Aparentemente los mensajes temporales no son tan temporales como creemos… Debe saber que si envía un mensaje, una foto o inclusive un video “Ver una vez” a través de WhatsApp, no debería estar tan seguro de que el receptor no pueda verlo nuevamente. ¿Por qué decimos esto? Investigadores de seguridad con la billetera criptográfica ZenGo revelaron recientemente un error que permitía a los usuarios de WhatsApp ver mensajes “Ver una vez” tantas veces como quisieran.
En respuesta, WhatsApp solucionó el problema, sin embargo, los investigadores de ZenGo descubrieron otro exploit en la solución temporal de WhatsApp que les permitió acceder nuevamente a esos mensajes que supuestamente habían desaparecido.
Esto es lo que tiene que conocer acerca de los mensajes temporales
Por si no lo recuerda, WhatsApp lanzó su función “Ver una vez” en el año de 2021. Ver una vez permite a los usuarios enviar textos, fotos y así mismo, videos que desaparecen después de que el destinatario accede inicialmente a ellos.
Además, para poder garantizar la naturaleza fugaz de estos mensajes, WhatsApp desactiva el uso de capturas de pantalla en la aplicación en los mensajes de una sola lectura a través de iOS y también de Android. Inclusive, WhatsApp limita los mensajes de una sola lectura únicamente a las aplicaciones móviles.
Sin embargo, es crucial señalar que en una publicación de la semana pasada, el gerente de investigación de seguridad de ZenGo, Tal Be’ery, detalló un exploit que permitió a su equipo acceder a los mensajes de View Once una y otra vez.
Básicamente, como explica Be’ery, los mensajes de “Ver una vez” solo se restringen para que no se puedan ver en las aplicaciones móviles después de ser vistos. Los archivos multimedia continúan existiendo en los servidores de WhatsApp. Si un usuario tiene la capacidad de poder hallar la URL del archivo multimedia, puede acceder al mensaje o archivo multimedia que se suponía que había desaparecido.
Es de resaltar que Be’ery recurrió a los canales oficiales de la compañía matriz de WhatsApp, Meta, y reportó el exploit mediante su programa de recompensas por errores el día 26 de agosto. Sin embargo, ya era demasiado tarde. Be’ery pronto descubrió que el error ya estaba circulando, puesto que apareció una extensión de Chrome que permitía a los usuarios acceder a sus mensajes ya vistos en la función Ver una vez a través de la aplicación web de WhatsApp. Cabe aclarar que ZenGo hizo público el exploit y publicó su informe hace algunos días, el 9 de septiembre.
Solución y exploit #2 de Meta
Todo parece indicar que Meta se ha tomado en serio el problema, al menos luego de que Be’ery hiciera pública la vulnerabilidad. Meta parece haber publicado una solución para el error de WhasApp “View Once” el pasado 12 de septiembre.
Según un nuevo informe de Be’ery, el parche de Meta “cambia la forma en que los mensajes multimedia de View Once se guardan en las bases de datos de la aplicación y redactan parte de la información que permite la visualización de los medios”.
Incluso, la solución parece haber roto también la extensión de Chrome “View Once Photos Bypass” mencionada anteriormente.
Sin embargo, según ha señalado Be’ery, la solución todavía no es suficiente y se puede aprovechar con una solución alternativa. De hecho, como descubrió Be’ery, el creador de la extensión de Chrome para omitir “View Once” publicó una actualización en la que señala que ya han descubierto un nuevo exploit para poder volver a acceder a los archivos multimedia de View Once.
De hecho, Be’ery también publicó un video que muestra cómo los mensajes de Ver Una Vez todavía son accesibles.
Desde Meta han comentado que se encuentran tomando varias medidas para solucionar el problema de View Once. La solución inicial estaba destinada a ser temporal, puesto que Meta está reestructurando el funcionamiento de View Once en WhatsApp en la web.
“Como dijimos antes, estamos en proceso de implementar múltiples actualizaciones de View Once en la web”, dijo un portavoz de WhatsApp.
Así mismo añadió, “Esas actualizaciones adicionales se lanzarán próximamente”.
