sbaresearch/whatsapp-census
Dies ist das GitHub-Repository für die erweiterte Version des Papers Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy.
WhatsApp ist mit 3,5 Milliarden aktiven Konten (Stand Anfang 2025) die größte Instant-Messaging-Plattform der Welt. Angesichts seiner enormen Nutzerbasis spielt WhatsApp eine zentrale Rolle in der globalen Kommunikation.
Um Gespräche zu beginnen, müssen Nutzer zunächst herausfinden, ob ihre Kontakte auf der Plattform registriert sind. Dies wird erreicht, indem die Server von WhatsApp mit Mobiltelefonnummern abgefragt werden, die aus dem Adressbuch des Nutzers extrahiert werden (sofern dieser den Zugriff erlaubt hat). Diese Architektur ermöglicht von Natur aus die Enumeration von Telefonnummern, da der Dienst legitimen Nutzern erlauben muss, die Verfügbarkeit von Kontakten abzufragen. Obwohl Rate-Limiting eine gängige Verteidigung gegen Missbrauch darstellt, betrachten wir das Problem erneut und zeigen, dass WhatsApp weiterhin in hohem Maße anfällig für Enumeration in großem Maßstab ist. In unserer Studie konnten wir über hundert Millionen Telefonnummern pro Stunde abfragen, ohne auf eine Blockierung oder wirksames Rate-Limiting zu stoßen.
Unsere Ergebnisse belegen nicht nur die Beständigkeit, sondern auch die Schwere dieser Schwachstelle. Wir zeigen darüber hinaus, dass fast die Hälfte der im Facebook-Datenleck von 2021 offengelegten Telefonnummern weiterhin auf WhatsApp aktiv ist, was die anhaltenden Risiken solcher Offenlegungen unterstreicht. Darüber hinaus konnten wir einen Zensus der WhatsApp-Nutzer durchführen, der einen Einblick in die makroskopischen Erkenntnisse gibt, die ein großer Messaging-Dienst gewinnen kann, obwohl die Nachrichten selbst Ende-zu-Ende-verschlüsselt sind. Mithilfe der gesammelten Daten entdeckten wir außerdem die Wiederverwendung bestimmter X25519-Schlüssel über verschiedene Geräte und Telefonnummern hinweg, was entweder auf unsichere (benutzerdefinierte) Implementierungen oder betrügerische Aktivitäten hindeutet.
In dieser aktualisierten Version des Papers geben wir außerdem Einblicke in den kooperativen Behebungsprozess, durch den wir bestätigt haben, dass das zugrunde liegende Rate-Limiting-Problem behoben wurde.
BibTeX-Eintrag:
@inproceedings{GFGUJ_2026,
author = {Gabriel K. Gegenhuber and
Philipp {\'E}. Frenzel and
Maximilian G{\"u}nther and
Johanna Ullrich and
Aljosha Judmayer},
title = {{Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy}},
booktitle = {{33rd Annual Network and Distributed System Security Symposium, ({NDSS})
2026, San Diego, California, USA, February 23--27, 2026}},
publisher = {The Internet Society},
year = {2026},
url = {https://github.com/sbaresearch/whatsapp-census},
doi = {https://dx.doi.org/10.14722/ndss.2026.230805},
timestamp = {2025-11-18T15:00:00+01:00},
}