image

Voormalig Head of Security: 'WhatsApp bevat beveiligingsproblemen die privacy van gebruikers mogelijk in gevaar brengt'

dinsdag 9 september 2025, 16:11 door Redactie, 25 reacties

Attaullah Baig, voormalig Head of Security bij Meta, daagt zijn voormalig werkgever voor de rechter. Baig stelt dat WhatsApp beveiligingsproblemen bevat die de privacy van gebruikers mogelijk in gevaar brengen. Hij stelt hierover intern aan de bel te hebben getrokken, waarna hij zou zijn ontslagen.

De zaak is ingediend in de Amerikaanse staat Californië. Baig stelt na zijn indiensttreding bij Meta in 2021 te hebben ontdekt dat 1.500 engineers van WhatsApp onbeperkte toegang hadden tot gebruikersdata. Ook zouden medewerkers data kunnen verplaatsen of stelen zonder dat dit wordt gedetecteerd of vastgelegd in logbestanden. Baig stelt dat WhatsApp hiermee niet alleen de Amerikaanse federale wetgeving overtreedt, maar ook in strijd handelt met toezeggingen die het bedrijf deed als onderdeel van een schikking die Meta in 2020 trof met de Federal Trade Commission (FTC) in een privacy zaak.

Baig stelt ook dat Meta niet beschikt over een security operations center (SOC) dat 24 uur per dag is bemand, terwijl dit wettelijk door de omvang van het bedrijf wel verplicht zou zijn. Ook beschikt WhatsApp naar verluid niet over een systeem dat de toegang tot gebruikersdata monitort en zou geen goed zicht hebben op systemen waarom gebruikersdata zijn opgeslagen.

In de aanklacht staat ook dat de voormalig Head of Security de Amerikaanse Securities and Exchange Commission (SEC) in november op de hoogte heeft gesteld van de problemen. Een maand later zou hij Meta-topman Mark Zuckerberg twee brieven hebben gestuurd, waarin hij aangaf een klacht te hebben ingediend bij de SEC en daarnaast onmiddellijke actie vroeg om de problemen aan te pakken. In januari diende Baig vervolgens een klacht in bij de Amerikaanse Occupational Safety and Health Administration.

Een maand later werd Baig ontslagen tijdens een ontslagronde die Meta Platforms in februari uitvoerde. De Head of Security zou slecht presteren en daarom de laan zijn uitgestuurd. De aanklacht stelt echter dat door de timing en omstandigheden rondom het ontslag een duidelijk verband zichtbaar is met de kritiek die Baig uitte op zijn werkgever.

Een woordvoerder van Meta ontkent tegenover CNBC de aantijgingen van de voormalig Head of Security. Het stelt dat Baig is ontslagen vanwege tegenvallende prestaties. Ook spreekt Meta van een 'bekend scenario waarin een ex-medewerker wegens slechte prestaties wordt ontslagen en vervolgens met verdraaide beschuldigingen naar buiten treedt, die het voortdurende harde werk van ons team verdraait'.

Reacties (25)
09-09-2025, 16:38 door Anoniem
Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers
09-09-2025, 16:51 door spatieman
Klopt, dat heet Meta....
09-09-2025, 17:11 door Anoniem
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers
Zoals in het andere artikel al gereageerd: DIT KLOPT NIET.
Via de notificatieservices van Google/Apple worden alleen lege pushberichten naar de app gestuurd. De app toont deze niet aan de gebruiker, haalt vervolgens het bericht op, decrypt de inhoud en toont alleen lokaal de inhoud van het bericht.
09-09-2025, 17:15 door Anoniem
Signal werkt prima zonder Google 'services', dus dat is onzin. En doe even bronnen erbij dat het onversleuteld is, want dat is niet zo. (ik geef ook geen bron ;-)
09-09-2025, 17:53 door Anoniem
Zal dat bij Facebook, Messenger en Instagram beter zijn? Ik denk van niet. :-(
09-09-2025, 19:05 door SecOff - Bijgewerkt: 09-09-2025, 19:07
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers

Wat een onzin, Signal gebruikt de google /apple services alleen om je toestel te laten weten dat er een notification is en niet de inhoud. De app haalt daarna zelf de e2e encrypted notficatie op. Zie https://mastodon.world/@Mer__edith/111563866152334347
09-09-2025, 19:10 door Anoniem
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers
Klopt! En met Briar Mailbox kunt u er een server aan toevoegen, maar dan in eigen beheer, (door de Briar Mailbox app op een tweede/oude telefoon te installeren) een goede oplossing.
Cwtch is overigens ook niet slecht, maar ik zou zelf ook liever voor Briar gaan.
https://docs.cwtch.im/
https://briarproject.org/
09-09-2025, 19:13 door Anoniem
Door SecOff:
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers

