, sagte er.
Es handele sich bei den veröffentlichten WhatsApp-Nummern also nur bedingt um einen Fehler. Solange du verantwortungsvoll mit deinen Daten umgehst und sie nicht online veröffentlichst, sollte man sie also auch nicht in der Google-Suche aufspüren können. Ein neuer Chat-Bot macht den Messenger jetzt übrigens noch nützlicher. Mit einem WhatsApp-Trick wird Kochen dadurch noch einfacher. Funktionieren deine WhatsApp-Sprachnachrichten nicht, helfen wir ebenfalls gerne weiter.