Klaim bahwa akun WhatsApp dapat dinonaktifkan hanya dengan email

• Muncul klaim di Hacker News bahwa penonaktifan akun WhatsApp bisa dilakukan hanya dengan mengirim email, dan Jake Moore menyatakan telah mengonfirmasi hal itu bekerja pada perangkat uji
• Cakupan yang terkonfirmasi hanya 1 kasus pada perangkat uji, dan tidak ada informasi yang diberikan tentang apakah hal ini dapat direproduksi pada akun nyata atau di berbagai lingkungan
• Langkah reproduksi seperti alamat penerima email, format permintaan, atau informasi akun yang diperlukan tidak disertakan dalam isi yang dipublikasikan
• Metode pemulihan setelah penonaktifan, waktu pemrosesan, dan apakah WhatsApp telah merespons juga belum terkonfirmasi
• Berdasarkan informasi yang dipublikasikan saja, sulit menilai cakupan dampak atau syaratnya, dan satu-satunya fakta yang cukup pasti terbatas pada pernyataan singkat bahwa “ini berhasil pada perangkat uji”

---

Hal yang terkonfirmasi dari postingan

• Jake Moore menulis di X, “Saya mencobanya di perangkat uji saya, dan itu berhasil”
• Judul di Hacker News merangkum bahwa akun WhatsApp siapa pun dapat dinonaktifkan hanya dengan mengirim email
• Postingan tersebut menyertakan tautan, tetapi detail isi tautan itu tidak dapat dipastikan hanya dari teks yang diberikan

Kondisi yang belum terkonfirmasi

• Langkah reproduksi tidak disediakan
  • Ke alamat email mana harus dikirim
  • Frasa atau format seperti apa yang diperlukan
  • Informasi apa yang dibutuhkan untuk mengidentifikasi akun target
• Cakupan dampak juga tidak dijelaskan
  • Apakah dapat direproduksi pada akun selain perangkat uji
  • Apakah ada batasan pada negara, nomor, atau status akun tertentu
  • Apakah pemulihan dimungkinkan setelah penonaktifan
• Dari postingan ini saja, sulit menilai syarat atau tingkat keparahan kerentanan tersebut, dan inti yang dapat dipastikan adalah keberhasilan pada perangkat uji

[GN⁺]

Komentar Hacker News

• Rasanya alur ini sampai batas tertentu bisa diprediksi. Saya penasaran apa alternatif yang tepat
  Ketidaknyamanan dari akun yang dinonaktifkan itu kecil, karena bisa kembali hanya dengan satu kode verifikasi SMS, dan pesan yang tertunda juga tetap diterima
  Orang yang kehilangan ponsel kemungkinan besar tidak punya cara bagus untuk cepat membuktikan identitasnya dalam model WhatsApp, karena identitas terikat ke nomor telepon
  Sepertinya kasus ketika spammer, pencuri, dan peretas harus cepat diblokir jauh lebih banyak daripada kasus fitur ini disalahgunakan
  Jika penyalahgunaan fitur ini menjadi masalah berulang, saya rasa WhatsApp juga akan menyesuaikan alurnya sehingga membebani pengguna lebih banyak
  Bagian penghapusan otomatis sedikit lebih mengkhawatirkan, tetapi kalau seseorang tidak memakai WhatsApp selama 30 hari, mungkin akun dan keanggotaan grupnya tidak begitu berharga. Backup sudah otomatis dan terpisah, dan membuat ulang akun dengan nomor yang sama juga mudah
  Intinya mungkin adalah “aplikasi harus berhenti memakai SMS dan nomor telepon sebagai sumber identitas”, dan saya umumnya setuju, tetapi kebanyakan komentar sepertinya bukan membahas itu. WhatsApp juga merupakan aplikasi utama yang sukses tepat di atas ide tersebut

  • Ini mengerikan. Pihak yang sama sekali tidak terkait tidak boleh bisa memengaruhi akun lain yang bahkan bukan miliknya, apalagi sampai menonaktifkannya
    Bayangkan saja ini bisa diotomatisasi untuk menonaktifkan akun-akun musuh secara massal
  • Kalau sedang bepergian dan memakai SIM lain, satu kode verifikasi SMS tidak selalu semudah itu
  • Saya cukup sering offline selama beberapa minggu. Kalau begitu, itu sudah sangat dekat dengan situasi ketika seluruh akun bisa saja terhapus
    Saya berharap ada masa ketika bisa offline selama beberapa bulan
  • Kalau menjalankan otomatisasi sederhana untuk menonaktifkan akun setiap jam, ketidaknyamanannya tidak lagi kecil
  • Menurut saya alternatifnya begini. 1. Verifikasi identitas ke operator, dapatkan SIM baru, lalu nonaktifkan SIM lama. 2. Masukkan SIM baru ke ponsel lain dan ambil kembali akun WhatsApp
    Bukankah ini cara pemulihan standar untuk aplikasi yang bergantung pada nomor telepon?
    Mendapatkan SIM baru memang lebih lama daripada mengirim email, tetapi setidaknya tidak ada potensi penyalahgunaan semudah ini

