Un défaut de conception de WhatsApp qui permet à quiconque d’infiltrer des conversations de groupe privées a été découvert par des chercheurs en sécurité web. Malgré le cryptage minutieux du service, les experts disent que les pirates peuvent insérer des personnes dans des groupes WhatsApp sans l’autorisation de l’administrateur du chat.

Une fois qu’une personne est ajoutée, tout le monde dans le chat partage automatiquement des clés secrètes avec cet utilisateur.

Cela signifie que des personnes mal intentionnées peuvent avoir accès à tous les futurs messages, mais pas les anciens messages. Facebook, propriétaire de WhatsApp, a déclaré qu’il ne réglerait pas le problème. Selon les modérateurs et les spécialistes du réseau social, les discussions de groupe restent « protégées » par le chiffrement de l’application.

Cette faille démontre, une fois de plus, que nos données ne sont pas en sécurité sur internet, notamment sur les réseaux sociaux.

La brèche du système de cryptage de WhatsApp

Des chercheurs allemands en sécurité ont trouvé un moyen d’infiltrer les discussions de groupe WhatsApp. Ils ont annoncé cet exploit lors de la conférence sur la sécurité Real World Crypto en Suisse. Paul Rösler, l’un des chercheurs de l’université de Ruhr qui a coécrit l’article, a déclaré que les hackers devaient avoir le contrôle du serveur de WhatsApp pour le groupe de discussion qu’il veut pirater.

Les pirates peuvent alors insérer n’importe quel nouveau membre dans le groupe de discussion sans l’autorisation de l’administrateur. Lorsque la discussion est piratée, chaque téléphone des membres du chat partage automatiquement ses clés de chiffrement avec la nouvelle personne. « La confidentialité du groupe est rompue dès que le membre non invité peut recevoir tous les nouveaux messages et les lire. » a déclaré Rösler.

La réponse de WhatsApp au sujet de la faille

Le responsable de la sécurité de Facebook, Alex Stamos, a écrit sur Twitter que le bug n’était pas exploitable. Il explique cela par le fait que les utilisateurs de WhatsApp sont notifiés lorsque de nouveaux membres rejoignent des conversations. Il a précisé qu’il y a plusieurs façons de vérifier qui sont les membres du groupe de discussion.

Les utilisateurs sont donc avisés de toute nouvelle adhésion, y compris ceux sans autorisation. Stamos a ajouté que WhatsApp n’a pas l’intention de corriger le bug car cela signifierait supprimer les liens d’invitation que des millions de personnes utilisent par jour.