一项新诉讼（新窗口）让 WhatsApp 的安全性再度成为焦点。该应用的前安全负责人 Attaullah Baig 指控 Meta 无视允许数百名员工访问敏感用户数据的严重漏洞，且未能阻止大规模帐户入侵。Meta 拒绝了这些指控，但对于WhatsApp 的 30 亿用户（新窗口）而言，问题都是一样的：WhatsApp 真的安全吗？

WhatsApp 的私有聊天是否安全？

尽管存在这起诉讼的指控，WhatsApp 的端到端加密 (E2EE) 依然完好无损。没有任何迹象表明 WhatsApp 的加密协议已被破解，也没有迹象表明 Meta 能读取您的会话内容。这意味着您的文字消息、照片和语音通话仍受到保护，不会被外部访问，包括 Meta 自身。

但是，WhatsApp 可以读取您的元数据（与谁交谈、何时交谈等），并且会根据您所在的地区与 Meta 分享这些数据。因此，它的安全性取决于您希望将多少信息保持私有。

为什么 Meta 会因 WhatsApp 隐私问题被起诉？

Attaullah Baig 曾于 2021 年至 2025 年间负责 WhatsApp 的安全团队，他表示该应用的私有程度远不及 Meta 所宣称的水平。在诉讼中，他指控约 1,500 名员工可以访问敏感的用户信息，包括位置、头像、群组成员资格和联系人列表。

如果这些指控属实，那么这便澄清了 WhatsApp 对端到端加密的立场（新窗口）：您的消息是私有的，但您的位置、头像、群组成员资格和联系人列表则任人获取。这种不受限制的访问为内部威胁和数据泄露打开了大门，敏感信息可能被窃取并在暗网上出售。

这位前安全负责人认为，这种程度的访问还可能违反美国政府的一项具有约束力的命令。该命令曾迫使 Meta（当时的 Facebook）在 Cambridge Analytica 丑闻后于 2020 年支付创纪录的 50 亿美元罚款（新窗口）。

他还指控该公司无视每天超过 10 万次的帐户接管事件，并拒绝了他提出的修复方案。根据诉讼，当 Baig 向包括 Mark Zuckerberg 在内的高层提出这些担忧时，Meta 解雇了他。

Meta 拒绝了 Baig 的指控，并将他的解雇归咎于表现不佳。这些指控还引起了政治关注，参议员们正敦促 Zuckerberg（新窗口） 就 WhatsApp 的安全行为作出回应。

在 Baig 提起诉讼的几天前，六名 Meta 现任和前员工（新窗口）声称，该公司掩盖了儿童在其虚拟现实平台上遭受诱骗、骚扰和暴力的证据。Meta 也拒绝了这些指控。

WhatsApp 有哪些安全和隐私风险？

随着 WhatsApp 处理用户数据的方式成为焦点，以下是使用该应用时可能面临的安全和隐私风险：

恶意软件和间谍软件

恶意应用或链接会在您的手机上安装间谍软件，让攻击者得以拦截消息或代码。其中一例是 PixPirate（新窗口），这是一种最初在巴西被发现的 Android 恶意软件，在该国针对其即时支付系统 Pix 发动攻击。此后，它在印度、墨西哥和意大利也相继出现。其目标是窃取银行凭证、拦截双因素身份验证 (2FA) 代码、从受害者的帐户发起未经授权的 Pix 转账，并阻止卸载它或停用 Google Play Protect 的尝试。

攻击者曾利用 WhatsApp 传播 PixPirate。如果该恶意软件未在设备上检测到 WhatsApp（新窗口），它会下载 WhatsApp 以便向联系人发送更多恶意链接。

零点击漏洞利用

2025 年，研究人员发现了一种零点击攻击，黑客可以借此通过 WhatsApp 侵入 iPhone 和 Mac（新窗口），而无需用户点击任何内容。该漏洞利用结合了两个缺陷：一个在于 macOS 和 iOS 处理图像的方式，另一个在于 WhatsApp 的设备关联功能。

网络犯罪分子可以通过 WhatsApp 消息向 Apple 用户投递间谍软件，并从其设备（包括消息）中窃取数据。Meta 表示，受影响的用户不到 200 名，Apple 和 WhatsApp 此后均已修补了这些漏洞。

同年，另一个零点击漏洞影响了 Samsung 设备（CVE-2025-21042（新窗口））。攻击者只需发送一个恶意图像文件即可入侵 Galaxy 手机，无需任何交互操作。该漏洞利用曾被用于有针对性的间谍软件活动，直到 Samsung 在其 2025 年 4 月的安全更新中修复了这一问题。

SIM 卡调包和验证码骗局

攻击者可能诱骗您的移动运营商将您的电话号码转移到他们控制的新 SIM 卡上。然后，他们可以骗取您分享 WhatsApp 在设置新设备时通过短信发送的六位代码。如果您交出该代码，不法分子就可以劫持您的帐户、将您锁在外面、窃取您的身份，并利用您的个人资料欺诈您的联系人。伦敦 Southwark 警方报告称 2021 年此类攻击激增（新窗口），并警告人们切勿分享自己的 WhatsApp 代码。

暴露的元数据

聊天可能是端到端加密的，但 WhatsApp（及其母公司 Meta）仍会收集元数据 — 例如您与谁交谈、频率如何、您的设备详细信息和位置。元数据无法直接用于识别您的身份，但可以通过与其他信息交叉比对来重新识别您（新窗口）。而且由于 Meta 总部位于美国，它可能会在不另行通知的情况下将所掌握的有关您的一切信息分享给美国政府。

