Bei einem Test von heise Security stellte sich heraus, dass man WhatsApp-Accounts erneut mit geringem Aufwand kapern kann. Wir konnten unbemerkt Nachrichten im Namen anderer WhatsApp-Nutzer senden und empfangen. Auf den Android-Smartphones der Test-Opfer war die derzeit aktuelle Version 2.8.7326 der Nachrichten-App installiert. Der Account-Klau hat bereits vor rund zwei Monaten funktioniert, bis die aktuelle WhatsApp-Version herauskam.
Für die Account-Übernahme benötigten wir lediglich die Handynummer des Nutzers und die Seriennummer (IMEI) seines Smartphones – das sind beides Informationen, an die man leicht herankommt. Das eingesetzte Skript hat uns ein Leser zur Verfügung gestellt. Es generiert aus der IMEI das zur Anmeldung am WhatsApp-Server nötige Passwort.
Man muss davon ausgehen, dass auch die WhatsApp-Versionen für andere Smartphone-Betriebssysteme noch auf ähnliche Weise verwundbar sind. Bei unserem Test mit der Vorversion gelang der Account-Klau auch bei iOS-Nutzern. Der Betreiber macht keine Angaben darüber, was sich in puncto Sicherheit seitdem getan hat.
[...]
Um das Abdichten der Lücke zu beschleunigen, haben wir dem WhatsApp-Chef angeboten, ihm sämtliche uns vorliegenden Details über die Schwachstelle und das zum Account-Klau genutzte Skript zur Verfügung zu stellen. Seitdem sind mehrere Tage vergangen – zu unserer Verwunderung hat WhatsApp bislang nicht um die Zusendung der Informationen gebeten.
Wenn man Revue passieren lässt, wie WhatsApp bislang mit dem Thema Sicherheit umgegangen ist, kann man eigentlich nur noch von der Nutzung des Dienstes abraten.
