El Centre Nacional d’Intel·ligència (CNI) adverteix que WhatsApp, l’aplicació de missatgeria més popular a Espanya, té greus vulnerabilitats en la seva seguretat que exposa la privacitat dels seus usuaris.
El CNI assegura que WhatsApp no té les mesures de seguretat bàsiques per garantir que les dades dels seus usuaris siguin privades. Aquests serveis secrets han decidit actuar, i ho han fet elaborant un informe exhaustiu en el que adverteixen que aquesta aplicació te greus vulnerabilitats en la seva seguretat, i les nostres converses privades no són suficientment segures.
Aquest informe ja es va repartir entre els funcionaris de l’Estat i treballadors de l’administració per informar-los de la situació amb aquesta aplicació.
“Risc d’ús de WhatsApp” –el nom de l’informe- assegura que l’aplicació és molt atractiva pels ciberatacants, perquè els seus creadors i programadors sempre han descuidat alguns temes bàsics per protegir correctament l’aplicació i les dades personals que es troben en aquesta. El CNI enumera una desena de vulnerabilitats greus de seguretat.
Segons els experts del CNI, el principal forat de seguretat es troba en el procés d’alta i verificació dels usuaris. En aquest procés, la debilitat en la seguretat ha propiciat que una tercera persona pugui robar el compte d’un usuari, llegir i enviar missatges en el seu nom.
El segon error important es coneix com a “SS7”: aprofitant la vulnerabilitat d’aquesta xarxa, un atacant pot fer-se passar per un altre usuari i aconseguir el codi de verificació de WhatsApp, segrestant així un compte; tot això sense massa problemes.
Un altre error preocupant, segons el CNI, es troba en el procés d’eliminació de les converses. Només desinstal·lant l’aplicació i eliminant les còpies de seguretat (que es realitzen automàticament) podrem estar segurs que les nostres converses no seran accessibles en un futur. Sense utilitzar aquest procés qualsevol amb coneixements bàsics en informàtica podria aconseguir converses privades, ja que amb una eliminació normal dels missatges aquests segueixen a la memòria del dispositiu fins que són sobreescrits, i també estan a les còpies de seguretat.
Els experts en ciberseguretat també adverteixen del fàcil que és obtenir informació sensible d’altres usuaris mentre es realitza la connexió inicial. Ni tan sols l’aplicament del xifrat per part de WhatsApp aporta una gran millora de seguretat, perquè algun expert podria entendre dades privades amb una aplicació per desencriptar.
Una altra vulnerabilitat trobada per part del Centre Nacional és la possibilitat de robar comptes mitjançant SMS: si algú té accés físic a un dispositiu d’una altra persona, amb pocs minuts en tindria prou per robar-li el seu compte de WhatsApp. Passa una fet similar amb el cas d’una trucada de verificació, ja que si l’atacant té accés físic al dispositiu de la víctima i una mica de temps, pot robar-li el compte, obtenint així accés total a les seves converses privades.
Un altre error és la greu vulnerabilitat de la base de dades on s’emmagatzemen totes les converses de WhatsApp. Els motius són que el tipus de memòria utilitzada, SQLite, i el xifrat de missatges, .crypt12, són fàcilment vulnerables davant ciberdelinqüents, ja que hi ha unes quantes aplicacions que desxifren la informació mitjançant un procés simple.