Falla WhatsApp: esposti 3,5 miliardi di numeri di telefono

Una vulnerabilità nella funzione di contact discovery di WhatsApp ha permesso a un gruppo di ricercatori di enumerare 3,5 miliardi di account in 245 Paesi, semplicemente sfruttando una funzione già presente nell’app. Lo studio, condotto dall’Università di Vienna e da SBA Research tra dicembre 2024 e aprile 2025, ha rivelato una falla attiva da anni e finalmente corretta da Meta solo nel 2025.

Una mappa globale degli utenti WhatsApp

Tra i Paesi più colpiti figura anche l’Italia, con 55.606.677 account individuati. A livello mondiale il primato spetta all’India (oltre 749 milioni di utenti).
I ricercatori sono riusciti a trovare account persino in Cina, Myanmar e Corea del Nord, dove l’app è vietata.

Come è avvenuta la scoperta

La tecnica utilizzata si basa sul sistema che WhatsApp usa per controllare se i numeri in rubrica sono associati a un account.
Automatizzando il processo con uno script, gli studiosi sono riusciti a inviare oltre 100 milioni di richieste l’ora tramite WhatsApp Web, senza mai essere bloccati o limitati.

Per ogni numero legato a un account sono stati recuperati:

• foto profilo (nel 57% dei casi);

• Status (29%);

• informazioni su dispositivi collegati;

• alcune chiavi pubbliche di crittografia (non sufficienti per decifrare i messaggi).

Lo studio mostra così quanto sia possibile profilare gli utenti anche senza accedere alle chat.

Un problema noto dal 2017

La falla non è nuova: nel 2017 il ricercatore Loran Kloeze aveva segnalato una vulnerabilità simile su scala ridotta. Lo studio austriaco dimostra che, fino al 2025, non erano presenti blocchi, controlli o limiti tali da impedire un’operazione su vasta scala.

L’intervento di Meta

Grazie ai contatti diretti tra gli autori e l’azienda, Meta ha accettato di intervenire. Dopo mesi di scambi tecnici, sono state introdotte restrizioni e limiti di sicurezza per impedire la raccolta massiva dei dati.

Test successivi dei ricercatori hanno confermato che le contromisure sono attive da ottobre 2025, rendendo impossibile replicare la stessa operazione.

Una falla rimasta aperta per anni, ma che ora – secondo gli studiosi – sembra finalmente chiusa.