Cómo las invitaciones a grupos de WhatsApp filtradas en Internet afectan a tu Privacidad
La privacidad de tu WhatsApp comienza con tu n�mero de tel�fono. Con �l se crea tu cuenta y a �l van asociadas cosas como tu estado, como tu foto o tu mensaje por defecto. Adem�s, por ser el identificador de tu cuenta de usuario, se puede utilizar para saber si est�s online o no, y lo que es mucho peor, para intentar robarte la cuenta con un ataque a la SIM, haciendo un duplicado de la misma o pidiendo una migraci�n.
 |
| Figura 1: C�mo las invitaciones a grupos de WhatsApp filtradas en Internet afectan a tu privacidad |
Para que no sea f�cil espiar WhatsApp existen ciertas medidas de protecci�n que debes aplicar para que no te puedan robar la cuenta de WhatsApp, para mejorar tu privacidad en WhatsApp y para evitar que te esp�en los mensajes de WhatsApp. Y hoy viene una curiosa historia sobre lo que pasa cuando te agregas a un grupo de WhatsApp y �ste... se convierte p�blico para todo Internet, tal y como descubri� mi amigo rootkit, que se top� con muchas de ellas en la red.
Las invitaciones a grupos de WhatsApp
Cuando alguien crea un grupo de WhatsApp, la aplicaci�n genera una direcci�n URL que cuelga del dominio https://chat.whatsapp.com. Esa invitaci�n lleva un ID que identifica al grupo y todo el mundo que tenga acceso a esa URL podr� conectarse al mismo. Por supuesto, el administrador del grupo siempre podr� echar a cualquier miembro que no desee en cualquier momento, incluso si se ha a�adido con una URL de invitaci�n v�lida.
Normalmente, cuando se env�a esa URL se hace v�a la app, pero la direcci�n tambi�n puede ser enviada v�a e-mail e incluso muchas personas las hacen p�blicas en sus perfiles de redes sociales, lo que lleva a que pueda estar en muchos sitios y, por supuesto, acabar indexadas en los buscadores.
 |
| Figura 2: Ninguna direcci�n URL de chat.whatsapp.com indexada en Google |
En el caso de Google, como puede ver, el hacking con buscadores no aporta mucho, ya que los responsables del dominio de WhatsApp.com han eliminado todas las direcciones que pudieran estar all�. Hay que recordar, que hace tiempo era posible sacar informaci�n personal de los usuarios de WhatsApp por culpa de una mala gesti�n de las opciones de indexaci�n en los buscadores.
 |
| Figura 3: Direcciones de chat.whatsapp.com indexadas en Bing |
Sin embargo, si repetimos la b�squeda en Bing, vemos que hay algunas direcciones URL indexadas en el buscador. Esto es as� porque seguramente habr�a unas opciones de indexaci�n que permit�a tanto a Google como a Bing indexar las URLs. Despu�s se eliminaron manualmente las de Google, pero las de Bing se han mantenido. Un ejemplo m�s de por qu� el hacking con buscadores hay que probarlo con todos los posibles y saberse las opciones del Bing Hacking.
 |
| Figura 4: Direcci�n URL de invitaci�n de grupo de WhatsApp encontrada en Bing. |
Una vez que se tiene la direcci�n URL con la invitaci�n al grupo de WhatsApp, se puede solicitar v�a navegador. Si el grupo est� muerto - ya no existe -, probablemente saldr� un mensaje gen�rico como el de la imagen superior. Se puede ver que no hay una foto ni un nombre para el grupo.
 |
| Figura 5: El grupo de WhatsApp no existe m�s. |
Y cuando se intenta acceder, no hay nada que ver. Sin embargo, si el grupo a�n existe, podremos ver el nombre o la foto del mismo en la visualizaci�n de la invitaci�n, tal y como se aprecia en la imagen siguiente:
 |
| Figura 6: Grupo que a�n existe. Se ve el nombre. No tiene imagen de grupo |
En la imagen siguiente se ve otro grupo de WhatsApp que tiene la foto y el nombre, al que podemos a�adirnos libremente si queremos, pero lo mejor es que...
 |
| Figura 7: Un grupo de WhatsApp vivo |
Antes de a�adirte al grupo puedes acceder a la informaci�n de los miembros. Puedes ver sus fotos y sus n�meros de tel�fono desde la web. En este caso de 41 miembros que se han unido libremente al grupo, lo han convertido en su contacto, entonces le han dado permisos para ver su informaci�n de fotograf�a, n�mero de tel�fono y mensaje. La direcci�n del grupo ha sido publicada en Internet y entonces todo el mundo, a trav�s de esta URL puede ver la informaci�n de los miembros del grupo.
 |
| Figura 8: Lista de miembros de un grupo de WhatsApp con la direcci�n p�blica de Internet. |
Esto es a�n m�s divertido se haciendo un poco de Hacking con Archive.org, buscas las m�s de 300 direcciones de grupos de WhatsApp que est�n indexadas en otro buscador, en este caso en The Wayback Machine.
 |
| Figura 9: Direcciones de grupos de WhatsApp indexadas en The Wayback Machine |
Como los grupos de WhatsApp se crean y perduran durante mucho tiempo, muchas de esas direcciones a�n siguen siendo funcionales, as� que los miembros que se dieron de alta en esos grupos a�n est�n accesibles sin necesidad de que te des de alta en el mismo.
 |
| Figura 10: Un grupo descubierto v�a The Wayback Machine |
Y sigue vivo, con la lista de sus miembros a�n accesibles, con sus n�meros de tel�fono y fotograf�as de cada uno de ellos.
 |
| Figura 11: Otro lista de miembros de un grupo descubierto v�a The Wayback Machine |
Visto esto, est� claro que si quieres proteger tu WhatsApp a prueba de balas, debes tener tambi�n muy presente a qu� grupos te has dado de alta. Si el administrador del grupo no tiene cuidado con las invitaciones - y cualquier miembro del grupo podr�a acceder a ellas - entonces tu privacidad puede quedar expuesta en Internet.
Figura 12: Jugando con la seguridad de las aplicaciones de mensajer�a
Te dejo por aqu� una sesi�n en v�deo de la charla que impartieron mis compa�eros de ElevenPaths, donde hablan de las opciones de seguridad de otros sistemas de mensajer�a, adem�s de WhatsApp.
Saludos Malignos!
Sigue Un inform�tico en el lado del mal - Google+ RSS 0xWord
download file now