Falha no WhatsApp permitiu varredura massiva na descoberta de contatos, revelou fotos e textos de perfil e só recebeu contenção robusta meses após alerta à Meta
Uma falha no WhatsApp explorou o recurso de descoberta de contatos e expôs em escala global dados associados a contas ativas, segundo pesquisadores austríacos citados pela revista Wired. Com um método simples de enumeração de números, a equipe conseguiu checar, em alta velocidade, quais telefones estavam registrados na plataforma, extraindo 3,5 bilhões de números e, quando disponíveis, elementos de perfil como fotos e textos. A Meta foi avisada em abril de 2025 e só aplicou limites mais rígidos de consultas em outubro de 2025, enquanto a exposição já havia ocorrido em larga escala.
De acordo com o estudo, a ausência de restrições efetivas no ritmo das requisições viabilizou uma varredura automatizada de magnitude inédita. A coleta incluiu fotos de perfil em 57% dos casos e textos de perfil em 29%, o que amplia o risco de uso indevido de informações pessoais em golpes, campanhas de phishing e vigilância direcionada.
O que foi exposto e como a coleta aconteceu
Os pesquisadores investigaram o sistema de descoberta de contatos, recurso que confirma se um número está vinculado ao aplicativo. Segundo eles, a Meta não impôs na época limites adequados de taxa, o que possibilitou verificar cerca de 100 milhões de números por hora. Esse volume, por si só, foi suficiente para enumerar praticamente todo o universo de contas ativas e levantar uma base colossal de números de telefone com dados associados.
O grupo afirma que a extração revelou uma fração relevante de dados de perfil, incluindo fotos e biografias, elementos que muitos usuários deixam públicos por padrão. Em comunicado, Aljosha Judmayer, da Universidade de Viena, resumiu a gravidade do caso: “Até onde sabemos, esta é a exposição mais extensa de números de telefone e dados de usuários relacionados já documentada.”
Embora a técnica seja considerada simples, a escala impressiona. A análise não apenas confirmou a associação de bilhões de números ao aplicativo, como também mapeou o comportamento de privacidade por país e indícios de configurações técnicas que podem indicar o uso de clientes não autorizados.
Resposta da Meta e o impacto na privacidade
Segundo o estudo, a Meta foi alertada pela equipe em abril de 2025 e adotou medidas mais robustas de limitação de taxa apenas em outubro, após meses em que a falha no WhatsApp permaneceu explorável em larga escala. Em resposta à Wired, a companhia agradeceu o alerta e classificou os dados expostos como “informações básicas de domínio público”, citando que “fotos e textos de perfil não aparecem para perfis privados”. Nitin Gupta, vice-presidente de engenharia do WhatsApp, afirmou ainda que “não encontramos evidências de agentes maliciosos abusando desse vetor”.
Os autores do estudo ponderam, porém, que nada impedia que golpistas ou governos já tivessem explorado o mesmo caminho antes da correção. Em um ecossistema onde números de telefone funcionam como identificadores, a exposição massiva simplifica a vida de atores maliciosos que buscam ampliar listas de alvo, cruzar perfis públicos ou aplicar fraudes com engenharia social.
Para o usuário, o episódio acende um alerta sobre a configuração de privacidade nos campos visíveis do perfil. Mesmo sem mensagens reveladas, fotos e textos de perfil podem servir de insumos para golpes, criação de dossiês e tentativas de tomada de contas, sobretudo quando combinados com outras bases vazadas.
Alertas antigos, alcance global e novos sinais de risco
A exposição não surgiu do nada. Em 2017, o pesquisador holandês Loran Kloeze já havia demonstrado a viabilidade de capturar números, fotos, textos e status online por meio de automatização do mesmo mecanismo de descoberta, e à época o WhatsApp afirmou que as configurações de privacidade funcionavam como esperado. Agora, os pesquisadores austríacos ampliaram o escopo, varrendo o universo de contas e medindo quanta informação permanecia pública.
A análise revelou diferenças por país. Nos Estados Unidos, 44% das contas exibiam fotos de perfil. Na Índia, o percentual chegava a 62%. No Brasil, 61% tinham fotos expostas. Os pesquisadores também identificaram milhões de contas em regiões onde o serviço é proibido, como China, com 2,3 milhões, e Mianmar, com 1,6 milhão, o que potencialmente coloca usuários em risco em contextos de alta sensibilidade política.
Judmayer também chamou atenção para o uso problemático de números como chaves de identidade, afirmando: “Números de telefone não foram projetados para serem usados como identificadores secretos de contas, mas é assim que são usados na prática. […] Isso é um problema.” Além disso, a equipe notou duplicações incomuns em chaves criptográficas usadas para receber mensagens, algumas centenas de vezes, e até chaves compostas apenas por zeros. A suspeita é que essas anomalias estejam ligadas a clientes não autorizados do WhatsApp, frequentemente adotados por golpistas.
O caso reforça a necessidade de o WhatsApp, e a indústria como um todo, equilibrarem usabilidade e segurança, especialmente em recursos de descoberta de contatos. Para os usuários, vale revisar quem pode ver foto e recado no perfil, manter a verificação em duas etapas ativada, desconfiar de abordagens inesperadas e evitar compartilhar dados sensíveis. Em um cenário em que uma falha no WhatsApp permitiu uma enumeração global de contas, reduzir a exposição pública do perfil é um passo simples que diminui a superfície de ataque.