35 亿个 WhatsApp 电话号码被大规模暴露

2025 年，一组奥地利独立研究人员使用一种易于复现的电话号码枚举方法，发现（新窗口）了 WhatsApp 的一个隐私缺陷，借此获取了 35 亿个电话号码 — 以及头像、设备详细信息、时间戳、“关于”文本和商业信息。同一漏洞最早于 2017 年被报告，但 Meta 并未解决。重要的是，目前没有公开报告确认曾有任何 WhatsApp 数据泄露利用过这一特定方法。

虽然您的电话号码和元数据无法直接识别您的身份，但它们可以与其他数据进行匹配，从而揭示您的真实身份。也许您在各个社交平台上重复使用同一张头像，或者您的电子邮件、用户名或位置曾在过往的数据泄露事件中被暴露 — 所有这些信息都可以与您的 WhatsApp 元数据关联起来。

研究人员还获取了用于 WhatsApp 端到端加密的公钥，并发现了严重问题，包括加密密钥在不同帐户之间被重复使用数百次，以及一次性预密钥反复出现 — 尽管这些密钥本应为每个会话重新生成。

这些安全问题表明，有人在使用加密已被破坏的非官方或欺诈性 WhatsApp 客户端。如果您使用这些修改版应用，您的消息可能容易遭到拦截、解密，帐户也可能被冒用。

Meta 表示已修复该枚举问题，并淡化所暴露数据的敏感性，同时未回应公钥问题，也未回应它在近十年前就曾收到过关于这一重大缺陷警告的事实。

所有 Meta 平台上的定向广告

WhatsApp 表示它不会将消息内容用于广告（新窗口），但确实会使用其他数据 — 例如帐户信息（国家代码、年龄）、设备信息（语言、位置）以及“状态”和“频道”中的活动（您查看、关注或点击的内容）。由于 WhatsApp 是 Meta 的一部分，这些数据可以在 Facebook 和 Instagram 之间分享，不过得益于 GDPR，这种数据分享在欧洲受到限制。

自 WhatsApp 于 2021 年更改其隐私政策以来，它还将其与商家之间的付款和交易数据分享给了 Meta（当时的 Facebook）。如果您将 WhatsApp 连接到 Meta 的帐户中心，您的广告首选项将被统一，这意味着您在 WhatsApp 中的操作可能会影响您在其他地方看到的广告。而随着由 Meta AI 驱动的新功能推出，跨平台的数据分享引发了更多担忧。

Meta AI 训练

Meta AI 已嵌入 WhatsApp、Facebook 和 Instagram，这加剧了人们对数据如何被处理、用于 AI 训练以及在这些平台之间分享的担忧。

在 WhatsApp 上，Meta 表示 Meta AI 不会访问您的私有端到端加密聊天。但是，您与 Meta AI 分享的提示和反馈可能会被存储，并用于改进其模型。WhatsApp 还提供会话摘要功能，该功能依赖于 “私有处理”（新窗口），Meta 声称这可以防止摘要被该公司或任何其他人读取。

即便有这些保证，人们对自己究竟拥有多少数据控制权仍存疑虑。例如，Facebook 用户报告称，Meta AI 启用了某些设置，使其能够在未经同意的情况下扫描其相机胶卷中未发布的照片。

如何在 WhatsApp 上保持安全

您可以采取以下措施来提升使用 WhatsApp 时的隐私和安全性：

  • 始终使用来自 App Store 或 Google Play 的官方 WhatsApp 应用，以确保您的端到端加密正常工作。
  • 在手机上开启安全通知，以便在联系人重新安装 WhatsApp、更换手机或添加或移除关联设备时收到提醒。
  • 创建通行密钥，以便您可以使用面容、指纹或屏幕锁定登录 WhatsApp。这样即使他人获取了您的短信代码，也无法登录。
  • 添加电子邮件地址，以便在您被锁定时验证或恢复您的帐户。请确保您的电子邮件本身使用强密码和双因素身份验证进行保护。
  • 启用端到端加密备份，将您的聊天内容保护在 iCloud 或 Google 云端硬盘中，这样即使是 Apple、Google 或 Meta 也无法读取它们。WhatsApp 不允许您选择云存储服务提供商。若无法接受，您应完全关闭聊天备份。
  • 切勿与任何人分享您的六位验证码。WhatsApp 和 Meta 绝不会索要验证码。
  • 请要求您的移动运营商在您的号码被转移到其他 SIM 卡之前必须提供 PIN 或密码。这会使 SIM 卡调包难上加难。
  • 仅从 Google Play 或 App Store 下载 WhatsApp，并让它（以及您的移动和桌面操作系统）始终更新至最新版本。
  • 切勿点击链接或安装来自 WhatsApp 中未知或可疑联系人的应用。如果您对某个联系人有所怀疑，请通过其他方式与其联系以确认其身份。
  • 通过限制谁可以将您添加到群组以及谁可以查看您的头像、最后上线时间和在线状态、关于部分以及个人资料上的链接，来锁定您的 （新窗口）WhatsApp 隐私设置（新窗口）。
  • 您无法在 WhatsApp 上完全关闭 Meta AI，但可以采取措施防止它从您的活动中了解太多 — 并保护您的消息不致进入 AI 训练数据。

选择一款更私有的即时通讯应用

尽管您可以采取措施提升安全性并限制其他 WhatsApp 用户能看到的内容，但这无法改变 Meta 仍然依靠收集元数据等用户信息来创收的事实。如果近期举报者的指控属实，这种访问范围可能比该公司承认的还要广。鉴于 Meta 的隐私侵犯历史，人们抱有一定怀疑是合理的。

如果您担心这种程度的控制，可以考虑更私有的 WhatsApp 替代方案，它们收集的数据要少得多，且不隶属于因“付费或同意”广告模式而被监管机构罚款的大型科技公司。