WhatsApp fixt deel van lek dat besturingssysteem gebruiker onthult

WhatsApp heeft een deel van een lek gefixt, waarmee aanvallers erachter konden komen op welk besturingssysteem een gebruiker zit. Dat is van belang voor aanvallers om de juiste exploit naar een apparaat te sturen. Die exploit blijft vooralsnog mogelijk.

De fix houdt in dat de gesigneerde pre-key, waarvan elk apparaat er telkens eentje heeft, nu volledig willekeurig is op Android. Dat was al zo op iOS, meldt beveiligingsonderzoeker Tal Be'ery. Daardoor is daaraan niet langer af te lezen welk besturingssysteem op een apparaat draait. Bij de eenmalige pre-keys die per chat verschillen, is dat wel nog steeds af te lezen. Daarmee is het lek nog niet volledig gedicht.

WhatsApps moederbedrijf Meta heeft het lek geen CVE-nummer meegegeven en reikt geen beloning uit voor het vinden van het lek. Ook heeft het de onderzoekers niet laten weten dat het een deel van het lek heeft gerepareerd. Waarom dat zo is, heeft het bedrijf niet gezegd.

Reacties (20)

[Martijn28405]

Hoe kan je nou geen beloning aan de persoon geven die het gevonden heeft? Ik weet dat het niet verplicht is, maar het zou wel op zijn plaats zijn voor zo'n soort lek

[HakanX]

Volgende keer gaan die gewoon naar de zwarte markt. Eigen schuld.

[Ulster Seedling]

Het enige wat dit lek blootgaf is of je iOS, Android, of WhatsApp Web gebruikt. Dat lijkt me niet bepaald ernstig — het is geen privacygevoelige informatie, of op een andere manier een groot geheim of gevaar.

Zoals in het artikel vermeld kan deze informatie natuurlijk gebruikt worden om middels andere lekken een aanval te doen. Dus mooi dat het verholpen is.

Maar ik kan wel begrijpen dat dit als niet-ernstig geclassificeerd wordt, en er dus geen (grote) beloning tegenover staat.

[necessaryevil]

De titel:
[quote/]
WhatsApp heeft een deel van een lek gefixt, waarmee aanvallers erachter konden komen op welk besturingssysteem een gebruiker zit. Dat is van belang voor aanvallers om de juiste exploit naar een apparaat te sturen. Die exploit blijft vooralsnog mogelijk.
[/quote]
Blijkbaar kunnen aanvallers een volgende stap zetten en een andere exploit benutten als ze je OS weten. Wat die andere exploit inhoud wordt niet verteld. Het lijkt me zaak dat ze die dichten, want ik zou zeggen dat een aanvaller ook kan gokken welk OS je hebt.... En ik lees dat ze het OS alsnog op een andere manier kunnen achterhalen.

[JairSterre]

Leuk diagram onderaan, daar mogen er wel meer van verschijnen.

[jorisvergeerTBA]

Leuk maar wel AI gegenereerd.
Met NotebookLM zo te zien.

[JairSterre]

Dat is in de basis niet slecht, toch? AI is gemaakt(in dit geval) om content te genereren. Als dat het(zoals hierboven) foutloos doet, dan werkt het naar behoren. Ik ga ook geen foto's afkeuren die met photoshop bewerkt zijn(tenzij ik daar specifiek om vraag natuurlijk)

[PureTryOut]

Zolang het de hoeveelheid stroom en water gebruikt dat het op dit moment doet is dat zeer zeker slecht. Alsof klimaatverandering niet al genoeg een probleem is...

[Ricco02]

Maar je hebt geen idee welke stroombron NoteBookLM specifiek voor deze generatie heeft gebruikt. Kan net zo goed alleen zonne energie zijn, of kernenergie of combinatie van beiden. Wat dus groene energie is.

Water komt weer terug de natuur in. Het water wat gebruikt word voor AI is niet drinkbaar, dus om nou te zeggen dat mensen ervan konden drinken klopt ook niet.

[Reactie gewijzigd door Ricco02 op 6 januari 2026 16:43]

[LordSinclair]

Maar die bron is niet meer door iemand anders te gebruiken. Zolang wij geen overschot hebben op groene energie zal er grijs worden bijgemaakt.

[Ricco02]

Klopt, maar dan moet niet de reactie “minder AI” zijn.