• Beberapa tahun lalu saya menghadiahkan langganan Audible untuk ayah saya; karena itu hadiah, saya mendaftar dengan email saya lalu menggantinya ke alamat ayah saya saat hari ulang tahunnya. Namun entah bagaimana, hanya karena email itu dipakai, saya jadi masuk ke dalam akun Amazon ayah saya. Sepertinya sulit membuat logika backend benar sejak awal
  Pernah juga saya berbicara dengan CTO sebuah credit union; ada orang yang memasukkan nomor rekening acak dan memasukkan kata sandi salah tiga kali untuk memblokir akses akun orang lain. Saat itu kebijakan koperasi tersebut adalah harus menelepon untuk membuka kunci, dan pada akhir pekan ketika orang butuh uang, itu benar-benar merepotkan

  • Karena sedang membahas prosedur akun Amazon, ada masalah yang benar-benar menjengkelkan. Entah bagaimana saya membuat dua akun Amazon dengan alamat email yang sama, hanya kata sandinya berbeda
    Riwayat pesanan, alamat, dan sebagainya semuanya berbeda, tetapi nama akunnya sama. Jadi kadang saya bingung kenapa pesanan yang saya buat tidak terlihat
    Menariknya, kalau saya mencoba mengganti kata sandi salah satu akun agar sama dengan kata sandi akun lainnya, prosesnya gagal. Ini cukup mengkhawatirkan
  • Minggu lalu seseorang dengan nama yang sama seperti saya di Bismarck, North Dakota membeli iPhone baru. Ia memberikan alamat email iCloud saya ke AT&T, dalam format firstname.lastname. Mungkin itu kesalahan yang jujur
    AT&T dengan rajin meminta ‘saya’ mengonfirmasi alamat email tersebut, dan saya tidak mengonfirmasinya
    Namun saya tetap terus menerima email akun orang itu. Jadi saya tidak mengerti apa sebenarnya arti konfirmasi itu
  • Sebagai catatan, itu bukan upaya untuk mengunci orang. Itu adalah pembobolan akun terdistribusi
    Bagi pencuri, tidak penting uang siapa yang dicuri, jadi caranya adalah mencoba sesuatu seperti “password” di semua akun dan mencari akun yang bisa dimasuki
  • Beberapa tahun lalu, saat bersama keluarga di rumah ibu saya, saya membuat akun uji coba Netflix. Karena rencananya untuk ibu saya, namanya saya buat ‘grandma’, dan akhirnya saya yang membayar. Ibu saya tidak pernah membayarnya sendiri
    Namun selain saat kami ada di dekatnya, ibu saya hampir tidak memakainya dan kembali ke TV linear. Sebaliknya, istri dan anak-anak saya menyukai Netflix, jadi akun itu masuk ke kombinasi streaming kami
    Akhirnya, meski masih keluarga, itu menjadi akun Netflix atas nama orang lain. Ibu saya terus menerima email bahwa seseorang masuk ke akun, dan setiap kali saya menjawab, “ya, itu salah satu dari kami”
    Akhirnya saya mengganti email akun ke milik saya, dan sekarang Netflix terus memanggil saya ‘grandma’. Saat ibu saya benar-benar menonton Netflix, itu ketika kami ada di sekitar, pada dasarnya ketika anak-anak menonton
    Beberapa hari lalu istri saya menerima semacam error yang menanyakan apakah akun ini akun kami, dan sejak itu tampaknya kami akan tersandung masalah ini
    Pembayaran juga hanya bisa lewat gift card atau transfer bank manual. Sistem pembayaran otomatis tidak berfungsi dan kartu selalu ditolak. Terus terang, dukungan pelanggan-nya buruk sekali. Istri saya sudah beberapa kali mencoba memperbaikinya, tetapi masih rusak
  • Saya berada di situasi sebaliknya, jadi saya agak menikmati cerita seperti ini. Saya punya alamat [e-mail] berbasis nama asli, dan nama saya juga cukup unik
    Karena nama saya tidak umum, kadang menjengkelkan dan membuat cemas bahwa sekadar pencarian Google saja menampilkan banyak informasi pribadi yang ingin saya biarkan sulit ditemukan
    Tapi setidaknya saya tidak menerima segala macam email gara-gara orang asing di suatu tempat salah memasukkan email

• Andai saja ini berhasil pada seluruh basis pengguna Meta. Dunia mungkin bisa dibebaskan. Rasanya akan seperti adegan di Independence Day ketika mereka mengunggah virus ke kapal induk dan membunuhnya

