Foutje in WhatsApp: iedereen kan je uit de app gooien

Geschreven door

Franke Koornneef

Gecontroleerd door

Bram

Bijgewerkt op

13 april 2021

[addtoany] ×

Woepsie, er zit een ‘foutje’ in WhatsApp waarmee een kwaadwillende je kan buitensluiten. Maar het is ingewikkeld om te doen.

Dagelijks worden er bijna ontelbaar veel berichten verzonden via de dienst. Het zou toch vervelend zijn als een of andere onverlaat je van je eigen account gooit. Door een fout in WhatApp kan een aanvaller na een ingewikkelde procedure je account deactiveren. De grootste nachtmerrie van velen van ons.

Foutje in WhatsApp

Forbes schreef er al eerder over, nadat veiligheidsonderzoekers Luis Márquez Carpintero en Ernesto Canales Pereña de fout ontdekte in WhatsApp. Om van de fout gebruik te maken, moet er een proces doorlopen worden dat vrij ingewikkeld is en dat ongeveer 36 uur duurt. Kleine kans dus dat dit jou gaat overkomen.

Het gehele proces is vrij gemakkelijk te begrijpen, maar neemt wel veel tijd in beslag wat het weer ingewikkeld maakt. Na het installeren van de berichtendienst probeert de aanvaller via je nummer in te loggen door authenticatiecodes op te vragen. Na een aantal (foutieve) pogingen blokkeert WhatsApp het verzenden van de codes. De aanvaller stuurt vervolgens een e-mail met “een verloren / gestolen telefoonverzoek” naar de WhatsApp-ondersteuning om je account te deactiveren. Opmerkelijk genoeg verifieert WhatsApp niet of dit e-mailadres gekoppeld is aan het account.

Geblokkeerd

De aanvaller moet vervolgens deze cyclus van 12 uur twee keer herhalen. De toegang tot de app ben je dan kwijt, want aan het einde krijgen zowel de aanvaller als de oorspronkelijke gebruiker het bericht ‘Probeer het na -1 seconden opnieuw’. Om het account te herstellen moet je contact opnemen met de WhatsApp- ondersteuning.

Waarom zou een aanvaller dit doen? Enkel en alleen om iemand te irriteren en een ‘aanval’ uit te voeren. Want hiermee kunnen geen gegevens of geld gestolen worden. Het meest zorgelijke van dit verhaal is nog geeneens dat dit kan (want de kans is zo klein dat dit je overkomt), maar dat WhatsApp geen mogelijkheid heeft om jezelf te verifiëren als eigenaar van een account. Dat is wel verontrustend te noemen.