Behauptung: WhatsApp-Konten lassen sich allein per E-Mail deaktivieren

• Auf Hacker News wurde die Behauptung veröffentlicht, dass sich WhatsApp-Konten deaktivieren lassen, indem man lediglich eine E-Mail sendet; Jake Moore erklärte, er habe bestätigt, dass dies auf einem Testgerät funktioniert
• Der bestätigte Umfang beschränkt sich auf einen Testfall auf einem Testgerät; ob sich das bei realen Konten oder in mehreren Umgebungen reproduzieren lässt, geht aus dem bereitgestellten Inhalt nicht hervor
• Schritte zur Reproduktion wie Empfängeradresse, Anfrageschema oder erforderliche Kontoinformationen sind im veröffentlichten Text nicht enthalten
• Auch zur Wiederherstellung nach der Deaktivierung, zur Bearbeitungszeit und zu einer möglichen Reaktion von WhatsApp liegen keine bestätigten Angaben vor
• Auf Basis der öffentlich verfügbaren Informationen lassen sich weder Umfang noch Bedingungen der Auswirkung zuverlässig beurteilen; die einzig belastbare Aussage ist die kurze Feststellung, dass es „auf einem Testgerät funktioniert“ habe

---

Was sich aus dem Beitrag entnehmen lässt

• Jake Moore schrieb auf X: „Ich habe es auf meinem Testgerät ausprobiert, und es hat funktioniert.“
• Der Titel auf Hacker News fasst zusammen, dass sich WhatsApp-Konten beliebiger Personen allein durch das Senden einer E-Mail deaktivieren lassen sollen
• Der Beitrag enthält einen Link, doch anhand des hier bereitgestellten Texts lassen sich dessen Details nicht überprüfen

Nicht bestätigte Bedingungen

• Schritte zur Reproduktion werden nicht angegeben
  • An welche E-Mail-Adresse gesendet werden soll
  • Welche Formulierung oder welches Format erforderlich ist
  • Welche Informationen zur Identifizierung des Zielkontos nötig sind
• Auch der Auswirkungsbereich wird nicht konkret genannt
  • Ob es sich auch bei anderen Konten als dem Testgerät reproduzieren lässt
  • Ob es Einschränkungen nach bestimmten Ländern, Nummern oder Kontostatus gibt
  • Ob eine Wiederherstellung nach der Deaktivierung möglich ist
• Allein auf Grundlage dieses Beitrags lassen sich Bedingungen oder Schweregrad einer möglichen Schwachstelle schwer bewerten; der überprüfbare Kern bleibt der erfolgreiche Test auf einem Testgerät

[GN⁺]

Hacker-News-Kommentare

• Dieser Ablauf scheint einigermaßen vorhersehbar zu sein. Ich frage mich, was eine angemessene Alternative wäre.
  Die Unannehmlichkeiten eines deaktivierten Kontos sind relativ gering: Mit einem einzigen SMS-Bestätigungscode ist man wieder drin und erhält auch die wartenden Nachrichten.
  Wer sein Handy verloren hat, kann seine Identität im WhatsApp-Modell vermutlich nicht gut und schnell nachweisen, weil die Identität an die Telefonnummer gebunden ist.
  Es gibt vermutlich viel mehr Fälle, in denen Spammer, Diebe oder Hacker schnell ausgesperrt werden müssen, als Fälle, in denen diese Funktion missbraucht wird.
  Wenn dieser Missbrauch zu einem wiederkehrenden Problem wird, wird WhatsApp den Ablauf wohl so anpassen, dass die Nutzer mehr Aufwand haben.
  Der Teil mit der automatischen Löschung ist etwas besorgniserregender, aber wenn man WhatsApp 30 Tage lang nicht benutzt, sind einem das Konto und die Gruppenmitgliedschaften vielleicht auch nicht so wichtig. Backups sind automatisiert und separat, und ein Konto mit derselben Nummer neu anzulegen ist ebenfalls einfach.
  Der eigentliche Punkt könnte sein: „Apps sollten SMS und Telefonnummern nicht mehr als Identitätsquelle verwenden“, und dem stimme ich weitgehend zu. Aber darum scheint es in den meisten Kommentaren gar nicht zu gehen. WhatsApp ist schließlich gerade auf dieser Idee aufgebaut und damit erfolgreich geworden.

