WhatsApp存漏洞「全球3.5億帳號或外洩」輸入電話可獲個人資料

美國及歐洲多間科技媒體近日披露，奧地利研究團隊揭示WhatsApp存在多年漏洞，被指可在短時間內「枚舉」全球逾35億個帳號，引起廣泛關注。

研究團隊用改版客戶端枚舉帳號

事件源於奧地利維也納大學（University of Vienna）及 SBA Research 發佈的技術報告。團隊指，他們於2024年12月至2025年4月期間，透過修改版WhatsApp客戶端，以系統化方式驗證全球245 個國家或地區的電話號碼是否註冊 WhatsApp，並取得對應帳戶的公開資料。

研究指，WhatsApp 只要輸入組合號碼，系統便會回應該電話是否為有效帳號，並顯示公開個人檔案照片與文字。團隊聲稱，最終成功枚舉約3.5億個活躍帳號，並取得 57%用戶的大頭照及 29% 的自我介紹文字。

研究：每小時可驗證逾一億個帳戶

據外媒《WIRED》報道，研究人員表示改版客戶端不需特別權限，只是模仿一般用戶新增聯絡人的動作，但以自動化方式大量提交測試電話號碼。團隊甚至指出，每小時可確認超過 一億個活躍帳號，規模遠超一般用戶想像。

團隊形容，整個枚舉過程是屬於 WhatsApp 長期存在的結構性弱點，早在 2017 年已有研究者提醒母公司Meta，但未見實質修補。

Meta稱資料屬「公開資訊」並已限流

多家科技媒體引述 Meta回應，指研究團隊取得的資訊屬於 WhatsApp 用戶自行設定的公開資料，並無涉及非公開或私人內容。Meta 又表示，未發現惡意攻擊者濫用相關漏洞，但已於今年 10 月實施限流措施以減低批量查詢速度。

研究團隊亦強調，他們將過程中獲得的資料全部刪除，並已向 WhatsApp 提交負責任披露。

奧地利研究團隊揭示 WhatsApp 長期存在弱點，可透過改版客戶端在數月內批量驗證全球逾 3.5 億個帳號的公開資料。WhatsApp圖片

Meta平台周三與美國48個州達成歷史性180億美元和解協議，18歲以下兒童使用Instagram及Facebook的體驗將會有一系列改變。

除了這筆將在未來十年內支付的款項外，Meta亦同意加強年齡評估，以防止13歲以下兒童使用其平台，並確保青少年使用符合其年齡的帳戶。其他改變包括對18歲以下用戶實施每日兩小時的硬性使用限制、禁止兒童在午夜至早上6時使用應用程式，以及隱藏「讚好」數量等。

2026年8月26日周三，科技巨頭Meta就青少年社交媒體成癮的里程碑式審訊達成和解後，維多利亞·欣克斯於加州奧克蘭的法庭外向傳媒談及女兒後情緒激動。(美聯社圖片/諾亞·伯格) AP圖片

雖然外界承認這些改變較Meta以往在兒童安全方面走得更遠，但批評者及兒童權益倡導者警告，這不會一夜之間解決其眾多問題。

Meta前工程總監阿圖羅·貝哈爾表示，這次和解是「重要里程碑」，但家長不應認為Instagram突然對兒童變得安全。

2026年8月26日周三，科技巨頭Meta就青少年社交媒體成癮的里程碑式審訊達成和解後，加州高級助理檢察長尼克拉斯·艾克斯（左）及副檢察長梅根·奧尼爾於加州奧克蘭離開法庭。(美聯社圖片/諾亞·伯格) AP圖片

貝哈爾周三接受訪問時指出，這項協議存在一個大問題，就是「允許Meta定義何謂傷害」。他形容，這就像「你每天只能飲兩小時酒或吸兩小時煙」，但由於所接觸的內容，對你的傷害仍然一樣大。

貝哈爾是這次因和解而縮短的聯邦審訊中，首位作證的證人。他希望Meta能處理向青少年推薦內容的影響，他指這可能令人上癮。他解釋，青少年達到兩小時限制時可能會放下手機，但他們會感到困擾，因為平台的設計會讓他們渴望更多。

