WhatsApp은 2025년에 수백만 명의 브라질인 프로필과 휴대폰을 노출한 연구 후 취약점을 수정합니다
오스트리아 비엔나 대학의 연구원들은 WhatsApp 사용자 35억 명 모두의 전화번호를 검색할 수 있는 WhatsApp의 보안 결함을 확인했습니다. 이 허점은 비접촉자와 대화를 시작하기 위한 검색 도구에 존재했으며 2024년 12월부터 2025년 4월 사이에 악용되었습니다. 2025년 11월에 발표된 이 연구는 메시지 암호화를 손상시키지 않으면서 개인 정보 보호 위험을 경고합니다.
이 취약점은 2억 6백만 개의 활성 계정을 보유한 세 번째로 큰 시장인 브라질을 포함하여 245개국의 사용자에게 영향을 미쳤습니다. WhatsApp의 모회사인 Meta는 과학자들의 반복적인 경고를 받은 후 2025년 9월에 수정 사항을 구현했습니다. 현재까지 대규모 악의적인 이용의 증거는 없습니다.
열거 프로세스를 통해 앱 서버에서 초당 최대 7,000개의 검색을 테스트할 수 있었습니다. 수집된 데이터에는 휴대폰 번호, 브라질 사례의 61%에 있는 프로필 사진 및 상태 문자가 포함되었습니다. 이 결함은 대화 내용에 액세스하지 않아 엔드투엔드 보호를 유지했습니다.
결함 악용 방법
연구원들이 사용한 기술에는 지역 표준에 따라 전화번호 범위를 자동으로 생성하는 것이 포함되었습니다. 예를 들어 브라질에서는 8자리 또는 9자리의 숫자가 유효한 조합을 포함하는 것으로 간주되었습니다.
그들은 대량 쿼리를 수행하기 위해 대체 프로그램을 WhatsApp 서버에 연결했습니다. 이로써 전 세계적으로 630억 개의 잠재적 숫자에 대한 예비 목록이 생성되었습니다.
검색에 대한 초기 제한이 없기 때문에 공개 프로필 정보의 신속한 수집이 용이해졌습니다. 테스트는 침해 범위를 파악하기 위해 통제된 라운드에서 진행되었습니다.
브라질 시장에 미치는 영향
브라질에서는 노출 가능성에 영향을 받은 사용자가 2억 600만 명에 달했습니다. 추출된 데이터에 따르면 이 중 81.4%는 Android를 사용하고 18.6%는 iPhone을 사용합니다.
수집을 통해 우리는 앱 등록 시간, 계정당 연결된 장치 수 등의 세부 정보를 추론할 수 있었습니다. 이러한 요소는 피싱과 같은 표적 공격에 도움이 될 수 있습니다.
테스트한 브라질 계정 중 61%에서 프로필 사진에 액세스할 수 있었습니다. 낯선 사람에게 표시되도록 설정된 상태 텍스트도 캡처되었습니다.
취약점에 대한 메타 대응
Meta는 2024년 9월에 첫 번째 경고를 받았지만 조치를 2025년 8월까지 연기했습니다. 연구원들의 압력을 받은 후 검색 및 프로필 보기에 제한을 적용했습니다.
Bug Bounty 프로그램은 오스트리아 팀의 기여를 인정했습니다. 회사는 과학자들이 수집한 데이터가 삭제되었음을 확인했습니다.
스크래핑 방지 조치는 이제 일일 사용량에 영향을 주지 않고 과도한 쿼리를 제한합니다. WhatsApp은 메시지가 암호화된 상태로 유지된다는 점을 강조했습니다.
수정 사항에 대한 기술적인 세부 사항
주요 사건의 연대기
- 2024년 9월: 비엔나 대학교에서 Meta에 대한 최초 경고.
- 2024년 12월~2025년 4월: 여러 국가에서 열거 테스트.
- 2025년 8월: 대량 검색에 대한 첫 번째 방어가 구현됩니다.
- 2025년 9월: 낯선 사람의 프로필 및 사진 제한이 확대되었습니다.
- 2025년 11월: 글로벌 데이터를 포함한 전체 연구 출판.
이 시퀀스는 플랫폼 응답의 초기 지연을 강조합니다. 연구원들은 결과를 검증하기 위해 여러 라운드를 수행했습니다.
Meta는 의심스러운 액세스 패턴을 탐지하기 위해 알고리즘을 조정했습니다. 여기에는 모니터링 타임스탬프와 노출된 공개 키가 포함됩니다.
컴파일된 글로벌 데이터
본 연구에서는 국가별 통계를 집계하여 인도의 사용자가 7억 4,900만 명, 인도네시아가 2억 3,500만 명으로 나타났습니다. 글로벌 총 활성 계정 수는 35억 개를 넘어섰습니다.
브라질에서는 지리적 제한 없이 지역 번호 조합을 매핑했습니다. 열거는 시간당 1억 쿼리라는 최고 속도에 도달했습니다.
암호화에 사용되는 공개 키가 나열되어 있지만 직접적인 위험을 초래하지는 않습니다. 타임스탬프는 활성 계정의 최근 활동을 나타냅니다.
이러한 요소는 WhatsApp 생태계에 대한 비공식 인구 조사를 형성합니다. 이 컬렉션에서는 지역별 개인 정보 보호 설정의 차이를 강조했습니다.
