Para peneliti mengumpulkan daftar 3,5 miliar nomor ponsel WhatsApp dan informasi pribadi terkait dengan menyalahgunakan API penemuan kontak yang tidak memiliki batasan kecepatan.
Tim melaporkan masalah ini ke WhatsApp, dan perusahaan tersebut telah menambahkan perlindungan pembatasan tarif untuk mencegah penyalahgunaan serupa.
Meskipun penelitian ini dilakukan oleh para peneliti yang belum merilis datanya, penelitian ini menggambarkan taktik umum yang digunakan oleh pelaku ancaman untuk mengambil informasi pengguna dari API yang terekspos secara publik dan tidak dilindungi.
Menyalahgunakan API WhatsApp
Para peneliti dari Universitas Wina dan SBA Research menggunakan fitur penemuan kontak WhatsApp, yang memungkinkan Anda mengirimkan nomor telepon ke platform tersebut. GetDeviceList Titik akhir API untuk menentukan apakah nomor telepon dikaitkan dengan akun dan perangkat apa yang digunakan.
Tanpa pembatasan tarif yang ketat, API seperti ini dapat disalahgunakan untuk melakukan enumerasi skala besar di seluruh platform.
Para peneliti menemukan hal serupa terjadi pada WhatsApp, karena mereka mampu mengirimkan pertanyaan dalam jumlah besar langsung ke server WhatsApp, memeriksa lebih dari 100 juta nomor per jam.
Mereka menjalankan seluruh operasi dari satu server universitas hanya dengan menggunakan lima sesi yang diautentikasi, awalnya mengira mereka akan tertangkap oleh WhatsApp. Namun, platform ini tidak pernah memblokir akun-akun tersebut, tidak pernah membatasi lalu lintasnya, tidak pernah membatasi alamat IP-nya, dan tidak pernah menghubungi meskipun semua aktivitas penyalahgunaan datang dari satu perangkat.
Para peneliti kemudian menghasilkan 63 miliar nomor ponsel potensial secara global dan menguji semuanya terhadap API. Pertanyaan mereka menghasilkan 3,5 miliar akun WhatsApp aktif.
Hasilnya juga memberikan gambaran yang sebelumnya tidak diketahui tentang bagaimana WhatsApp digunakan secara global, dan menunjukkan di mana platform tersebut paling banyak digunakan:
- India: 749 juta
- Indonesia: 235 juta
- Brazil: 206 juta
- Amerika Serikat: 138 juta
- Rusia: 133 juta
- Meksiko: 128 juta
Jutaan akun aktif juga diidentifikasi di negara-negara yang melarang WhatsApp pada saat itu, termasuk Tiongkok, Iran, Korea Utara, dan Myanmar. Di Iran, penggunaan terus meningkat seiring pencabutan larangan pada Desember 2024.
Selain mengonfirmasi apakah nomor telepon digunakan di WhatsApp, para peneliti menggunakan titik akhir API lain untuk menghitung informasi tambahan tentang pengguna, termasuk GetUserInfo, GetPrekeysDan FetchPicture.
Dengan menggunakan API tambahan ini, para peneliti dapat mengumpulkan foto profil, teks “tentang”, dan informasi tentang perangkat lain yang terkait dengan nomor telepon WhatsApp.
Pengujian terhadap nomor-nomor di AS mengunduh 77 juta foto profil tanpa batasan kecepatan apa pun, dengan banyak di antaranya menunjukkan wajah-wajah yang dapat diidentifikasi. Jika teks “tentang” publik tersedia, itu juga mengungkapkan rincian pribadi dan tautan ke akun sosial lainnya.
Terakhir, ketika para peneliti membandingkan temuan mereka dengan Pengikisan nomor telepon Facebook tahun 2021mereka menemukan bahwa 58% dari nomor Facebook yang bocor masih aktif di WhatsApp pada tahun 2025. Para peneliti menjelaskan bahwa kebocoran nomor telepon dalam skala besar sangat merugikan karena dapat tetap berguna dalam perilaku jahat lainnya selama bertahun-tahun.
“Dengan 3,5 miliar catatan (yaitu, akun aktif), kami menganalisis kumpulan data yang, sepengetahuan kami, akan diklasifikasikan sebagai kebocoran data terbesar dalam sejarah, jika tidak dikumpulkan sebagai bagian dari studi penelitian yang dilakukan secara bertanggung jawab,” jelasnya.Hai! Anda menggunakan WhatsApp: Menghitung Tiga Miliar Akun untuk Keamanan dan Privasi” kertas.
“Kumpulan data berisi nomor telepon, stempel waktu, teks, gambar profil, dan kunci publik untuk enkripsi E2EE, dan peluncurannya akan menimbulkan implikasi buruk bagi pengguna yang disertakan.”
Kasus penyalahgunaan API berbahaya lainnya
Kurangnya pembatasan kecepatan API pada WhatsApp menggambarkan masalah yang meluas pada platform online, di mana API dirancang untuk memudahkan berbagi informasi dan melakukan tugas, namun juga menjadi vektor untuk scraping skala besar.
Pada tahun 2021, pelaku ancaman mengeksploitasi bug di fitur “Tambahkan Teman” Facebook yang memungkinkan mereka mengunggah daftar kontak dari ponsel dan memeriksa apakah kontak tersebut ada di platform. Namun, API ini juga tidak membatasi permintaan dengan benar, sehingga memungkinkan pelaku ancaman membuat profil untuk 533 juta pengguna yang menyertakan nomor telepon, ID Facebook, nama, dan jenis kelamin mereka.
Meta kemudian dikonfirmasi bahwa data tersebut berasal dari pengikisan otomatis API yang tidak memiliki perlindungan yang tepat, dengan Komisi Perlindungan Data Irlandia (DPC) mendenda Meta €265 juta atas kebocoran tersebut.
Twitter menghadapi masalah serupa ketika penyerang mengeksploitasi kerentanan API untuk mencocokkan nomor telepon dan alamat email dengan 54 juta akun.
Dell mengungkapkan bahwa 49 juta catatan pelanggan dihapus setelah penyerang menyalahgunakan titik akhir API yang tidak dilindungi.
Semua insiden ini, termasuk WhatsApp, disebabkan oleh API yang melakukan pencarian akun atau data tanpa batas kecepatan yang memadai, sehingga menjadikannya sasaran empuk untuk pencacahan skala besar.
Tolok Ukur Anggaran CISO 2026
Ini musim anggaran! Lebih dari 300 CISO dan pemimpin keamanan telah berbagi bagaimana mereka merencanakan, membelanjakan, dan membuat prioritas untuk tahun depan. Laporan ini mengumpulkan wawasan mereka, memungkinkan pembaca untuk membuat tolok ukur strategi, mengidentifikasi tren yang muncul, dan membandingkan prioritas mereka menjelang tahun 2026.
Pelajari bagaimana para pemimpin terkemuka mengubah investasi menjadi dampak yang terukur.
