אף קובץ לא נקרא, ואף סיסמה לא נגנבה ישירות. ובכל זאת, בניסוי של חוקרים מהאוניברסיטה הטכנית של גראץ שבאוסטריה, תוכנה שרצה על אותו מחשב זיהתה מתי המשתמש שלידה לוחץ על מקש, באילו אתרים הוא גולש, ומתי הגיעה אליו תמונה בוואטסאפ. כל מה שהיא הסתכלה עליו היה שמות של קבצים והשעה שבה הם השתנו.

מה קרה

לכל מערכת הפעלה יש שירות שתפקידו להודיע לאפליקציות שקובץ נוצר, שונה או נמחק. עורך טקסט צריך לדעת שהמסמך שפתחתם עודכן מבחוץ, ואנטי-וירוס צריך לדעת מה נוסף לדיסק. השירות אינו דורש הרשאות מיוחדות, ומספיק שיש לכם הרשאת קריאה למקום שאחריו אתם עוקבים. השמות מתחלפים בין המערכות, inotify בלינוקס מ-2005, FileObserver באנדרואיד מ-2008 ו-ReadDirectoryChangesW בווינדוס מ-2000, והרעיון זהה.

הצוות, בהובלת סודהנדרה רגהב נילה ודניאל גרוס, לא קרא תוכן של קבצים. הוא הראה שהשמות והשעות לבד מספיקים. בלינוקס, מי שעוקב אחרי תיקייה שהוא רשאי לקרוא מקבל התראות גם על קבצים שבתוכה שאסור לו לקרוא, והחוקרים כיוונו את זה לקבצים שמייצגים את המקלדת. התוצאה היא התראה על כל לחיצת מקש. לא איזה מקש, רק מתי. גם זה מספיק, כי המרווחים בין הלחיצות עוזרים להסיק מה הוקלד. על שבעה מקלידים הזיהוי נע בין 93.1 ל-100 אחוז.

בווינדוס הדליפה רחבה יותר. מי שעוקב אחרי שורש כונן המערכת מקבל את הנתיב המלא של כל קובץ שהשתנה במחשב, גם בתיקיות של משתמשים אחרים שאסור לו לקרוא. פיירפוקס שומר נתונים של אתרים בתיקיות שנקראות בשם האתר, ולכן משתמש רגיל רואה בזמן אמת באילו אתרים גולש משתמש אחר באותו מחשב, בדיוק של 97.8 אחוז על אלף האתרים הפופולריים. באנדרואיד, שנבדק על Pixel ועל מכשירי Galaxy, המנגנון עובר את שכבת ההפרדה שאמורה למנוע מאפליקציה להציץ לאחסון הפרטי של אפליקציה אחרת: אפליקציה שלא ביקשה אף הרשאה רואה לפי שם הקובץ והשעה מתי נשלחו או התקבלו תמונות, סרטונים ומסמכים בוואטסאפ, ומתי הם נמחקו.

ליבת לינוקס קיבלה תיקון חלקי בדצמבר 2025, ולפי החוקרים הוא סוגר את החלק החמור. לאנדרואיד ולמק אין תיקון. מיקרוסופט אמרה שההתנהגות בווינדוס מתוכננת, שאין כאן חולשת אבטחה, ושמה שנחשף הוא שמות ונתיבים ולא תוכן. התשובה קיבלה מועמדות לפרס Pwnie לתשובת היצרן העלובה של 2026.

למה זה חשוב לכם

יש כאן תנאי אחד שחייב להתקיים: אין מדובר במתקפה מרחוק. מישהו צריך כבר להריץ קוד על המחשב שלכם, בדרך כלל דרך חשבון נפרד, או שתתקינו בטלפון אפליקציה שתעשה את זה. התנאי הזה מתקיים יותר ממה שנדמה, בין שזה מחשב משפחתי עם כמה חשבונות ובין שזו אפליקציה שהתקנתם באנדרואיד ושכחתם. מסך ההרשאות לא יעזור כאן, כי האפליקציה אינה מבקשת שום דבר. ובישראל, שבה וואטסאפ הוא ברירת המחדל, עצם הידיעה מתי קיבלתם מדיה ומתי מחקתם אותה היא מידע אישי.

מה עושים?

באנדרואיד, עברו על רשימת האפליקציות והסירו את מה שאינכם משתמשים בו. התקינו רק מהחנות הרשמית, ואל תסתמכו על מסך ההרשאות כדי לזהות אפליקציה מציקה.

אם אתם מתחלקים במחשב ווינדוס עם אנשים אחרים, אל תתייחסו לחשבון משתמש נפרד כאל קיר אטום. פעילות שאתם רוצים לשמור לעצמכם עדיף לעשות במכשיר שרק לכם יש גישה אליו.

מי שמריץ לינוקס שיוודא שהליבה מעודכנת לגרסה מדצמבר 2025 או מאוחרת יותר.

ההצפנה של וואטסאפ עבדה כאן בדיוק כמו שהיא אמורה. מה שדלף הוא מה שקורה סביב ההודעות, לא ההודעות עצמן.