WhatsApp
Павел Дуров 16 мая выложил статью «Почему WhatsApp никогда не будет безопасным». Она большая, и автор ссылается на 21 источник. В этой статье — кратко о том, почему WhatsApp явно небезопасен, и что с этим можно сделать.
У WhatsApp очень сомнительная репутация в плане приватности пользователей.
В 2012 они не использовали вообще никакого шифрования сообщений, т.е. доступ к происходящему на аккаунте мог получить почти любой желающий.
Позднее они добавили шифрование, но ключи для доступа к приватной информации были у нескольких спецслужб, включая российские.
В 2016 все сообщения между пользователями шифруются оконечным (end-to-end) шифрованием, которое в идеале не даёт "читать" переписки никому, кроме собеседников. Исходный код подобных мессенджеров принято выкладывать в открытый доступ, чтобы любой мог убедиться, что в программе на самом деле нет уязвимостей (или откровенно шпионского кода). Владельцы WhatsApp этого не делают. Специалист может попробовать изучить работу программы, не имея исходного кода, но в WhatsApp код при написании специально запутывается, чтобы со стороны проанализировать качество кода было труднее.
Когда команда Telegram приехала в США на неделю, ФБР трижды пыталась с ними договориться о «специальном доступе». WhatsApp сейчас принадлежит компании Facebook, зарегистрированной в США. Если спецслужбы США получают от компании доступ к WhatsApp и встраивают в код мессенджера свой шпионский код, то сотрудники Facebook не могут об этом никому говорить под угрозой штрафов и даже тюремного заключения — таков закон. Основатели WhatsApp покинули компанию, публично объявив, что «продали приватность своих пользователей», но не уточнили, как именно.
WhatsApp автоматически делает резервные копии чатов в облаке. Чаты защищены end-to-end шифрованием, и к ним доступ можно получить, только используя уязвимости кода, намеренные или нет. А на резервные копии это шифрование не распространяется — их могут перехватывать хакеры и ваш интернет-провайдер (т.е. полиция и спецслужбы). Компания не считает это проблемой.
В WhatsApp каждые несколько месяцев обнаруживаются критические дефекты, очень удобные для несанкционированного доступа не только к перепискам, но и ко всему устройству. Например, осенью 2018 WhatsApp признал, что для получения полного доступа к смартфону достаточно знать о наличии уязвимости в коде и сделать видеозвонок на номер жертвы. Уязвимость якобы исправили, а 13 мая 2019 СМИ сообщили, что пользователи WhatsApp подверглись массовой хакерской атаке — один звонок даёт полный доступ к смартфону, устанавливает на него шпионский софт, и пользователю даже не нужно было поднимать трубку. Компания затрудняется сказать, сколько пользователей были заражены.
Для сравнения, в Telegram за 6 лет ни разу не было обнаружено подобных уязвимостей.
Неизвестно, сколько таких атак на WhatsApp остаётся незамеченными. Технически продвинутые спецслужбы могут сами атаковать пользователей. Неизвестно, с кем, кроме спецслужб США, сотрудничает WhatsApp, но он не заблокирован в России и Иране, в отличие от Telegram.
Вероятно, кроме удаления WhatsApp пользователям желательно просканировать свои устройства на предмет шпионского софта и в любом случае переустановить операционную систему как на мобильном устройстве, так и на стационарном. Насколько вероятно, что информация с устройства была скомпрометирована, сказать невозможно. В особых случаях устройство можно сдать на анализ специалистам по компьютерной безопасности, так как антивирус вовсе не обязательно способен найти шпионский софт. В менее значительных случаях остаётся рассчитывать на то, что спецслужбы просто не способны следить за всеми подряд, и информацию со случайно "захваченных" устройств их не интересует.