WhatsApp permite alterar mensagens usando recurso Responder
Empresa confirma que é possível manipular recurso Responder, mas não pretende corrigir isso
A empresa de segurança Check Point descobriu que é possível modificar o WhatsApp e, com o aplicativo hackeado, alterar o conteúdo de uma mensagem já enviada. Isso não afeta o seu histórico, mas você precisará tomar cuidado com o recurso Responder.
Funciona assim: você recebe algo inofensivo, como um “bom dia”, toca nele e escolhe a opção Responder. Isso vai citar o conteúdo original. Então, usando uma versão modificada do WhatsApp, você altera essa mensagem para o que quiser — “estou no hospital”, por exemplo — e a envia com um comentário.
A mensagem original (“bom dia”) continuará inalterada no histórico. O texto modificado (“estou no hospital”) vai aparecer somente como uma citação. No entanto, isso pode ser o bastante para confundir os membros de um grupo.
As setas indicam a mensagem original (que permanece no histórico) e o texto manipulado:
O WhatsApp diz ao New York Times que realmente é possível manipular o recurso Responder. No entanto, a empresa não pretende corrigir isso: ela teria que verificar cada mensagem na plataforma, o que criaria riscos à privacidade ou tornaria o serviço mais lento.
Uma solução seria comparar o histórico de cada usuário em uma conversa, para verificar se uma mensagem foi manipulada com o “Responder”. No entanto, o WhatsApp diz que não guarda as conversas em seus servidores.
Criando um histórico falso
A Check Point fez engenharia reversa no WhatsApp para descobrir os parâmetros enviados em cada mensagem.
Um deles é o “conversation”, que traz a mensagem citada no recurso Responder. Como vimos, é possível alterá-la para qualquer coisa. Há ainda o “participant”, com o nome da pessoa que enviou a frase original — sim, você pode modificar isso também.
Outros ataques são possíveis com o WhatsApp hackeado. Por exemplo, você pode enviar mensagens para si mesmo em nome de outra pessoa. Elas vão aparecer à esquerda no histórico, indicando que vieram do seu contato — mas foi você que escreveu.
Isso permite criar um histórico falso, como no exemplo abaixo. Tudo aqui foi enviado pela mesma pessoa:
O parâmetro “fromMe” indica se a mensagem é sua ou de outra pessoa do grupo. Ao modificá-lo (de verdadeiro para falso), uma frase enviada por você parece ter vindo de outro contato.
Enviando mensagens particulares em um grupo
O truque mais complexo, no entanto, é enviar uma mensagem em um grupo, mas deixá-la visível apenas para um membro. Quando ele responder, todos poderão ver.
No exemplo abaixo, um filho comenta sobre a festa surpresa para o pai dele no grupo da família. A mensagem fica visível somente para a mãe, que não sabe disso. A resposta dela aparece para todo mundo, e o pai descobre a surpresa.
Confira no vídeo a partir do ponto 2:15:
Vale lembrar que a criptografia de ponta a ponta não foi quebrada nesses casos. Na verdade, a firma de segurança explica em seu blog como encriptar as mensagens antes de enviá-las — senão os ataques não iriam funcionar.
Fake news
O pesquisador Oded Vanunu, da Check Point, diz ao NYT que seria muito fácil espalhar informações erradas ao manipular o Responder. Isso pode ser um problema em grupos com muitas pessoas. “O público depende da integridade da mensagem, e o WhatsApp precisa se ajustar para evitar essa manipulação simples.”
No entanto, o WhatsApp minimizou isso, dizendo que a maioria das pessoas conhece as pessoas com quem se comunicam. Apenas 10% de todas as mensagens são enviadas em grupos, e a maioria deles tem seis integrantes ou menos.
O WhatsApp vem sendo criticado por não combater notícias falsas em sua plataforma. A empresa tomou algumas medidas recentemente, como limitar encaminhamentos e financiar estudos sobre a disseminação de fake news. A descoberta da Check Point não fará parte desses esforços.