  • Kalau salah satu aplikasi media sosial Meta, saya paham kenapa Anda merasa begitu, tetapi WhatsApp adalah salah satu aplikasi perpesanan terbesar yang dipakai di banyak negara
    Mungkin juga membantu meruntuhkan paket SMS berbayar operator dan memaksa tarif SMS yang lebih murah. Justru WhatsApp mungkin nilai terbaik yang pernah Meta berikan kepada dunia, dan membuat dunia lebih dekat
  • Di dunia ideal mungkin begitu, tetapi di dunia nyata itu hanya akan menjadi gangguan singkat. Sepertinya total butuh sekitar 10 jam untuk melakukan rollback DB dan menambal kerentanan
  • Analogi yang lebih baik sepertinya Fight Club tanpa ledakan

• Ini mengingatkan pada sistem pemerintah yang bisa mengunci pengguna tertentu jika kata sandi yang salah dimasukkan berkali-kali

  • Cara lain yang benar-benar menyebalkan adalah saat fitur “lupa kata sandi” justru mengganti kata sandi lalu mengirim salinannya lewat email. Dengan begitu, orang iseng bisa terus menekan “lupa kata sandi” dan memaksa kata sandinya berubah
  • Hal seperti ini juga terjadi di luar sistem pemerintah. Satu-satunya kasus yang pernah saya alami adalah sistem lembaga keuangan
    Benar-benar bikin frustrasi karena untuk meresetnya saya harus datang langsung ke cabang
  • Situs seperti ini terlalu banyak

• Di negara kami ada sebuah situs perbandingan asuransi; kalau kita memasukkan nomor telepon di sana, tanpa verifikasi nomor sama sekali, nomor itu langsung masuk daftar yang ditelepon 5 kali sehari untuk ditawari asuransi. Gila
  Ini sesuatu yang hanya ingin kita timpakan pada musuh terburuk, dan nyatanya memang bisa dilakukan

• Masalah LeetCode jelas tidak mengajarkan cara menghindari prosedur pemulihan paling bodoh di dunia

  • Mungkin bodoh, tapi bisa mengunci akun dalam O(1)
  • Meski begitu, pasti ada orang yang dipromosikan berkat dampaknya membuat layanan rendah pemeliharaan dengan riwayat gangguan 0%

• Beberapa teman saya akun WhatsApp-nya benar-benar diretas. Jika peretas terus mengirim permintaan pemulihan, korban akan menerima panggilan, dan jika korban tidak mengangkat, kode pemulihan masuk ke voicemail
  Peretas lalu mengakses voicemail. Memang ada kata sandi, tetapi banyak orang memakai tanggal lahir, 1234, 0000, atau 4 digit terakhir nomor telepon. Setelah itu mereka mendapat akses ke WhatsApp
  Mereka tidak bisa melihat pesan, tetapi bisa melihat semua grup yang diikuti dan mengirim pesan ke sana
  Ini bisa sepenuhnya dicegah dengan mengaktifkan verifikasi dua langkah WhatsApp

  • Beberapa sistem masih tidak meminta PIN jika panggilan berasal dari ponsel sendiri. Jadi jika nomor penelepon dipalsukan, yang sangat mudah dilakukan, orang bisa masuk tanpa kata sandi
  • Saya juga pernah mengalaminya, tetapi untungnya fitur PIN WhatsApp mencegah peretas masuk lebih jauh. Mungkin tidak seaman verifikasi dua langkah, tetapi hari itu fitur itu menyelamatkan saya. Sangat saya rekomendasikan
  • Ini salah satu keuntungan tak terduga lain dari mati-matian mempertahankan Google Voice. Meski begitu, saya tidak memakai WhatsApp
  • Saya memang mengaktifkan verifikasi dua langkah WhatsApp, tapi jujur saja merepotkan. Aplikasinya terus meminta konfirmasi ulang PIN setiap beberapa hari

• Saya penasaran apakah sudah ada yang membuat skrip untuk menonaktifkan semua akun WhatsApp dengan menelusuri semua nomor telepon

  • Saya penasaran apakah ini bisa menjadi peristiwa trading yang menguntungkan jika seseorang yang sangat piawai menanamkan liputan media membeli banyak put option, lalu menjualnya tepat setelah artikelnya terbit
    Meta adalah perusahaan yang sangat besar, jadi agak mengejutkan kalau biaya premi opsinya lebih kecil daripada nilai yang bisa diekstrak dari situ, tetapi mungkin saja
  • Sangat menggoda, tetapi masalah hukum terlalu menakutkan

• Ini sempurna untuk menyingkirkan para penipu

  • “Oh? Dan saat hukum terakhir runtuh, dan Iblis berbalik menghadapmu, di mana kau akan bersembunyi, Roper, ketika semua hukum telah tumbang?”
    — A Man for All Seasons, Robert Bolt, 1960

• Kalau begitu, seharusnya ada layanan massal yang menutup akun atas nama semua orang. Bisa dibilang, untuk membantu mereka