El popular servicio de mensajería WhatsApp tiene varios fallos que podrían permitir a usuarios maliciosos interceptar y modificar los contenidos de los mensajes enviados, tanto de forma privada como en conversaciones en grupo.

Los fallos, que han sido descubiertos por la compañía israelí de ciberseguridad Check Point, se aprovechan de un agujero en los protocolos de seguridad de WhatsApp para cambiar contenidos de los mensajes, abriendo así la puerta al esparcimiento de mensajes destinados a desinformar y de falsas noticias, los cuales pueden ser presentados como procedentes de fuentes confiables.

Los fallos residen en la manera en que la aplicación para móviles de WhatsApp se conecta a WhatsApp Web y descifra los mensajes cifrados de extremo a extremo utilizando el protocolo protobuf2. Los hackers podrían utilizar la función de citar en una conversación grupal de para cambiar la identidad del remitente o alterar el contenido de la respuesta de otra persona, además de enviar mensajes privados a uno de los participantes del grupo que se hacen pasar por grupales pero que solo puede ser vistos por uno de los miembros.

Es importante tener en cuenta que el cifrado extremo a extremo impide que terceros puedan interceptar los mensajes y modificarlos, así que los fallos solo pueden explotados por usuarios malintencionados que ya formen parte de la conversación en grupo. Los investigadores, para demostrar su descubrimiento, han creado una extensión personalizada para el popular software de seguridad de aplicaciones web Burp Site, permitiéndoles interceptar y modificar de forma fácil los mensajes cifrados enviados y recibidos en WhatsApp Web.

La herramienta para realizar el ataque ha recibido el nombre de “WhatsApp Protocol Decryption Burp Tool” y su código está disponible en GitHub. Para llevarlo a cabo, primero el atacante tiene que ingresar sus claves privadas y públicas, las cuales pueden ser obtenidas fácilmente desde la fase de generación de claves de WhatsApp Web, antes de la generación del código QR.

Mediante la explotación de los fallos descubiertos se pueden realizar los siguientes tres ataques:

1. Utilizando la extensión de Burp Suite, un usuario de WhatsApp malicioso puede alterar el contenido de la respuesta de alguien, sobre todo pudiendo poner palabras que realmente no ha escrito.
2. Permitir que un usuario malicioso en un grupo de WhatsApp pueda explotar la característica de citar en una conversación, pudiendo suplantar una respuesta para hacerse pasar por otro miembro del grupo o por alguien que ni siquiera está dentro.
3. Permitir que un usuario malicioso en grupo de WhatsApp pueda enviar un mensajes específicamente diseñados que solo una persona específica pueda leer. Si la la potencial víctima responde, solo el contenido generado por esta última parte será mostrado.

Facebook y WhatsApp han respondido ante los reportes de Check Point que los fallos no rompen el cifrado extremo a extremo utilizado por el servicio de mensajería, algo a lo que han añadido la disposición de una opción para bloquear a emisores que mandan mensajes falsos que pueden resultar problemáticos, pudiendo además acabar esos emisores maliciosos reportados ante los encargados del servicio, así que en un principio no harán nada por subsanarlos.

Otro argumento esgrimido es que “este es un caso límite conocido que se relaciona con el hecho de que no almacenamos mensajes en nuestros servidores y no tenemos una única fuente de la verdad para esos mensajes.”

¿Intentará algo WhatsApp para al menos mitigar estos errores? Las respuestas ofrecidas por los encargados del servicio no parecen en un principio muy convincentes, y a esto hay que añadir el hecho de que su matriz, Facebook, está atravesando una importante crisis a nivel de credibilidad que la pone en el punto de mira ante el más mínimo fallo.