Etes-vous sûr que ces messages WhatsApp vous sont destinés ?

Mobilité

Une experte technique senior chez Amazon, a eu un choc en se connectant à WhatsApp avec un nouveau numéro de téléphone ce mois-ci. Elle a trouvé les messages WhatsApp de quelqu’un d’autre !

messages whatsapp

Abby Fuller, experte technique senior chez Amazon, a eu un choc en se connectant à WhatsApp avec un nouveau numéro de téléphone ce mois-ci. Elle a trouvé les messages WhatsApp d’un autre utilisateur qui l’attendaient !

WhatsApp, que Facebook a acheté pour 19 milliards de dollars (environ 17 milliards d’euros) en 2014, se présente comme une application de messagerie sécurisée et fiable.

Ce service déclare fièrement ne pas conserver les messages sur ses serveurs une fois qu’ils ont été envoyés. Fuller utilisait un nouveau numéro de téléphone sur un nouvel appareil mobile. Sa carte SIM était neuve et elle n’avait restauré aucun message sauvegardé à partir d’un quelconque endroit. Alors qu’est-ce qui s’est passé ? Comment les messages WhatsApp à destination de quelqu’un d’autre se sont-ils retrouvés sur son téléphone ?

WhatsApp associe les comptes utilisateur aux numéros de téléphone. Le problème est que les gens ne gardent pas toujours leurs numéros de téléphone à vie. Lorsque quelqu’un cesse d’utiliser un numéro, en mettant fin à son contrat de smartphone par exemple, il se retrouve dans la catégorie des numéros disponibles et, selon les règles de la FCC, il ne peut être réaffecté à une autre personne avant 90 jours.

WhatsApp en est conscient et prévient :

Avant de cesser d’utiliser un numéro de téléphone particulier, vous devez migrer votre compte WhatsApp vers le nouveau numéro.  

Il propose même une fonctionnalité pour changer le numéro de téléphone afin d’aider les utilisateurs à passer d’un compte à un autre.

L’ancien propriétaire du numéro ne l’a peut-être pas fait, mais si c’était effectivement le cas, l’entreprise disposait tout de même d’un système de sécurité intégrée. Elle surveille l’inactivité des comptes et surveille ceux inutilisés pendant 30 jours. Si quelqu’un active ensuite un compte avec ce numéro sur un autre appareil mobile, WhatsApp supprime toutes les anciennes données de compte liées à ce numéro de téléphone, y compris la photo de profil et la section “À propos”, indique-t-il.

Pourtant, Fuller a eu son numéro plus longtemps que le délai mentionné ci-dessus :

Une explication potentielle est que WhatsApp se base non seulement sur le propriétaire initial du numéro qui modifie son compte, mais également sur tous ses amis qui mettent à niveau leur compte. Il prévient que :

Chaque fois qu’un ami abandonne un numéro de téléphone, vous devez vous assurer de le supprimer du carnet d’adresses de votre téléphone. Comme il s’agit d’une pratique courante chez tous les opérateurs de téléphonie mobile en matière de recyclage de numéros, vous pouvez très bien identifier de manière incorrecte un compte dans WhatsApp en tant que compte de votre ami, alors que ce compte appartient au propriétaire du nouveau numéro de téléphone. 

WhatsApp utilise exclusivement des numéros de téléphone pour identifier les comptes et nous affichons les noms que vous avez enregistrés dans votre carnet d’adresses pour ces contacts.  

Au moins un utilisateur de Twitter a suggéré que cela pourrait être la cause première :

Depuis 2016, WhatsApp utilise le chiffrement de bout en bout, mais il utilise des clés de chiffrement différentes pour chaque discussion. Cela explique pourquoi les messages WhatsApp destinés au précédent propriétaire du numéro étaient affichés en clair sur l’appareil de Fuller.

Fuller a fourni des explications à partir de Twitterverse concernant ce qui s’est passé au cours de la semaine, mais comme elle le fait remarquer, c’est tout de même le travail de WhatsApp de s’assurer que cela ne se produise pas :

Le problème est que ce n’est pas (ou ne devrait pas être) une situation normale. Personne ne devrait jamais recevoir les messages WhatsApp de quelqu’un d’autre. 

Effrayée par toute cette affaire, elle a rapidement supprimé les messages, mais des commentaires sur ses Tweets ont suggéré qu’il ne s’agissait pas d’un événement isolé. Plusieurs utilisateurs ont signalé des problèmes similaires avec WhatsApp :

Nous ne saurons peut-être jamais ce qui s’est réellement passé avec ces messages WhatsApp errants, mais il est tout à fait possible qu’il n’y ait pas de moyen facile de résoudre le problème. La faille réside probablement dans le principe de conception qui lie l’identité d’une personne à une donnée éphémère, comme un numéro de téléphone par exemple. En 2019, il devrait sûrement exister un meilleur moyen de créer des identités durables et inattaquables pour les utilisateurs.


Billet inspiré de Are you sure those WhatsApp messages are meant for you?, sur Sophos nakedsecurity.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.