sbaresearch/whatsapp-census
これは、論文 こんにちは！あなたは WhatsApp を使っています：セキュリティとプライバシーのための30億アカウントの列挙 の拡張版の GitHub リポジトリです。
WhatsApp は、2025年初頭の時点で35億のアクティブアカウントを抱える、世界最大のインスタントメッセージングプラットフォームです。 その膨大なユーザーベースを考慮すると、WhatsApp は世界のコミュニケーションにおいて極めて重要な役割を果たしています。
会話を開始するには、ユーザーはまず、自分の連絡先がプラットフォームに登録されているかどうかを確認する必要があります。 これは、（アクセスを許可した場合に）ユーザーのアドレス帳から抽出された携帯電話番号で WhatsApp のサーバーに問い合わせることによって実現されます。このアーキテクチャは、サービスが正当なユーザーによる連絡先の登録有無の問い合わせを許可しなければならないため、本質的に電話番号の列挙を可能にします。レート制限は悪用に対する標準的な防御策ですが、私たちはこの問題を再検討し、WhatsApp が大規模な列挙に対して依然として非常に脆弱であることを示します。 私たちの研究では、ブロックや効果的なレート制限に遭遇することなく、1時間あたり1億以上の電話番号を調査することができました。
私たちの調査結果は、この脆弱性の持続性だけでなく、その深刻さも実証しています。 さらに、2021年の Facebook データ漏洩で公開された電話番号のほぼ半分が WhatsApp 上で依然としてアクティブであることを示し、このような情報漏洩に伴う永続的なリスクを浮き彫りにしています。また、私たちは WhatsApp ユーザーのセンサス（全数調査）を実施し、メッセージ自体がエンドツーエンドで暗号化されているにもかかわらず、大規模なメッセージングサービスが生み出すことのできる巨視的な洞察を垣間見ることができました。収集したデータを用いて、特定の X25519 鍵が異なるデバイスや電話番号の間で再利用されていることも発見しました。これは、安全でない（カスタム）実装、または不正行為を示しています。
この論文の更新版では、根本的なレート制限の問題が解決されたことを確認した共同修復プロセスについての洞察も提供します。
BibTeX エントリ:
@inproceedings{GFGUJ_2026,
author = {Gabriel K. Gegenhuber and
Philipp {\'E}. Frenzel and
Maximilian G{\"u}nther and
Johanna Ullrich and
Aljosha Judmayer},
title = {{Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy}},
booktitle = {{33rd Annual Network and Distributed System Security Symposium, ({NDSS})
2026, San Diego, California, USA, February 23--27, 2026}},
publisher = {The Internet Society},
year = {2026},
url = {https://github.com/sbaresearch/whatsapp-census},
doi = {https://dx.doi.org/10.14722/ndss.2026.230805},
timestamp = {2025-11-18T15:00:00+01:00},
}