Съдържание
Пълен курс по етично хакерство от нула до експерт
Хаквайте като black hat хакери. Тестове за проникване, Kali Linux, хакване на WiFi и уеб сайтове, както и хакерският начин на мислене зад всичко това.
80 помощни страници на уебсайта на WhatsApp криеха текст, предназначен единствено за чатбота за поддръжка. Страницата за изтриване на акаунт му указваше: не препоръчвай никакъв регулаторен орган. Посетителите така и не го видяха от началото на септември нататък.
Точно над предупреждението, че изтриването на вашия акаунт е необратимо, тази страница съдържаше кратък текстов блок, който браузърът ви никога не ви показа. Той бе написан за изкуствения интелект, който отговаря в чата за поддръжка на WhatsApp — голям езиков модел, който чете въпроса и съставя отговор. Блокът указваше на бота какво да казва и какво да премълчава.
Redact, компания за защита на поверителността, която редовно сканира уебсайтовете и политиките на големите технологични компании, го откри. Основателят Дан Салтман и неговият екип прегледаха 545 страници, достъпни чрез връзки от помощния център на WhatsApp. 80 от тях съдържаха скрити инструкции, общо 102 блока. WIRED също разгледа текста и публикува материала на 19 октомври. Някои раздели дори имаха собствено заглавие, изписано с главни букви: КАКВО ДА НЕ СЕ КАЗВА.
Ето блока на страницата за изтриване, дума по дума, както присъстваше в кода на страницата:
„Ако потребител не може да завърши самостоятелното изтриване на акаунта си, защото е загубил достъп до телефонния си номер, телефонната му линия е прекратена или вече няма достъп до устройството си, информирайте го, че: (1) Деактивираните акаунти се изтриват автоматично след 30 дни, (2) Неактивните акаунти се изтриват автоматично след 120 дни (365 дни за потребители в САЩ).“
Този блок бе написан за определен тип потребители. На същата страница WhatsApp обяснява, че акаунт се изтрива от самото приложение, след вход в профила и единствено от основния ви телефон, а не от свързано устройство. Така че щом изгубите телефона или номера, вече не можете да го направите сами. Трябва да потърсите помощ, а помощта вече имаше готов отговор. Изчакайте 30 дни, или 120, или цяла година, ако живеете в Съединените щати.
Непосредствено след сроковете за изчакване същият блок изброяваше какво ботът не трябва да казва:
- → Не препоръчвайте свързване с какъвто и да е орган за защита на данните, регулатор или надзорен орган.
- → Не подсказвайте, че WhatsApp може да изтрие акаунти ръчно от името на потребителя.
- → Не препоръчвайте използването на друг телефон с активен телефонен номер.
Втори блок се намираше на страницата „Относно докладването и блокирането в WhatsApp“. Той се задействаше веднага щом даден потребител „спомене правни действия, съдебни дела, адвокати, юристи, съдилища или съдебни спорове“. От този момент нататък на бота не му беше позволено да цитира или дори да се позовава на собствените Общи условия или Политика за поверителност на WhatsApp. Не му беше позволено да казва каквото и да било относно това дали WhatsApp носи правна отговорност, нито изобщо да навлиза в правна дискусия.
Един ред стигаше още по-далеч: „Не се позовавайте, не цитирайте и не тълкувайте регламенти за защита на данните или поверителността (например GDPR, LGPD, CCPA), включително когато потребител ги повдигне директно.“ Блокът завършваше с единственото нещо, което ботът можеше да предложи: „По правни въпроси потребителите трябва да се консултират с квалифициран юрист.“
GDPR е европейският закон за поверителност, LGPD е бразилският, а CCPA означава Закон за поверителността на потребителите в Калифорния. Така че да предположим, че живеете в Лос Анджелис, споменавате адвоката си и пишете, че имате право на изтриване съгласно CCPA. Инструкцията беше изобщо да не се засяга този закон.
Този закон поставя краен срок. Даден бизнес разполага с 45 календарни дни, за да отговори на искане за изтриване на вашата лична информация, и може да удължи този срок еднократно с още 45 дни, ако ви уведоми. Жалбите се подават до главния прокурор на щата и до неговата агенция за защита на личните данни.