De reactie moet “meer groene energie” zijn.

Ik denk namelijk dat technologische vooruitgang (waar AI ook onderdeel van is) ons uiteindelijk dichterbij een groenere wereld kan brengen. Ik denk juist dat als je innovatie tegen gaat (tegen bijvoorbeeld AI) je juist indirect de stappen naar groenere energie lastiger maakt.

Dan zal je denken “wat heeft dit met deze afbeelding te maken?” niks direct. Maar als we met ze alle roepen “AI is verspilling” etc. breng je dat sentiment wel de wereld in. Terwijl ik denk dat AI voor heel veel goeie dingen kan zorgen. Zoals innovatie in groene energie.

[Reactie gewijzigd door Ricco02 op 6 januari 2026 17:48]

[R_Zwart]

Hoeveel energie kost het als je zo'n plaatje als hierboven met de hand gaat maken? Inclusief informatie verzamelen e.d. Omdat het best wel veel tijd kost maken we het niet zoveel, maar als we AI ook wat selectiever gaan gebruiken wordt het energieverbruik een stuk lager.

[chris1508]

Dan ook weer tegen de afweging, gaan we niet allemaal veel meer plaatjes genereren omdat het ons zelf zoveel tijd kost?

Dus 1 afbeelding door AI gemaakt wil niet zeggen dat we ook direct een afbeelding zelf maken doordat het onszelf meer eigen tijd en energie kost.

[GertMenkel]

"Foutloos" is relatief, het diagram doet vermoeden dat dezelfde (groene) sleutel op Android gebruikt wordt terwijl ze het algoritme omgegooid hebben. Geef hem dan een andere kleur, of beter nog, maak een voor en na-tabel, nu zeggen die plaatjes van die sleutels nog niks. De titel (The good, the bad, the ugly) wordt niet maar half gereflecteerd in de koppen boven de paragrafen die eronder staan, met kwalificaties die alleen in de tekst worden uitgelegd; alsof iemand een pakkende titel gekopieerd heeft zonder zelf door te hebben waarom die titel nou pakkend is. Leuke plaatjes, maar inhoudelijk weinig beter dan wat ik van de middelbare zou verwachten.

Ordinaire AI-slop heeft wat mij betreft geen plaats op een nieuwssite. Zet die troep maar op je blogpost, als ik je artikel matig in een afbeelding wil samenvatten kan ik hem net zo goed zelf door Gemini heen gooien.

[Reactie gewijzigd door GertMenkel op 7 januari 2026 01:47]

[Ryen]

Hier hadden we toch blauwe en groene vinkjes voor?

[William_H]

Het is geen iMessege.

[Lieftalig]

Prima dat dit ontdekt is en gefixt. Toch gek dat dit bij een bedrijf als WhatsApp zelfs het geval is. Zal bij andere dan toch helemaal een probleem zijn.

[Tim147_]

Zo gek is het niet dat het gebeurd. Wat wel gek is, is dat er geen beloning voor is uitgereikt en dat er geen CVE nummer is.

[GertMenkel]

Je telefoon stuurt je modelnummer het netwerk op zodra je iemand belt. Je telefoon registreert zo'n beetje standaard óf Google RCS óf iMessage. Je telefoon reageert anders op SMS-afleververzoeken, class 0 SMS'jes, en andere netwerksignalen. Met een beetje AI-model kun je aan de publieke WhatsApp-profielfoto ook wel achterhalen of die op iOS of Android gecomprimeerd is.

Erachter komen of je Android of iOS gebruikt is op zoveel manieren mogelijk dat ik zoiets eigenlijk geen kwetsbaarheid kan noemen.

Deze aanvallen zijn daarnaast eenvoudig te monitoren aan de serverkant en in theorie zelfs aan de clientkant als je verkeer kunt monitoren op het versturen van nieuwe pre-keys, omdat er in één klap 800 sleutels worden verspild om de aanval mogelijk te maken.

Ik vind het maar een storm in een glas water. Niet heel netjes dat je zo eenvoudig kunt zien hoeveel en wat voor apparaten je gekoppeld hebt, maar of dit nu een CVE waardig is?

[Webgnome]

waarom is dit gek? Waar mensen aan het werk zijn worden nu eenmaal fouten gemaakt. Echt elk stuk software kan in potentie een lek bevatten. Dat staat compleet los van, m.i., het bedrijf er achter.