WhatsApp и Signal выдают чужому ваш распорядок дня по номеру

Переписка в WhatsApp и Signal зашифрована, и посторонний её не прочитает. С этим всё в порядке. Утекает другое - маленькая серая галочка о доставке. Она возвращается с измеримой скоростью, а скорость говорит, включён ли у вас экран, сидите вы на Wi-Fi или на мобильном интернете, сколько у вас устройств и когда вы ложитесь спать. Собрать это может любой, кто знает ваш номер, и никакого уведомления вы не увидите.

Как галочка превращается в трекер

Механизм описали исследователи Венского университета и SBA Research в работе Careless Whisper. Он укладывается в четыре строки.

1. Атакующий отправляет на ваш номер сообщение, которое приложение обрабатывает, но не показывает: например, реакцию на несуществующий идентификатор сообщения.
2. Ваш телефон расшифровывает его, решает, что показывать нечего, и всё равно послушно отправляет отчёт о доставке.
3. Атакующий засекает, сколько времени этот отчёт шёл обратно.
4. Повторить несколько раз в секунду - и по таймингам рисуется график вашего дня.

На экране ничего не появляется: ни уведомления, ни нового чата, ни счётчика непрочитанных. В работе это сравнивают со скрытой SMS - приёмом, которым полиция определяет положение трубки без ведома владельца.

Что выдают тайминги

Телефон с включённым экраном отвечает быстрее, чем тот же телефон, лежащий экраном вниз на столе. На Wi-Fi отклик отличается от отклика через мобильную сеть. Только что запущенный десктопный клиент отзывается отдельно. Из этого исследователи восстановили экранное время с точностью до секунды, рабочий распорядок, поездки, а заодно число устройств в аккаунте и операционную систему каждого.

Тот же канал работает не только как датчик, но и как оружие. Служебные сообщения могут нести произвольную нагрузку, поэтому команда проверила, что будет, если слать большие непрерывно.

В Signal картина мягче. Короткие серии проходят, но несколько сообщений в секунду упираются в ограничения, и заметно посадить батарею тестового телефона у команды не вышло. Сам канал слежки там при этом работает, не работает только выкачивание ресурсов.

Threema повела себя иначе

Исследователи проверяли три мессенджера. Threema обращается с отчётами достаточно строго, чтобы скрытый опрос не работал: чужой человек может вызвать хоть что-то, только отправив обычное текстовое сообщение и начав видимый разговор, а это прямая противоположность незаметности. Это важно, потому что показывает: перед нами проектное решение, а не закон природы. WhatsApp и Signal отвечают незнакомцам по умолчанию, Threema - нет.

Что сделали разработчики

1. 5 сентября 2024Исследователи сообщают о находке в службы безопасности Meta и Signal Foundation.
2. 24 сентября 2024Meta подтверждает получение и говорит, что отчёт передан команде разработки. Содержательного ответа не следует.
3. 8 августа 2025Почти через год Meta снова сообщает исследователям, что отчёт передан инженерам.
4. SignalОтвета не было вообще, говорится в работе.

В статье перечислены меры, которые закрыли бы дыру: не слать отчёты номерам, с которыми нет разговора, дать желающим отключить мгновенные отчёты, добавить к таймингам случайную задержку, проверять идентификатор сообщения вместо того, чтобы подтверждать бессмыслицу. Ни одно из этого в протокол не внесли. В декабре 2025 года на GitHub выложили рабочий пример, превращающий приём в наглядную панель, - именно оттуда о нём узнало большинство. С тех пор поведение мессенджеров не изменилось.

Слабое место - сам номер

Любая версия этой атаки начинается одинаково: атакующий вводит номер телефона. К тому же выводу пришла вторая работа той же венской группы, представленная на NDSS 2026: механизм поиска контактов в WhatsApp позволял слать больше 100 миллионов запросов в час и подтвердил 3,5 миллиарда живых аккаунтов в 245 странах. Эту брешь Meta закрыла. Урок пережил починку: на обеих платформах номер телефона одновременно и адрес, и логин, и поисковый ключ.

Что реально можно сделать сейчас

Из всего перечисленного реально стоит заняться именами пользователей. Они не чинят побочный канал, но забирают у атаки то, без чего она не начинается. Если посторонний не может достучаться до вас по номеру, он не может и опрашивать вас на тайминги.