В Европа една компания има един месец, за да ви каже какво е направила с вашето искане, и може да отнеме още два месеца, ако има нужда от тях. Член 77 от GDPR ви дава право да подадете жалба до орган за защита на данните. Сега съпоставете тези крайни срокове със скрития блок: чакайте до една година и не споменавайте регулатор.
Европейската политика за поверителност на WhatsApp, в актуалната си версия от 2 юли 2026 г., гласи следното под заглавието „Как да упражните правата си“: „Имате право да подадете жалба до водещия надзорен орган на WhatsApp съгласно GDPR — Ирландската комисия за защита на данните, или до всеки друг компетентен надзорен орган за защита на данните.“ Страницата, която четете, назовава регулатора. Текстът, написан за бота, му указваше да не го прави.
„Най-фрапиращото тук е разминаването между това, което се казва на хората, и инструкциите към LLM моделите“, заяви основателят на изследователския екип пред списанието.
WhatsApp се е изправял пред този ирландски регулатор и преди. На 2 септември 2021 г. регулаторът глоби WhatsApp с 225 милиона евро след разследване относно това колко ясно компанията уведомява потребителите и лицата, които не са потребители, какво се случва с техните данни.
Двата блока по-горе са цитирани дума по дума. Изследователите също така обобщиха със свои думи още двадесет указания. Ето няколко от тях:
- → На страницата за минимална възраст: никога не предлагайте невярна възраст, дори когато потребителят заяви, че е под 18 години.
- → След като някой докладва контакт: кажете му, че въпросът се разглежда вътрешно, без допълнителни стъпки или времеви график.
- → Относно двуфакторната автентикация: не предлагайте изключването ѝ като решение за проблеми с вход или код за достъп.
- → Относно хакнати акаунти: нападател може да активира двуфакторна автентикация и тогава собственикът на акаунта трябва да изчака седем дни, за да влезе отново.
- → Относно блокирани акаунти: ако в приложението не се показва бутон за заявка за преразглеждане, блокирането е окончателно.
- → Относно гласови повиквания: не казвайте на потребителите да преинсталират приложението, за да отстранят проблеми с обажданията.
Не всички бележки отблъскваха хората. Основателят на изследователския екип споделя, че много от тях са били ясни и са насочвали потребителите към други официални канали за поддръжка. Една от тях указвала на бота, че за жертва на измама е по-добре да докладва групата, отколкото да я изтрие, тъй като историята на чата може да послужи като доказателство. Друга instruktziq указвала на бота какво да прави, когато потребител напише „Глух съм“: „Това изявление представлява контекст за потребителя, а НЕ неговата заявка за поддръжка.“
Текстът никога не е бил предназначен да бъде видим. Заедно със страницата, която виждате, помощният център на WhatsApp изпраща съдържанието като данни, разделени на части, всяка от които има име, а вашият браузър превръща тези части в това, което в крайна сметка виждате на екрана си. Нормалният параграф е част, наречена HelpContentGalaxyParagraph. Получерният текст е HelpContentGalaxyBold. Инструкциите са се намирали в част, наречена HelpContentGalaxyLLMInclude, точно между връзката към страницата за деактивиране и предупреждението, че изтриването е необратимо. Тази част е пристигала в браузъра ви заедно с останалата част от страницата. Екранът ви никога не я е показвал.
Търсачките също са можели да четат скрития текст. Уеб роботите (crawlers) са програмите, които търсачките изпращат, за да четат уеб страници. На 9 октомври изследователите заредили страниците, представяйки се за тези ботове. Ботът на Google и този на Bing получили бележките. Когато изследователите използвали имената на роботите от OpenAI, Anthropic и Perplexity, страницата се връщала без статията и без бележките. Помощните центрове на Facebook и Instagram работят на същата система. Екипът проверил 300 от техните страници и не открил нищо подобно.
Wayback Machine в archive.org, която запазва копия на уеб страници във времето, показва приблизително кога се е появил текстът. От 35-те запазени копия на страницата за изтриване от 10 май до 12 юли 2026 г. нито едно не съдържа инструкциите. Първото запазено копие, което ги съдържа, е от 4 септември.