  • Das ist furchtbar. Es sollte nicht möglich sein, dass eine völlig unbeteiligte Partei Einfluss auf ein fremdes Konto nimmt oder es sogar deaktiviert.
    Man muss sich nur vorstellen, dass sich das automatisieren lässt, um feindliche Konten massenhaft zu deaktivieren.
  • Wenn man auf Reisen ist und eine andere SIM benutzt, ist ein einziger SMS-Bestätigungscode nicht immer so leicht zu bekommen.
  • Ich war schon öfter ein paar Wochen offline. Dann wäre ich schon gefährlich nahe daran gewesen, dass mein gesamtes Konto gelöscht wird.
    Ich wünschte, man könnte auch ein paar Monate offline sein.
  • Wenn man eine einfache Automatisierung laufen lässt und das Konto jede Stunde deaktiviert, ist diese Unannehmlichkeit nicht mehr gering.
  • Ich denke, die Alternative ist folgende: 1. Beim Mobilfunkanbieter die Identität verifizieren und eine neue SIM erhalten, wobei die bisherige SIM deaktiviert wird. 2. Die neue SIM in ein anderes Telefon einlegen und das WhatsApp-Konto zurückholen.
    Das ist doch der Standard-Wiederherstellungsweg für Apps, die auf Telefonnummern basieren.
    Eine neue SIM zu bekommen dauert länger als eine E-Mail zu schicken, aber zumindest ist das Missbrauchspotenzial nicht so einfach.

• Vor ein paar Jahren habe ich meinem Vater ein Audible-Abo geschenkt. Da es ein Geschenk war, habe ich es zunächst mit meiner E-Mail eingerichtet und sie an seinem Geburtstag auf seine Adresse geändert. Irgendwie kam ich allein dadurch, dass ich diese E-Mail benutzt hatte, in das Amazon-Konto meines Vaters hinein. Es scheint schwer zu sein, die Backend-Logik von Anfang an sauber hinzubekommen.
  Ein anderes Mal habe ich mit dem CTO einer Kreditgenossenschaft gesprochen. Dort hat jemand einfach beliebige Kontonummern ausprobiert und dreimal ein falsches Passwort eingegeben, um andere vom Zugriff auf ihre Konten auszuschließen. Damals musste man zum Entsperren anrufen, und an Wochenenden, wenn Leute Geld brauchten, war das ein echter Albtraum.

