C’est la société CheckPoint, dans laquelle officie Kasif Dekel, le chercheur israélien à l’origine de la découverte, qui a rendu la faille publique hier. Une faille dans la version web de WhatsApp permettrait à un pirate un peu malin d’infecter l’ordinateur de l’utilisateur ciblé et d’en prendre le contrôle.
WhatsApp : l’application web vulnérable aux piratages
WhatsApp est cette application de messagerie instantanée utilisée par près d’un milliard de personnes dans le monde. Elle permet à ses utilisateurs de communiquer par messages écrits ou même en vocal, par internet, gratuitement. La faille découverte par ce chercheur en sécurité touche plus précisément l’application web de WhatsApp, disponible pour Android depuis le début de l’année et plus récemment pour iOS. Elle permet aux utilisateurs de consulter leurs messages sur ordinateur depuis un navigateur Internet et est utilisée par environ 200 millions de personnes, autant de cibles potentielles pour les pirates.
Une mise à jour pour corriger la faille
Pour exploiter cette faille, baptisée « MaliciousCard », la personne mal intentionnée envoie une fiche contact (vCard) accompagnée d’un code malicieux à l’utilisateur qu’elle a ciblée. Pour celui-ci cette fiche semble parfaitement normale mais lorsqu’il l’ouvre, le code est alors téléchargé dans l’ordinateur et permet au pirate d’en prendre le contrôle et même d’en voler les données.
La société CheckPoint avait averti les équipes de WhatsApp de cette faille à la fin août. Une semaine plus tard la parade avait été trouvé et une mise à jour déployée. Toutefois pour écarter le danger encore faut-il télécharger cette mise à jour. « L’exploitation massive de cette vulnérabilité pourrait avoir affecté des millions d’utilisateurs » expliquait la société. Son responsable de recherche sur la sécurité, Oded Vanunu, ajoutant : « heureusement, WhatsApp a réagi rapidement et de façon responsable pour déployer une atténuation initiale contre l’exploitation de cette question dans tous les clients Web, en attendant une mise à jour du client WhatsApp« .