資料圖片：2021年10月28日，一輛汽車駛過加州門洛帕克公司總部招牌上的Facebook新Meta標誌。(美聯社圖片/托尼·阿維拉，資料圖片) AP圖片

Meta表示，18歲以上人士亦可自行採用新控制措施的部分功能，例如每日時間限制提醒，但他們無法選擇啟用青少年在平台上所體驗的整體設定。

為保護兒童，Meta首先必須知道他們的身份。該公司已利用人工智能判斷兒童是否謊報年齡，無論是13歲以下兒童違規註冊，還是13至17歲青少年使用成人帳戶，但這方法並非每次都奏效。

根據擬議的和解協議，Meta同意加強其核實兒童年齡的技術，利用自家及第三方工具，並定期進行外部審計，以評估其成效。協議亦包含關於誤報率的具體目標，即未成年人被錯誤識別為18歲以上。若用戶被識別為13歲以下並被平台移除，Meta亦會核實其朋友的年齡。

貝哈爾表示：「年齡驗證部分相當不錯，因為它有衡量標準、獨立測試及目標。我認為Meta應以成效而非努力來衡量。」

Meta要求用戶至少13歲才能建立帳戶，這符合聯邦兒童私隱法。

貝哈爾上周作證時表示，Meta對其平台上13歲以下兒童採取「不問不說」的態度。

他指出，Meta擁有全球最精密基礎設施之一，可偵測虛假帳戶。但他補充，儘管如此，卻「沒有目標、沒有指標」來偵測及核實被懷疑為13歲以下兒童的年齡。

批評者一直指責Meta許多安全功能，用戶必須手動開啟或自行選擇啟用。

在和解協議列出的一系列安全措施中，許多將預設開啟。這包括兩小時時間限制，只能在父母同意下關閉，以及禁止在午夜至早上6時使用的夜間模式。

然而，根據協議，其他功能，例如關閉影片自動播放，或按時間順序顯示帖子，而非由演算法決定向兒童顯示甚麼內容，將需要用戶自行選擇啟用。

網絡安全非牟利組織Fairplay的執行董事喬什·戈林表示，這次協議似乎過於側重向家長提供工具，而非完全限制有害功能。

戈林指出：「我們對於和解協議沒有預設關閉推薦演算法感到失望，這些演算法將兒童與掠食者聯繫起來，並將年輕人引向危險的深淵。」

本周較早前在審訊中，亦曾提出關於預設設定的問題。代表起訴Meta的州份的律師，向Instagram主管亞當·莫塞里施壓，質疑青少年對「休息一下」功能的使用率偏低，該功能會提示用戶在瀏覽一段時間後休息。

Instagram首次推出該功能時，很少青少年使用，但自2024年推出獨立青少年帳戶以來，Meta已將其設為青少年用戶的預設設定。然而，若青少年不想休息，他們可以簡單地滑走通知。

一些研究人員發現，Meta過去推出許多保護措施均無效或未能如宣傳般運作。

網絡安全研究中心政策及影響總監雅埃爾·艾森斯塔特表示：「不幸的是，現在判斷我們希望看到的所有改變是否會發生，仍為時過早。」該中心最近審計了Meta及其他社交媒體公司提供的數十種安全工具，並指大多數均未達標。

不過，艾森斯塔特指出，周三的和解協議意義重大，顯示出其他方法是可行的。

艾森斯塔特曾於2019年離開Meta（當時為Facebook）。她表示，多年來Meta「決定違背部分內部員工的建議，並繼續無視這些設計功能不安全的事實，以追求利潤」。她指出，周三概述的措施至少顯示，存在技術上可行的方法，可以使平台更安全，這是舉報者及其他人早已「大聲疾呼」的事情。

與其他人一樣，艾森斯塔特強調仍有大量工作要做，這將需要技術解決方案、市場力量及政府監管的結合。

她說：「沒有單一的靈丹妙藥可以解決所有問題。我只是很高興，至少我們現在正在迎頭趕上。」

這次和解協議亦包括哥倫比亞特區及美國屬地，仍須獲法官批准。

（美聯社）