공격자는 간단한 이메일 하나로 WhatsApp 계정을 종료할 수 있습니다.

허점은 패치된거 같은데

WhatsApp은 가장 널리 사용되는 메시징 솔루션 중 하나이며, 이는 적어도 부분적으로 완전한 E2EE(종단 간 암호화) 덕분입니다. 그러나 독립형 보안 기능인 E2EE는 사용자 계정에 대한 무단 액세스를 방지하는 강력한 조치가 지원되지 않으면 전혀 쓸모가 없습니다. 서비스가 발전함에 따라 이러한 취약점이 점점 줄어들고 있지만 최근에 밝혀진 WhatsApp 문제는 특히나 치명적입니다. 누구나 동의 없이 원격으로 계정을 비활성화할 수 있기 때문입니다.

드물게 기본 휴대폰을 도난당하여 WhatsApp에 액세스할 수 없는 경우 Meta 소유 메시징 서비스를 사용하면 WhatsApp 계정의 원격 비활성화를 쉽게 요청하여 오용을 방지할 수 있습니다. WhatsApp 지원 문서에는 "분실/도난: 내 계정을 비활성화해 주세요"라는 문구가 포함된 이메일과 전화번호를 국제 형식으로 촬영하면 된다고 명시되어 있습니다. 유토피아적인 세계에서 이 시스템은 소수의 사용자 계정을 유지하는 회사에는 적합할 수 있지만 WhatsApp과 수십억 명의 사용자에게는 그렇지 않습니다.

ESET의 글로벌 사이버 보안 고문인 Jake Moore는 우리가 이상적인 세상에 살고 있지 않다고 올바르게 지적합니다. 더욱이 WhatsApp의 프로세스는 완전히 자동화되어 있으며 이메일 보낸 사람이 비활성화할 WhatsApp 계정의 실제 소유자인지 확인하지 않습니다. 이러한 시나리오에서는 귀하의 전화번호를 아는 사람이 어떻게 귀하의 뒤에서 버너 이메일 주소를 생성하고 계정 비활성화를 요청할 수 있는지 상상하기 쉽습니다.

전문 사이버 범죄자는 한 단계 더 나아가 WhatsApp 계정을 무작위로 비활성화하고 무고한 피해자가 WhatsApp 계정에 액세스하기 위해 비용을 지불할 때까지 서비스 거부(DOS) 공격을 반복적으로 수행하는 자동화된 스크립트를 사용하여 이 시스템을 대규모로 악용할 수 있습니다. 또한 더 많은 사람을 대상으로 연락처 정보를 훔치거나 최근 WhatsApp 백업이 없으면 복구할 수 없는 대화를 삭제할 수도 있습니다.

다행히도 Meta는 결함을 인지한 것 같습니다. 아니면 터무니없이 많은 비활성화 요청을 받았을 수도 있습니다. 현재로서는 즉각적인 계정 비활성화가 비활성화되어 있습니다. 이러한 공격의 피해자인 경우 지원 문서에는 비활성화된 계정과 읽지 않은 모든 메시지를 30일 이내에 복구할 수 있다고 명시되어 있습니다.

신속한 개입을 위해 WhatsApp을 칭찬하지만 현재 중단된 기능은 WhatsApp이 새로운 앱이었던 시절에 남겨진 상용구 구현처럼 보입니다. 별도의 트윗에서 사이버 보안 고문은 WhatsApp에 시스템을 다시 활성화하고 WhatsApp 계정 소유자에게 연결된 이메일의 비활성화 요청만 받아들일 것을 제안했습니다. 그는 현재처럼 옵션이 아닌 모든 WhatsApp 계정에 2단계 인증이 필수가 되어야 한다고 덧붙였습니다.

이번 폭로 이후 WhatsApp이 계정 비활성화 시스템을 어떻게 구현하는지 주목해 보겠습니다.

Chandraveer는 기기, 런처, 테마, 앱, 사진 등 Android에 관한 모든 것에 열정을 갖고 있는 기계 설계 엔지니어입니다. 그는 기계식 키보드의 무거운 선형 스위치를 누르지 않을 때 새로운 음악을 발견하고, 키보드를 개선하고, 구불구불한 도로에서 해치백의 기어를 조정하는 것을 즐깁니다.