WhatsApp : une faille vieille de huit ans permettait d’aspirer 3,5 milliards de numéros et photos de profil

 Une équipe de trois chercheurs de l’université de Vienne vient de mettre en lumière l’ampleur vertigineuse d’une vulnérabilité… dont on savait pourtant l’existence depuis 2017. En exploitant le système de contact discovery de WhatsApp — la fonctionnalité qui compare les contacts de votre téléphone avec ceux inscrits sur la plateforme — ils ont réussi à dresser une base colossale de 3,5 milliards de numéros actifs.

Encore plus inquiétant : pour 57 % d’entre eux, les photos de profil étaient accessibles publiquement. Et pour 29 %, le texte de présentation l’était également. Une véritable mine d’or pour les campagnes de phishing, d’usurpation d’identité ou d’ingénierie sociale.

Un procédé d’une simplicité déconcertante

Pour parvenir à ce résultat, les chercheurs n’ont pas eu besoin de techniques sophistiquées ni d’accès privilégié. Il leur suffisait… de tester méthodiquement tous les numéros possibles via la version web de WhatsApp.

Jusqu’en octobre 2023, l’application web n’imposait aucune véritable limite de débit. Résultat :

• 100 millions de numéros testés par heure,
• et en 30 minutes, près de 30 millions de numéros américains déjà vérifiés.

« Nous étions assez surpris. Alors nous avons continué. » explique Gabriel Gegenhuber, l’un des membres de l’équipe. Et la collecte massive s’est poursuivie jusqu’à atteindre ces 3,5 milliards de comptes — un chiffre quasi équivalent au nombre total d’utilisateurs de WhatsApp.

Une faille connue depuis 2017… mais ignorée

Cette vulnérabilité n’est pas une découverte. En 2017, le chercheur néerlandais Loran Kloeze avait déjà signalé exactement le même problème à Meta dans le cadre du programme de bug bounty.

Mais à sa grande surprise, aucune récompense : WhatsApp avait alors estimé que tout fonctionnait « comme prévu ».

L’argument de Meta ?

Chacun peut choisir de masquer son profil dans les paramètres de confidentialité.

Un raisonnement qui, sur le papier, tient debout… mais qui ignore la réalité des usages.

Par exemple, en Inde — le plus grand marché de WhatsApp avec près de 750 millions de comptes — 62 % des utilisateurs affichent publiquement leur photo de profil. Le réglage par défaut encourage en effet une exposition non maîtrisée : beaucoup d’utilisateurs ignorent que leurs données sont visibles par n’importe quel inconnu possédant leur numéro.

Des risques sociaux sous-estimés

Les conséquences d’une telle collecte massive sont loin d’être anecdotiques :

• Profilage automatisé (âge, genre, origine).
• Usurpation d’identité en réutilisant photo + nom.
• Scams personnalisés (“Bonjour maman, j’ai changé de numéro…”).
• Cartographier les connexions sociales d’une région ou d’une population.

Dans un monde où le numéro de téléphone est devenu un identifiant universel (banques, réseaux sociaux, comptes cloud…), l’exposition de milliards de numéros est un risque majeur.

Meta réagit… tardivement

Ce n’est qu’en octobre 2023 — soit six ans après le premier signalement — que Meta a ajouté une véritable limitation de débit. Mais le mal était déjà fait.

Et surtout, aucun mécanisme n’empêche réellement un acteur déterminé de continuer à extraire des données, lentement mais sûrement.

Selon les chercheurs, le plus inquiétant n’est pas la faille en elle-même, mais sa banalité :

“Il est trop simple pour un acteur malveillant de collecter à grande échelle les profils WhatsApp de populations entières.”

À qui appartient votre identité numérique ?

Cette affaire rappelle une vérité fondamentale :

sur Internet, les paramètres par défaut dictent le niveau de sécurité réel, bien plus que les discours officiels.

WhatsApp laisse à l’utilisateur la responsabilité de se protéger… tout en configurant l’application pour maximiser l’exposition.

Or dans de nombreux pays, où WhatsApp sert d’identité sociale ou professionnelle, masquer sa photo peut même être perçu comme suspect.

En attendant une refonte profonde du modèle de contact discovery, la prudence reste le seul rempart.

La question n’est plus : “WhatsApp protège-t-il mes données ?”

Mais plutôt : “De combien de données suis-je prêt à me passer pour protéger mon identité ?”