Un fallo de privacidad en WhatsApp, la popular aplicación de mensajería con más de 2 mil millones de usuarios, está siendo aprovechado por atacantes para eludir la función «visualización única» y acceder nuevamente a los mensajes.
Meta introdujo esta función hace tres años, permitiendo a los usuarios enviar fotos, videos y mensajes de voz de forma privada.
La idea es que estos mensajes no puedan reenviarse, compartirse, copiarse o capturarse en pantalla, ya que desaparecen del chat una vez abiertos.
«Una vez que envíes una foto, vídeo o mensaje de voz con ‘visualización única’, no podrás verlo de nuevo«, detalla la compañía en su página de soporte.
New feature alert!
— WhatsApp (@WhatsApp) August 3, 2021
You can now send photos and videos that disappear after they’ve been opened via View Once on WhatsApp, giving you more control over your chats privacy! pic.twitter.com/Ig5BWbX1Ow
Además, el contenido no se guarda en las galerías del destinatario, y no se permite capturas de pantalla en dispositivos móviles.
Sin embargo, este mecanismo no bloquea las capturas de pantalla en las versiones web o de escritorio de WhatsApp.
Según el equipo de investigación de Zengo X, Meta implementó esta función de manera «negligente», lo que facilita a los atacantes guardar y compartir copias de mensajes enviados bajo esta modalidad.
Tal Be’ery, director de tecnología de Zengo, explicó que inicialmente notificaron a Meta de sus hallazgos de forma responsable, pero decidieron hacer pública la vulnerabilidad al notar que ya estaba siendo explotada, con el fin de proteger la privacidad de los usuarios.
Los investigadores descubrieron que los mensajes «visualización única» cifrados se envían a todos los dispositivos del destinatario, acompañados de una URL a los datos cifrados alojados en el servidor de WhatsApp y una clave para descifrarlos.
Además, los mensajes incluyen una bandera que indica su configuración para «visualización única«.
Falsa sensación de privacidad
Be’ery explicó que la función «Visualización única» de WhatsApp permite a los usuarios enviar mensajes que deberían verse solo una vez.
Sin embargo, estos mensajes se distribuyen a todos los dispositivos del receptor, incluidos aquellos sin permiso para visualizarlos.
Además, los medios no se eliminan de inmediato de los servidores de WhatsApp tras su descarga.
Esto dificulta restringir la exposición de los medios a plataformas controladas, especialmente porque algunas versiones de los mensajes «visualización única» incluyen vistas previas de baja calidad que pueden verse sin necesidad de descargar el archivo completo.
Aunque los mensajes «visualización única» funcionan como los normales, con una bandera que indica que deben verse solo una vez, los atacantes pueden modificar esta configuración cambiando dicha bandera a «falso», lo que les permite descargar, reenviar y compartir el contenido.
«La privacidad es fundamental en la mensajería instantánea, y WhatsApp lo reconoce al ofrecer cifrado de extremo a extremo (E2EE) por defecto«, dijo Be’ery.
«Sin embargo, lo único peor que la falta de privacidad es una falsa sensación de seguridad. Los usuarios creen que ciertas comunicaciones son privadas cuando no lo son. Actualmente, la función ‘visualización única‘ de WhatsApp es una forma engañosa de privacidad, y debe corregirse o eliminarse por completo«.
Zengo fue el primer grupo en alertar a Meta sobre este problema y publicar un informe detallando el fallo.
Sin embargo, la vulnerabilidad ha sido explotada durante al menos un año, y algunos atacantes incluso han creado extensiones de navegador para facilitar la manipulación de la función.
Han sido identificados al menos dos extensiones de Google Chrome, una lanzada en 2023, que permiten desactivar la función «visualización única» y eludir su restricción.
Meta respondió que están implementando cambios en la función «visualización única», aunque no está claro si las versiones personalizadas de WhatsApp aún podrían aprovechar esta falla.
«Nuestro programa de recompensas por errores es una herramienta clave para recibir retroalimentación de investigadores externos. Ya estamos trabajando en actualizaciones para mejorar la función ‘visualización única’ en la web», declaró un portavoz de WhatsApp.
«Recomendamos a los usuarios que solo compartan mensajes de este tipo con personas de confianza«.
