Trois chercheurs de Check Point expliquent en détail leur trouvaille, vidéo de démonstration à l'appui. Trois vecteurs d'attaque sont présentés :

• Modifier l'auteur d'une citation dans une conversation de groupe
• Modifier le message d'une personne lorsque vous la citez
• Faire passer un message public pour privé, exposant au groupe la réponse de votre interlocuteur

Pour arriver à leurs fins, les chercheurs n'ont pas cassé le chiffrement de bout en bout de WhatsApp, mais ont déchiffré les messages sur un ordinateur. Les clés peuvent en effet y être obtenues juste avant que le QR Code servant à le coupler avec votre smartphone ne soit généré.

Les messages peuvent ensuite être déchiffrés et modifiés avant d'être renvoyés. La synchronisation fait ensuite son œuvre et renvoie l'ensemble sur les smartphones. Le principal risque mis en avant par Check Point concerne la diffusion de fausses informations, WhatsApp étant souvent cité comme un relais important.

De son côté, l'équipe en charge de la messagerie instantanée n'a « pas l'intention de modifier WhatsApp pour le moment », comme le rapporte The Hacker News. « Cette situation tient au fait que nous ne stockons pas les messages sur nos serveurs, nous n'avons donc pas de source vérifiable pour ces messages » explique la société.

WhatsApp signale à nos confrères que les utilisateurs ont toujours la possibilité de bloquer un utilisateur modifiant des messages... à condition de le remarquer évidemment.