WhatsApp: Script scannt Nummern, zeigt Bild und Status der Nutzer

WhatsApp steht oft im Mittelpunkt der Berichterstattung, wenn es um Datenschutz und ähnliches geht. Der beliebte Messenger stand schon vor seiner Übernahme durch Facebook im Fokus und ist immer noch eines der liebsten Kinder der Datenschützer. Neulich gab es ja erst ein entsprechendes EU-Urteil zum Datentausch. Interessant ist, dass WhatsApp seit Jahren eine Schnittstelle hat, die sich dazu nutzen lässt, Informationen über Nutzer auszulesen. Dazu gehört beispielsweise das Anzeigen eines Profilbildes oder des Status.

Vereinfacht gesagt kann ich einen Kontakt von Hand hinzufügen und könnte ja sehen, welches Profilbild er hat – und was sein Status ist. Dies sieht man natürlich nur, wenn man entsprechende Datenschutzeinstellung nicht geändert hat (Einstellungen > Account > Datenschutz). Der niederländische Sicherheitsforscher Loran Kloeze hat nun ein Script veröffentlicht, mit dem sich jeder (!!!) eine Datenbank zusammenschustern kann. Sein Script erlaubt das Eingeben einer Range von Telefonnummern, beispielsweise 4917627505077 –  4917627505177.

Danach zeigt das Script bei den aktiven Nutzern, die ihre Datenschutzeinstellungen nicht geändert haben, das Profilbild und den Status an. Was man damit nun anstellen kann, überlasse ich eurer Phantasie. Loran Kloeze hat Facebook über diesen Umstand benachrichtigt, bekam allerdings als Antwort, dass man dies nicht als Sicherheitslücke einstufe.

Das Script ist selbst für Einsteiger anwendbar. WhatsApp im Browser öffnen, Entwicklertools aufrufen und den Code in die Console werfen. Es erscheint eine Oberfläche, in der man den Bereich mit den Telefonnummern definiert, gefolgt von der Anzeige der Profilbilder und der Statusmitteilungen. Per Klick sieht man die Profilbilder groß im Browser. Falls ihr euch fragt, ob das Ganze auch wirklich funktioniert: Jau, habe es eben selbst ausprobiert.

(danke nina!)