Una falla de WhatsApp expuso 3500 millones de cuentas y fotos de perfil: 43,8 millones son argentinas
Una investigación académica reveló uno de los incidentes de privacidad más grandes jamás documentados en una plataforma digital: un equipo de la Universidad de Viena logró recopilar 3500 millones de cuentas activas de WhatsApp a través de un escaneo automatizado que explotaba una debilidad en el sistema de verificación de contactos.
Entre esos registros aparecieron 43,8 millones de números argentinos, muchos acompañados por fotos de perfil y estados visibles.
El descubrimiento puso en evidencia un problema que llevaba años sin resolverse y que afectó a usuarios de todo el mundo. Según los investigadores, la aplicación permitía realizar consultas ilimitadas para determinar si un número estaba registrado en WhatsApp.
Esa función, conocida como “descubrimiento de contacto”, se activa cada vez que un usuario agrega un teléfono a su agenda. El sistema respondía automáticamente si la cuenta existía y, si el perfil no tenía restricciones de privacidad, mostraba la foto y el texto del “Acerca de”.
Los analistas comprobaron el alcance de la vulnerabilidad desde la versión web de WhatsAp. Primero probaron con números de Estados Unidos: en apenas media hora juntaron 30 millones de cuentas válidas. Luego escalaron el proceso y generaron combinaciones numéricas de todos los países, sin encontrar bloqueos ni restricciones. Con ese método construyeron una base global de 3500 millones de registros.
En el 57% de los perfiles pudieron ver la foto de perfil y en un 29% accedieron al texto del estado. La técnica también permitió identificar cuentas en países donde WhatsApp está prohibido, como China y Myanmar, donde tener la aplicación puede representar un riesgo para la integridad de los usuarios.
Los datos obtenidos no incluyen mensajes ni conversaciones: el cifrado de extremo a extremo permaneció intacto. Sin embargo, la escala del mapeo constituye un recurso invaluable para estafadores y operadores de fraude, que suelen aprovechar números reales con fotos y descripciones para montar campañas de phishing, ingeniería social o spam a gran escala.
La reacción de Meta y la advertencia de los expertos
La investigación fue divulgada por Wired y motivó la respuesta de Meta. La compañía reconoció el trabajo de los especialistas y aseguró que ya había implementado defensas adicionales para bloquear la recolección automatizada.
La empresa de Mark Zuckerberg, además, aclaró que no se trató de una fuga interna, sino de un scraping externo que dependía de conocer previamente cada número. También remarcó que las fotos y estados visibles dependen de la configuración de privacidad elegida por cada usuario.
Los investigadores, sin embargo, remarcaron que la aplicación permitía consultar números de manera ilimitada, algo que no debería ocurrir en un servicio utilizado por miles de millones de personas.
El impacto en Argentina: casi toda la población, expuesta
El análisis del equipo austríaco incluyó un detalle por país y ubicó a la Argentina en el puesto 19 del listado mundial. De acuerdo con el relevamiento, 43.854.434 cuentas argentinas aparecieron en la extracción (1,27% del total global encontrado). El 54,8% tenía la foto de perfil pública y el 32,8% mostraba la descripción del estado. otro dato interesante es que de esos 43,8 millones de perfiles argentinos, el 5,4% correspondía a cuentas de empresa.
El incidente reavivó la discusión sobre el rol del número de teléfono como credencial principal en WhatsApp. Los investigadores plantearon que los números no fueron diseñados como llaves privadas para servicios globales y que, mientras se mantengan como base del sistema de identificación, cualquier mecanismo de descubrimiento puede convertirse en un vector de exposición.