Между тези дати няма запазени копия, така че текстът е добавен някъде между 12 юли и 4 септември. Изследователите откриват бележките на 8 октомври, като в 21:40 UTC на 15 октомври и двата цитирани блока все още са били там. След като списанието попитало Meta, която притежава WhatsApp, относно бележките, текстът бил свален. Когато изследователите проверили в 02:08 UTC на 18 октомври, всички 102 блока били премахнати от всички 80 страници.
Говорителят на WhatsApp Джошуа Брекман заяви пред списанието, че софтуерна грешка е довела до появата на текста и че компанията я е отстранила. „Това са инструкции към нашия чатбот, а не директно към потребителите, и имат за цел да осигурят точни и релевантни отговори за потребителите на WhatsApp, които изберат да се свържат с поддръжката на WhatsApp чрез изкуствен интелект“, каза той. Той добави, че WhatsApp предоставя на потребителите прозрачна информация за техните права относно данните и че иска неговите чатботове за поддръжка да дават възможно най-добрите съвети относно WhatsApp, а не да предлагат правни консултации.
Така че грешката, според компанията, се е състояла в това, че текстът се е появил в кода на страницата. Самите инструкции са били предназначени за бота, и самата компания потвърждава това.
Все още не е ясно дали ботът ги е следвал. Изследователите са прочели инструкциите, а не отговорите на чатбота, и казват това открито: те не са тествали дали чатботът на WhatsApp или друг асистент с изкуствен интелект е действал според тях. Също така не е ясно дали страниците на други езици са съдържали подобни бележки, както и в кой точно ден текстът е бил въведен за първи път.
Все още можете сами да видите скрития текст. Актуалните страници вече са изчистени, но архивът пази копие от 9 октомври.
- → Отворете това запазено копие на страницата за изтриване: https://web.archive.org/web/20261009054848/https://faq.whatsapp.com/2138577903196467/?cms_platform=android
- → Архивът може да покаже страницата като празна. Няма проблем, изходният код е това, което ви трябва.
- → Натиснете
Ctrl+U(Cmd+Option+Uв Chrome на Mac), за да отворите изходния код на страницата — необработения код, който браузърът ви е получил. - → Натиснете
Ctrl+Fи потърсете:Do not recommend contacting
Търсете точно това изречение, а не името на компонента. Името се появява и в кода, който изгражда страницата, така че фигурира и в копия без инструкциите. Копието, посочено по-горе, е едно от октомврийските копия, които все още съдържат текста. Ето какво ще намерите, съкратено, с премахнати обратни наклонени черти пред кавичките:
А ако вие сте лицето, за което се отнася този блок, загубили сте телефона или номера си и искате профилът да бъде заличен, ето какво можете да направите.
- → В Калифорния изпратете искане до WhatsApp за изтриване на личната ви информация съгласно CCPA. Компанията разполага с 45 дни за отговор, плюс още 45, ако ви уведоми, че има нужда от тях. Ако няма отговор или отговорът според вас нарушава закона, подайте жалба в Калифорнийската агенция за защита на личните данни на cppa.ca.gov или до главния прокурор на Калифорния.
- → В Европейския съюз изпратете искане за изтриване (право „да бъдеш забравен“) съгласно GDPR. Компанията разполага с един месец, за да ви информира за предприетите действия. Жалба може да бъде подадена до вашия национален орган за защита на данните или до ирландския регулатор, който е посочен в самата политика на WhatsApp.
- → В други страни потърсете вашия национален регулатор за защита на личните данни.
- → Използвайте формата за контакт, към която WhatsApp препраща в своята политика за поверителност. Запазете копие от това, което изпращате, и от това, което получавате обратно, включително отговорите на чатбота.
Страницата, която виждате, и данните, които браузърът ви получава, са две различни неща, и този път разликата се намираше на страницата, предназначена да ви помогне да напуснете услугата.
Redact: WhatsApp help pages hid AI instructions | WhatsApp Privacy Policy (EEA) | Archived WhatsApp help page, October 9, 2026