Onderzoekers van het beveiligingsbedrijf Check Point hebben een kwetsbaarheid ontdekt in de webversies van berichtendiensten WhatsApp en Telegram. Via het lek, dat intussen gedicht is, konden hackers toegang krijgen tot de gebruikersdata van miljoenen accounts.
Op haar website legt het beveiligingsbedrijf uit waar het probleem zat. Een hacker stuurt, via het lek, een kwaadaardige code, die in een onschuldig uitziende afbeelding verborgen zit. Zodra het slachtoffer op de afbeelding klikt, heeft de aanvaller volledige toegang tot alle groepsgesprekken, foto’s en video’s. De aanvaller kan bovendien de malware naar alle contacten van het slachtoffer doorsturen, wat een wijdverspreide aanval kan ontketenen. “Door simpelweg een onschuldig uitziende foto te versturen, kan een aanvaller de controle van het account overnemen en toegang krijgen tot alle data van de gebruiker” zegt Oded Vanunu, hoofd van Product Vulnerability Research bij Check Point.
End-to-end encryptie
WhatsApp en Telegram gebruiken end-to-end encryptie als databeveiligingsmaatregel om te garanderen dat enkel de mensen die aan het communiceren zijn de berichten kunnen lezen.
Hier was diezelfde end-to-end encryptie echter net de bron van het lek. Omdat de berichten versleuteld worden aan de kant van de zender, wisten WhatsApp en Telegram niet wat de inhoud ervan was. Hierdoor konden ze niet voorkomen dat de mallware verzonden werd.
Browser opnieuw opstarten
Check Point heeft deze informatie vorige week aan de beveiligingsteams van WhatsApp en Telegram doorgespeeld. Die erkenden het probleem en hebben het lek intussen gedicht. In de laatste update van hun webversies zal de inhoud gecontroleerd worden vóór de versleuteling van een bericht, waardoor malware geblokkeerd kan worden. Gebruikers die er zeker van willen zijn dat ze de laatste versie gebruiken, kunnen best hun browser opnieuw opstarten.
Het is niet de eerste keer dat de webversie van Whatsapp kwetsbaar blijkt voor mallware. Ook anderhalf jaar geleden werd de berichtendienst met een lek geconfronteerd.