  • Wo gerade die Amazon-Konto-Prozesse zur Sprache kommen: Da gibt es ein wirklich nerviges Problem. Ich habe somehow zwei Amazon-Konten mit derselben E-Mail-Adresse erstellt, nur mit unterschiedlichen Passwörtern.
    Bestellverlauf, Adressen usw. sind komplett verschieden, aber der Kontoname ist identisch. Deshalb bin ich manchmal verwirrt, warum eine Bestellung, die ich aufgegeben habe, nicht zu sehen ist.
    Interessanterweise schlägt es fehl, wenn ich das Passwort des einen Kontos auf dasselbe Passwort wie beim anderen Konto ändern will. Das ist ziemlich beunruhigend.
  • Letzte Woche hat in Bismarck, North Dakota, jemand mit demselben Namen wie ich ein neues iPhone gekauft. Er oder sie hat AT&T meine iCloud-E-Mail-Adresse gegeben, im Format vorname.nachname. Das war vermutlich ein ehrlicher Fehler.
    AT&T hat gewissenhaft „mich“ gebeten, die E-Mail-Adresse zu bestätigen, und ich habe das nicht getan.
    Trotzdem bekomme ich immer noch die Konto-E-Mails dieser Person. Ich frage mich also, welchen Sinn diese Bestätigung überhaupt hat.
  • Zur Einordnung: Dabei geht es nicht darum, Leute auszusperren. Das ist ein verteilter Kontoeinbruch.
    Dem Dieb ist egal, wessen Geld er stiehlt, also probiert er bei allen Konten etwas wie „password“ aus und schaut, bei welchen er reinkommt.
  • Vor ein paar Jahren, als wir mit der Familie bei meiner Mutter zu Hause waren, habe ich ein Netflix-Testkonto erstellt. Es war eigentlich für meine Mutter gedacht, deshalb habe ich den Namen auf „grandma“ gesetzt, und am Ende habe ich dafür bezahlt. Meine Mutter hat nie selbst dafür gezahlt.
    Allerdings hat sie es fast nie benutzt, außer wenn wir da waren, und ist dann wieder zum linearen Fernsehen zurückgekehrt. Meine Frau und die Kinder mögen Netflix dagegen, daher ist es in unserem Streaming-Mix gelandet.
    Im Ergebnis war es also ein Netflix-Konto im Namen einer anderen Person, auch wenn es Familie ist. Meine Mutter bekam ständig E-Mails, dass sich jemand in das Konto eingeloggt hat, und ich habe jedes Mal geantwortet: „Ja, das war jemand von uns.“
    Schließlich habe ich die Konto-E-Mail auf meine geändert, und jetzt nennt Netflix mich ständig „grandma“. Wenn meine Mutter überhaupt Netflix schaut, dann nur, wenn wir in der Nähe sind — praktisch also, wenn die Kinder schauen.
    Vor ein paar Tagen bekam meine Frau eine Art Fehlermeldung, mit der dieses Konto als unser Konto verifiziert werden sollte, und seitdem sieht es so aus, als würden wir jetzt über dieses Problem stolpern.
    Bezahlen geht auch nur per Geschenkkarte oder manueller Banküberweisung. Das automatische Abrechnungssystem funktioniert nicht, und die Karte wird jedes Mal abgelehnt. Ehrlich gesagt ist der Kundensupport miserabel. Meine Frau hat mehrfach versucht, das zu klären, aber es ist immer noch kaputt.
  • Bei mir ist es umgekehrt, und deshalb amüsiere ich mich über solche Geschichten ein wenig. Ich habe eine [e-mail]-Adresse auf Basis meines echten Namens, und mein Name ist ziemlich ungewöhnlich.
    Weil der Name so selten ist, nervt und beunruhigt es mich manchmal, dass schon eine Google-Suche viele persönliche Informationen sichtbar macht, die ich lieber schwerer auffindbar hätte.
    Wenigstens bekomme ich dafür keine Mails aller Art von Fremden, die irgendwo meine E-Mail-Adresse versehentlich eingegeben haben.

• Wenn das bei der gesamten Nutzerbasis von Meta funktioniert hätte, wäre das großartig gewesen. Es hätte die Welt befreien können. Das wäre wie in Independence Day gewesen, wenn der Virus auf das Mutterschiff hochgeladen wird und es stirbt.

  • Bei einer der Social-Media-Apps von Meta kann ich nachvollziehen, warum man das so sieht, aber WhatsApp ist in vielen Ländern eine der größten Messaging-Apps.
    Möglicherweise hat es auch geholfen, die teuren SMS-Tarife der Mobilfunkanbieter zu verdrängen und günstigere SMS-Preise zu erzwingen. Vielleicht ist WhatsApp sogar der größte Wertbeitrag, den Meta der Welt geliefert hat, und hat die Welt ein Stück näher zusammengebracht.
  • In einer idealen Welt vielleicht, aber in der Realität wäre es nur ein kurzer Ausfall. Ich schätze, insgesamt etwa 10 Stunden, um die DB zurückzurollen und die Schwachstelle zu patchen.
  • Die bessere Analogie wäre vielleicht Fight Club ohne Explosionen.

