Alors qu’une arnaque aux SMS sévit toujours sur WhatsApp, l’application de messagerie instantanée fait face à une nouvelle faille de sécurité. Repérée par le chercheur en sécurité informatique Athul Jayaram, elle concerne la fonctionnalité de partage de fiche de contact via QR Code. En effet, depuis quelque temps il est possible de fournir son numéro à un autre utilisateur via un simple QR Code.
Pour ce faire, l’application génère une courte URL. Il s’agit d’un lien d’invitation dont le format se veut très simple : wa.me/numérodetéléphone ». Seulement, ce lien n’est malheureusement pas crypté lorsqu’il est partagé sur les réseaux sociaux par exemple. Sans chiffrement, les numéros de téléphone apparaissent en clair.
Les robots de Google sont alors libres de les indexer pour que ces derniers apparaissent dans les résultats de recherche. C’est exactement ce qu’il s’est passé. Une fois dans Google, il suffisait de taper site:wa.me+indicatif du pays (+33 pour la France) et d’admirer cette longue liste de numéros de téléphone à disposition.
Le chercheur en sécurité tient à préciser que si Google a pu indexer ces numéros, d’autres moteurs de recherche ont également pu le faire. Rapidement alertés par Athul Jayaram, les responsables de WhatsApp ont réglé le problème et diffusé un correctif pour empêcher l’indexation.
Les utilisateurs sont fautifs
Pour rappel, ce n’est pas la première fois que WhatsApp a affaire à ce genre de problème. En février 2020, des milliers de conversations privées WhatsApp étaient disponibles sur Google. Ici encore, la faute était à attribuer aux administrateurs de ces conversations qui diffusaient des invitations sur les réseaux sociaux. Comme Google indexe toutes les pages du web ouvert, ces conversations privées étaient considérées comme n’importe quel site ayant une URL public. Donc accessible à tous via le moteur de recherche.
Pour éviter ce genre d’ennuis, n’hésitez pas à faire un tour dans vos options de confidentialité sur WhatsApp. Limitez au maximum les informations que vous affichez à des inconnus et pour l’instant, évitez d’utiliser la fonction de partage de fiche de contact. Malgré le correctif, il semble qu’il soit encore possible de trouver des numéros en tapant la recherche suivante sur Google : « site:api.whatsapp.com ».
