Peneliti menemukan kelemahan kritis WhatsApp: Apakah Anda harus khawatir?

Peneliti cybersecurity di Check Point mengklaim telah menemukan beberapa kelemahan di WhatsApp aplikasi pesan instan yang populer. Kerentanan bercabang tiga memungkinkan peretas untuk menipu identitas pengirim, mengubah teks balasan orang lain, dan mengirim pesan pribadi ke grup yang berpartisipasi yang menyamar sebagai pesan publik.

Peneliti CheckPoint mengklaim mereka telah memberi tahu WhatsApp tentang kerentanan pada 2018. Perusahaan pesan instan hanya memperbaiki kerentanan ketiga sementara membiarkan dua kerentanan lainnya terekspos kepada peretas.

Para peneliti mengembangkan alat yang memungkinkan mereka untuk mendekripsi komunikasi WhatsApp dan menipu pesan. Para peneliti menunjukkan bahwa mereka fokus pada membalikkan algoritma WhatsApp untuk mendekripsi data setelah menganalisis bagaimana perusahaan pesan mengenkripsi komunikasi.

Kerentanan 1: Mengubah identitas pengirim

Para peneliti menunjukkan bahwa peretas dapat mengakses lalu lintas terenkripsi untuk menyamar sebagai anggota grup lain dan kemudian mengirimkannya ekstensi untuk mendekripsi konten. Peretas kemudian dapat membalas pesan palsu dalam grup, meskipun pesan asli untuk balasan tidak pernah ada.

Kerentanan 2: Menempatkan kata-kata di mulut Anda

Kerentanan kedua memungkinkan peretas untuk mengubah pesan yang dikirim oleh pengirim kembali kepada dirinya sendiri. Para peneliti mengatakan parameter "fromMe" yang Anda manfaatkan digunakan dalam pesan WhatsApp. Parameter ini pada dasarnya digunakan untuk menunjukkan siapa pengirim asli suatu pesan.

Tanggapan WhatsApp

WhatsApp menolak studi Titik Periksa dengan mengatakan peretasan itu bukan kerentanan dengan protokol keamanan aplikasi pengiriman pesan instan. Perusahaan mengatakan bahwa apa yang disebut kerentanan itu mirip dengan mengubah balasan email.

“Kami dengan hati-hati meninjau masalah ini setahun yang lalu dan adalah salah untuk menyarankan ada kerentanan dengan keamanan yang kami berikan di WhatsApp. Skenario yang dijelaskan di sini hanyalah ponsel yang setara dengan mengubah balasan di utas email agar terlihat seperti sesuatu yang tidak ditulis seseorang. Kita harus berhati-hati bahwa mengatasi kekhawatiran yang diangkat oleh para peneliti ini dapat membuat WhatsApp kurang pribadi – seperti menyimpan informasi tentang asal-usul pesan, ”kata juru bicara WhatsApp.

Peneliti keamanan membagikan tangkapan layar pesan palsu (Checkpoint)

Haruskah kamu khawatir?

Studi terbaru mengungkapkan metode yang kompleks namun layak bagi peretas untuk melakukan penipuan melalui WhatsApp. Pakar keamanan menyarankan agar pengguna memperhatikan pesan mereka dalam pesan grup. Jika mereka menemukan sesuatu yang mencurigakan, mereka harus memverifikasi dengan pengirim dalam obrolan pribadi.

Rahul Tyagi, salah satu pendiri, Lucideus mengatakan, “WhatsApp dapat mencegah hal ini dengan mengatasi kerentanan dan memperbaikinya yang ditolak oleh WhatsApp. Dalam skenario ini, Checkpoint telah menyebutkan bahwa mereka dapat membuat decrypter dengan mengidentifikasi enkripsi yang digunakan WhatsApp, menunjukkan kemungkinan penyerang mendapatkan pengetahuan yang sama untuk membuat alat decrypter dan mencegat pesan pengguna. "

"Jika WhatsApp ingin mengatasi dan mencegah hal ini, maka fitur privasi yang dijanjikan WhatApp akan terpengaruh karena harus menyimpan informasi pengguna untuk mengidentifikasi validitas pesan yang dikomunikasikan antara pengguna," tambahnya.

Farrhad Acidwalla, pendiri Cybernetiv Digital – Forward Thinking Analytics and Research, mengatakan, “Setiap kelemahan keamanan jika dapat diakses oleh mereka yang mensrea untuk mengeksploitasinya akan berpotensi merugikan konsumen dan perusahaan. Kerentanan Whatsapp yang jelas ini dapat memungkinkan aktor jahat menyebarkan berita palsu atau memasukkan kata-kata ke dalam obrolan yang tidak pernah dikatakan oleh korban.

"Whatsapp tampaknya sudah tahu tentang beberapa kekurangan ini untuk sementara waktu tetapi belum mendorong perbaikannya. Seorang pejabat Facebook Tanggapan membandingkan bug ini untuk mengubah utas email untuk mengubah kata-kata seseorang. Secara teknologi, masuk akal bahwa obrolan bersifat end-to-end dienkripsi dan Facebook mungkin merasa seperti itu tidak bisa berbuat banyak di sini karena eksploitasi datang dari dalam salah satu ponsel pengguna, "tambahnya.

“WhatsApp adalah pengirim pesan instan paling populer di dunia. Kelemahan keamanan yang ditemukan di aplikasi ini memang sangat serius, karena bisa mengakibatkan peserta obrolan kelompok dihina oleh pesan palsu. Ini tidak berarti bahwa pengguna harus berhenti menggunakan WhatsApp, karena, sementara bug keamanan tentu saja berbahaya, mereka tidak biasa dalam jenis perangkat lunak apa pun, ”kata Victor Chebyshev, seorang peneliti keamanan di Kaspersky.

“Namun, pengguna harus sangat berhati-hati saat berkontribusi dalam obrolan grup. Jika ada keraguan selama korespondensi, konfirmasikan identitas penulis dalam obrolan pribadi. Kami sangat menyarankan untuk mengawasi kapan pembaruan WhatsApp dirilis dan segera mengunduh versi baru agar tetap aman, ”tambahnya.

Untuk saat ini, pengguna dapat memblokir pengirim yang mereka pikir sedang mencoba menipu pesan. Mereka juga dapat melaporkan perilaku tersebut ke WhatsApp.

WhatsApp tahun lalu menunjukkan bahwa peretas dimungkinkan untuk memanipulasi fitur "kutipan" tetapi itu bukan cacat yang terkait dengan enkripsi ujung-ke-ujungnya. "Kami dengan hati-hati meninjau masalah ini dan itu sama dengan mengubah email," kata juru bicara WhatsApp kepada The New York Times tahun lalu.

WhatsApp mengatakan perbaikan yang ditawarkan seperti membuat transkrip dari setiap pertukaran pesan tidak layak dipertimbangkan karena akan merusak standar keamanan aplikasi.