• Das erinnert mich an Behördensysteme, bei denen man einen bestimmten Nutzer aussperren kann, wenn man mehrfach das falsche Passwort eingibt

  • Noch wirklich nerviger ist es, wenn bei „Passwort vergessen“ das Passwort geändert und eine Kopie davon per E-Mail verschickt wird. Dann kann ein Troll einfach immer wieder auf „Passwort vergessen“ klicken und so ständig erzwungene Passwortänderungen auslösen
  • Das passiert nicht nur bei Behördensystemen. Der einzige Fall, den ich selbst erlebt habe, war bei einem Finanzinstitutssystem
    Es war extrem frustrierend, weil ich zum Zurücksetzen persönlich in eine Filiale gehen musste
  • Es gibt viel zu viele solcher Websites

• Bei uns gibt es eine Versicherungsvergleichsseite, bei der man nur eine Telefonnummer eingeben muss, und ohne jede Verifizierung landet diese Nummer auf einer Liste, die einen fünfmal am Tag anruft, um Versicherungen zu verkaufen. Völlig irre
  Das wünscht man höchstens seinem schlimmsten Feind, aber tatsächlich kann man es einfach tun

• In LeetCode-Aufgaben steht offenbar nicht, wie man das dümmste Wiederherstellungsverfahren der Welt vermeidet

  • Es mag dumm sein, aber es sperrt Accounts in O(1)
  • Trotzdem ist bestimmt jemand befördert worden, weil er mit dem Einfluss so einen wartungsarmen Dienst mit 0 % Ausfallhistorie gebaut hat

• Ein paar Freunde von mir wurden bei WhatsApp komplett übernommen. Wenn ein Hacker ständig Wiederherstellungsanfragen schickt, wird das Opfer angerufen, und wenn es nicht rangeht, landet der Wiederherstellungscode auf der Mailbox
  Der Hacker verschafft sich Zugang zur Mailbox. Es gibt zwar ein Passwort, aber viele Leute nehmen Geburtsdatum, 1234, 0000 oder die letzten vier Ziffern ihrer Telefonnummer. Dann hat man Zugriff auf WhatsApp
  Die Nachrichten kann man nicht lesen, aber alle Gruppen, in denen die Person ist, kann man sehen und dort Nachrichten senden
  Wenn man die Zwei-Faktor-Authentifizierung von WhatsApp aktiviert, lässt sich das vollständig verhindern

  • Manche Systeme fragen selbst heute noch nicht nach einer PIN, wenn man vom eigenen Handy aus anruft. Wenn man also die Anruferkennung fälscht, was sehr einfach ist, kommt man ohne Passwort hinein
  • Mir ist das auch passiert, aber zum Glück hat die PIN-Funktion von WhatsApp verhindert, dass der Hacker weiterkam. Vielleicht nicht so sicher wie Zwei-Faktor-Authentifizierung, aber an dem Tag hat sie mich gerettet. Klare Empfehlung
  • Noch ein unbeabsichtigter Vorteil davon, dass ich krampfhaft an Google Voice festhalte. WhatsApp nutze ich allerdings nicht
  • Ich habe die Zwei-Faktor-Authentifizierung von WhatsApp zwar aktiviert, aber ehrlich gesagt ist sie lästig. Die App fragt alle paar Tage wieder nach der PIN

• Ich frage mich, ob schon jemand ein Skript baut, das alle Telefonnummern durchprobiert und sämtliche WhatsApp-Konten deaktiviert

  • Ich frage mich, ob jemand mit genug Geschick für Medienplatzierungen massenhaft Put-Optionen kaufen und direkt nach Erscheinen eines Artikels mit Gewinn verkaufen könnte
    Meta ist zwar so groß, dass es überraschend wäre, wenn die Optionsprämien kleiner wären als der Wert, den man daraus ziehen kann, aber vielleicht wäre es trotzdem möglich
  • Es ist extrem verlockend, aber die rechtlichen Probleme wären mir viel zu heikel

• Das ist perfekt, um Betrüger loszuwerden

  • „Oh? Und wenn das letzte Gesetz gefallen ist und der Teufel sich gegen dich wendet, wo wirst du dich dann verstecken, Roper, wenn alle Gesetze niederliegen?“
    — A Man for All Seasons, Robert Bolt, 1960

• Dann sollte es wohl einen Massenservice geben, der im Namen aller ihre Konten schließt. Sozusagen, um ihnen zu helfen