Google搜寻可以找到30万笔WhatsApp用户电话号码

印度独立安全研究人员Athul Jayaram近日揭露，他发现利用Google搜寻，就可以找到2.9万笔到3万笔的WhatsApp用户电话号码，而问题则出在于WhatsApp的点击对话（click to chat）功能。

WhatsApp虽然是以电话号码作为注册依据，但新增好友时不一定要提供电话号码，而是只要扫描QR code即可。然而，WhatsApp特别替网站或商家设计的点击对话功能，则是透过[https:]//wa.me/产生一个含有电话号码的连结，使用者只要点选该连结，就会开启WhatsApp，并可传讯给对方或是与对方通话。

Jayaram指出，一来该连结并未加密，因此使用者从连结中就能看到明文的电话号码，若是大量分享连结，曝光的范围就更大了；二来“ https://wa.me”并未在服务器上建立禁止Google或其它搜索引擎索引该站内容的robots.txt 档案，因而让搜索引擎得以爬梳并索引这些电话号码。

于是，当在Google上执行特定的搜寻字串时，就会出现大量的WhatsApp电话号码，点选相关的连结，即可透过WhatsApp与对方传讯或通话，当然也可直接传送简讯至该电话号码，此外，若加上国码，也可将搜寻范围缩小至特定国家，也许是台湾使用WhatsApp的人数不多，当加入+886进行搜寻时，只出现3笔结果。

由于WhatsApp为脸书的子公司，因此Jayaram企图透过抓漏奖励专案联系脸书，但脸书则说该专案并未涵盖WhatsApp。Jayaram在6月7日对外公开了此一臭虫，而今日（6/8）依然可透过Google找到大量的WhatsApp用户电话号码。

Jayaram表示，使用者的电话号码可能连结了加密钱包、银行账号或信用卡，并让骇客有机可趁，而WhatsApp其实只要加密连结中的电话号码，或建立robots.txt就能预防此事了。