WhatsApp Hack: zostawili 3,5 miliarda drzwi otwartych, a za jednymi z nich był Twój numer telefonu

Dobrze, zanim zaczniemy, tak, jestem tym rekruterem, który ciągle marudzi o cyberbezpieczeństwie i AI. Po 16 latach w talent acquisition (8 w Bayerze tu, w Berlinie) wiem, że nasza praca to nie tylko znajdowanie właściwych ludzi. To rozumienie cyfrowego ekosystemu, po którym codziennie poruszają się nasi kandydaci, koledzy i kontakty. Do tego jestem trochę technicznym nerdem, więc nie potrafię przejść obojętnie obok dobrej historii o prywatności danych, zwłaszcza kiedy dotyczy praktycznie każdego, kto ma smartfona.

Wyciek z WhatsAppa, o którym nikt nie mówi: 3,5 miliarda powodów, żeby się tym przejąć

Drodzy koledzy po fachu, odstawcie na moment kawę. To nie jest tekst o kolejnej zmianie algorytmu LinkedIna ani o trendach w rekrutacji. To coś, co najpewniej dotyczy Ciebie, Twoich zespołów, Twoich kandydatów i całej Twojej sieci zawodowej.

Badacze z Uniwersytetu Wiedeńskiego odkryli właśnie coś, co może być największym wyciekiem danych w historii ludzkości. Dostali się do całego globalnego katalogu WhatsAppa: 3,5 miliarda profili, zupełnie niezabezpieczonych. Bez żadnego hakowania, drzwi po prostu stały otworem.

Co się właściwie stało

Austriacki zespół odkrył, że może pobrać numer telefonu, dane profilowe i publiczne klucze szyfrujące każdego użytkownika WhatsAppa, nie natrafiając na ani jedną barierę bezpieczeństwa. Meta (spółka matka WhatsAppa) ignorowała ich ostrzeżenia przez cały rok i zareagowała dopiero wtedy, gdy badacze zagrozili publikacją wyników.

I teraz robi się naprawdę nieprzyjemnie:

Badacze znaleźli 60 milionów aktywnych kont WhatsAppa w Iranie (gdzie był zakazany do Wigilii 2024 roku), 2,3 miliona w Chinach, a nawet pięć kont w Korei Północnej. Dla kontekstu: używanie WhatsAppa w części tych krajów może Cię wpakować w poważne kłopoty z władzami.

Ale nie chodzi tylko o kraje z zakazem. Dane pokazały, że 30% użytkowników wypełniło w profilu pole „Info”, często zaskakująco wrażliwymi informacjami. Mowa o poglądach politycznych, przekonaniach religijnych, orientacji seksualnej, szczegółach dotyczących miejsca pracy (łącznie z rządowymi adresami mailowymi z domen takich jak bund.de i state.gov) oraz linkach do profili randkowych. Kilku przedsiębiorczych dilerów narkotyków użyło tego pola jako katalogu produktów. Genialnie.

Zespół z Wiednia pobrał też 77 milionów zdjęć profilowych z samej Ameryki Północnej (tak, to 3,8 terabajta selfie). Ich oprogramowanie do rozpoznawania twarzy znalazło ludzkie twarze na dwóch trzecich tych zdjęć. Połącz kropki: ktoś o złych zamiarach mógłby bez trudu zbudować bazę łączącą twarze z numerami telefonów.

Dlaczego to dotyczy każdego specjalisty

Pomyśl. Ile poufnych rozmów biznesowych toczy się na WhatsAppie? Ilu Twoich zagranicznych kolegów, klientów czy kandydatów używa go jako podstawowego narzędzia kontaktu? Ile wrażliwych negocjacji, rozmów o wynagrodzeniu czy strategicznych ustaleń odbywa się właśnie tam?

W talent acquisition regularnie omawiamy kandydatów przez WhatsAppa, zwłaszcza przy rolach międzynarodowych albo stanowiskach, które palą się w terminach. Przesyłamy profile, rozmawiamy o pakietach wynagrodzeń, koordynujemy rozmowy i odzywamy się do kandydatów pasywnych. Ten wyciek oznacza, że ktokolwiek może potencjalnie zmapować nasze sieci zawodowe, wychwycić ruchy talentów, wziąć na celownik konkretne osoby w atakach socjotechnicznych albo naruszyć wywiad konkurencyjny.

A dla tych z Was spoza TA: pomyślcie, co siedzi w Waszych firmowych czatach na WhatsAppie. Negocjacje z klientem? Rozmowy o przejęciu? Szczegóły zastrzeżonych projektów? Warunki umów? Wszystko potencjalnie odsłonięte.

Twój plan działania na poniedziałek rano

1. Natychmiast przejrzyj ustawienia prywatności w WhatsAppie. Ustaw zdjęcie profilowe, pole „Info” i „Ostatnio widziany” wyłącznie na „Moje kontakty”. Tak, nawet jeśli uważasz, że nie masz nic do ukrycia.

2. Zrób audyt pola Info. Jeśli jest tam cokolwiek poza ulubionym cytatem z Breaking Bad, zastanów się, czy chcesz, żeby ta informacja była publicznie powiązana z Twoim numerem telefonu.

3. Przeszkol swoje zespoły. To nie jest sprawa wyłącznie prywatna, to sprawa zawodowa. Własność intelektualna i przewaga konkurencyjna Twojej firmy mogą być bardziej odsłonięte, niż myślisz.

4. Przemyśl swoją strategię komunikacji. Może to dobry moment, żeby na nowo ustalić, które rozmowy należą do WhatsAppa, a które do bezpieczniejszych platform klasy korporacyjnej.

5. Zaktualizuj świadomość cyberbezpieczeństwa. Jeśli szkolenia bezpieczeństwa w Twojej organizacji nie obejmują komunikatorów, są już przestarzałe.

Niewygodna prawda

Meta ruszyła dopiero w obliczu publicznego ujawnienia, a nie wtedy, gdy dostała odpowiedzialne zgłoszenie podatności. To mówi wszystko o ich priorytetach. Jako ludzie z branż zbudowanych na zaufaniu, poufności i wywiadzie konkurencyjnym nie możemy sobie pozwolić na beztroskę wobec własnych cyfrowych śladów.

Praca tych badaczy przypomina nam, że „szyfrowane” nie znaczy „prywatne”, a „wygodne” często ma cenę, której nie doceniamy, dopóki nie jest za późno.

Więc, drodzy koledzy po fachu, obojętnie czy siedzicie w TA, finansach, tech, farmacji, konsultingu czy gdziekolwiek indziej: następnym razem, gdy ktoś przewróci oczami na hasło cyberbezpieczeństwo, przypomnijcie mu, że 3,5 miliarda ludzi właśnie straciło kontrolę nad swoimi danymi z WhatsAppa. W świecie, w którym jeden wyciek potrafi zniszczyć lata pracy albo złamać poufność wobec klienta, nie możemy tego traktować lekko.

Jakie kroki podejmuje Twoja organizacja w sprawie bezpieczeństwa komunikatorów? Naprawdę chętnie przeczytam Wasze przemyślenia poniżej, najlepiej nie przez WhatsAppa.

Jak chronisz swoje dane w WhatsApp& Co?

#Cybersecurity #TeamBayer #DataPrivacy #TalentAcquisition #WhatsApp #DigitalSafety