Ciudad de México.– Una falla en los sistemas de WhatsApp permitió que un grupo de especialistas identificara 3 mil 500 millones de cuentas activas en todo el mundo, luego de desarrollar un método que explotó la forma en que la plataforma vincula los números de teléfono con sus usuarios.

El mecanismo que permite a un nuevo usuario saber si un contacto de su agenda tiene cuenta en la aplicación fue la base de la investigación realizada por expertos de la Universidad de Viena y la Universidad Técnica de Viena. Según explicaron, esta función puede ser utilizada de forma indebida para confirmar si una persona —como un funcionario, una expareja o un empleador— está registrada en el servicio con solo conocer su número telefónico.

De acuerdo con los investigadores, actores maliciosos podrían aprovechar esta característica para crear bases de datos masivas, útiles para campañas de spam, phishing o llamadas automatizadas. Para comprobarlo, desarrollaron un generador capaz de producir conjuntos de números para 245 países y someterlos a la API de WhatsApp.

El sistema logró verificar hasta 7 mil números por segundo, utilizando solo cinco cuentas y la misma dirección IP sin ser bloqueados. Así confirmaron la existencia de 3 mil 500 millones de registros, cifra que excede los más de 2 mil millones de usuarios que la compañía ha declarado oficialmente.

Además, mediante la API XMPP obtuvieron información adicional como claves públicas, marcas de tiempo, fotografías de perfil y datos empresariales asociados a cada cuenta. Con ello realizaron un análisis global que mostró, entre otros hallazgos, que Asia concentra el 47% de usuarios de WhatsApp y Europa, el 18%. En ambos casos predomina el uso de Android, con porcentajes que llegan al 88% en el mercado asiático.

Los resultados fueron compartidos con WhatsApp, que implementó contramedidas y aceleró mejoras de privacidad a principios de octubre para evitar que esta vulnerabilidad pudiera seguir explotándose.