Whatsapp: grupos privados… no tan privados

Que Whatsapp es, a día de hoy, el servicio de mensajería instantánea más popular, es indiscutible. Ahora bien, algo que tampoco admite demasiada discusión, desgraciadamente para todos esos millones de usuarios, es que con cierta regularidad tenemos noticias de algún nuevo problema de seguridad que afecta al servicio. Hablamos, pues, de una constante.

Y es que, si hace solo unos días hablábamos de un fallo que permitía hackear ordenadores en los que se usaba Whatsapp Desktop, hoy tenemos que volver a poner la lupa sobre este servicio. Y en esta ocasión lo hacemos para descubrir que la privacidad de muchos grupos de carácter privado, se ha visto comprometida en los últimos días. Así, y aún con una obvia competición de por medio, no es de extrañar el reciente toque de atención por parte de Telegram.

¿Y en qué ha consistido el problema en esta ocasión? Pues en algo muy sencillo. Tan sencillo que hasta duele… Obviamente, el servicio debe ofrecer algunas vías para compartir las invitaciones a grupos privados, y una de ellas es la publicación de los mismos en páginas web. Hasta aquí todo correcto, el problema llega cuando analizamos las propiedades de dichos enlaces.

Por defecto (y esto no es algo nuevo, ya llevan mucho tiempo haciéndolo) los buscadores de Internet se dedican a rastrear páginas web, con el fin de indexarlas y poder mostrarlas en sus resultados. Google, Bing, Yandex y demás funcionan de esa manera. No obstante, permiten que un contenido se identifique como no indexable.

<meta name="robots" content="noindex">

Esa línea, esa sencilla línea, y la página web que la contiene no será indexada por los buscadores de Internet. Es una línea que genera alergia a la inmensa mayoría de quienes publican contenidos en la web (a mí me ha temblado un poco el pulso al escribirla aquí), pero que en determinados casos resulta muy útil. Y, sin duda, la función de grupos privados de Whatsapp en la web es un ejemplo perfecto de ello, ¿verdad?

Tú lo piensas, yo lo pienso, seguramente todo el mundo lo piense… excepto los responsables del desarrollo de dichas funciones en el servicio de mensajería instantánea de Facebook. Lo que nos lleva a que, durante un tiempo, Google y otros buscadores han estado indexando páginas web en las que se pueden encontrar enlaces para acceder a grupos privados de Whatsapp. Y basta con seguir esos enlaces para acceder a dichos grupos. Grupos que, al menos en teoría, eran privados.

Así, tal y como ha revelado Vice, bastaba con realizar una búsqueda con determinados parámetros en Google para, de inmediato, obtener como resultado un montón de enlaces a grupos privados de Facebook. Pero espera, ¿cientos? ¿Puede que miles? ¿Cuántos grupos se han podido ver afectados por este problema de seguridad? Esto es lo que dice una de las personas que han alertado sobre el problema:

A misconfiguration by WhatsApp enabled ~470k Group Invite links to be indexed by search engines

It should’ve been `Disallow`ed with robots.txt or with the `noindex` meta tag

thanks @JordanWildon for the tip https://t.co/CJxjJ5qyfh pic.twitter.com/FrW1I9Y8vs

— Jane Manchun Wong (@wongmjane) February 21, 2020

Casi medio millón de grupos privados de Whatsapp, sí. Casi medio millón de conversaciones, en teoría privadas, que por un fallo incomprensible por parte de Whatsapp, han podido dejar de serlo. Da que pensar.

La última hora al respecto afirma que los resultados han empezado a desaparecer de Google. No sabemos, aunque obviamente deducimos, que tras la revelación de este problema se ha establecido una comunicación y colaboración entre Facebook y Google, y que en el marco de la misma el buscador debe estar aplicándose para que esos resultados ya no se muestren. No obstante, y aunque sea en el buscador dónde se han mostrado los resultados, no hay que olvidar que han sido los desarrolladores de Whatsapp quienes se olvidaron del ya nombrado noindex. No sé si es increíble, pero desde luego es sorprendente.