Wat een onzin, Signal gebruikt de google /apple services alleen om je toestel te laten weten dat er een notification is en niet de inhoud. De app haalt daarna zelf de e2e encrypted notficatie op. Zie https://mastodon.world/@Mer__edith/111563866152334347
Andere anoniem:
https://www.reuters.com/technology/cybersecurity/governments-spying-apple-google-users-through-push-notifications-us-senator-2023-12-06/
09-09-2025, 19:19 door Anoniem
Lol, mijn vriendin zat van de week nog op haar blote knietjes te bidden aan de Metagod of ze haar alsjeblieft haar account terug wou geven omdat ze dachten dat ze spamde...
Je hebt daar zoveel controle over je eigen chats maar niet heus.
Je tekent in principe een clausule (terms) waarin staat dat je het in bruikleen neemt en dat je afziet van rechtszaken.
Meta is Meta, onthoud dat goed.
Ze verkopen misschien niet je berichtjes, (nog niet, totdat chatcontrole uit is) maar verkopen weldegelijk je metadata omtrent.
09-09-2025, 19:33 door Anoniem
Door SecOff:
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers

Wat een onzin, Signal gebruikt de google /apple services alleen om je toestel te laten weten dat er een notification is en niet de inhoud. De app haalt daarna zelf de e2e encrypted notficatie op. Zie https://mastodon.world/@Mer__edith/111563866152334347

Toch klopt dit niet want ik zie in Signal in een submenu de keuze:

Notificaties , 3 opties

(1) geen notificaties
(2) alleen naam
(3) naam + content

En de Default is naam+content.

Op meerdere toestellen zie ik berichten binnenkomen met de hele inhoud + de foto, gewoon via Android Notifications


Ik heb de instelling handmatig moeten instellen. Ik denk dat Signal voor usercomfort heeft gekozen boven privacy


How To Hide Name And Messages On Notification In Signal App
https://www.youtube.com/watch?v=tCzchq6M9II


Nog een linkje wat mijn bewering ondersteunt:

How to Hide Name and Content in Notifications on Signal
https://nerdschalk.com/how-to-hide-name-and-content-in-notifications-on-signal/


Misschien heb jij de setting voor jou al lang geleden aangepast? Het is niet de default. De default van Signal == insecure


Wat meer info over het probleem met Android Notifications:

Police Can Spy on Your iOS and Android Push Notifications
https://www.wired.com/story/apple-google-push-notification-surveillance/


Spying through Push Notifications
https://www.schneier.com/blog/archives/2023/12/spying-through-push-notifications.html


Governments can spy via smartphone push notifications, Apple and Google confirm
https://mashable.com/article/google-apple-push-notifications-government-spy


Dus men begrijpt na het lezen van deze informatie dat Signal wel 'encrypted' is , maar door de default settings in Signal en bovenstaand issue met de Notification service is al jouw gespreksinhoud alsnog UNENCRYPTED gelekt naar "Big Brother".

Wie lost dit op?

(1) de geinformeerde end-user, die de settings op private set
(2) GrapheneOS heeft een eigen Notification service , dit was ook een van de key features van Graphene ooit
(3) apps zoals Session, Matrix en SimpleX gebruiken hun eigen Notification service, bij Session moet je dan wel "Slow mode" kiezen , en bij al deze apps moeten battery optimization settings worden aangepast en is de 'meer secure' optie een aanslag op de resources van de telefoon (vooral bij SimpleX kan je batterij sneller leeglopen-- wordt aan gewerkt)


Daarbij is het ook aan te raden (voor lokale meekijkers) om deze aan te passen (Android Settings)
Android phone Settings app > Notifications > Lock screen notifications.
09-09-2025, 19:37 door Anoniem
Door SecOff:
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.

Signal heeft de Notificaties standaard niet op "naam only" staan in de settings maar op "naam+content". Ze gebruiken ook geen eigen Notificatie dienst, zoals privacy vriendelijke alternatieven zoals Session of Briar.

Voordeel van Briar is dat je ook geen telefoon masten nodig hebt. Bij bijvoorbeeld een protest kun je gewoon via Bluetooth mesh netwerken opbouwen en mijd je IMSI catchers

Wat een onzin, Signal gebruikt de google /apple services alleen om je toestel te laten weten dat er een notification is en niet de inhoud. De app haalt daarna zelf de e2e encrypted notficatie op. Zie https://mastodon.world/@Mer__edith/111563866152334347

-CORRECTIE-

oja je hebt gelijk. Ik had die tweet van Meridith Whittaker niet gelezen.

Ik vond het al vreemd, omdat ik altijd dacht dat Signal een van de eerste was die een "middenweg" had bedacht ooit voor de notificaties. Blijkbaar ben ik dat zelf vergeten. :-)

Mijn verhaal in de vorige post gaat dit niet op, bij deze de correctie.

Wat niet wil zeggen dat het probleem met de Notification service voor andere apps wel geldt. Gelukkig vraagt Android sinds een aantal major releases bij app installatie elke keer of je de nieuwe all toegang wil gegeven tot Notifications.
09-09-2025, 19:42 door Anoniem
https://mastodon.world/@Mer__edith/111563866152334347

oh zo, Signal slaapt op de achtergrond en handelt de notifications (extern) af via zo'n ping, en lokaal af via een eigen ingebakken service in de app. Daarom verbruikt Signal niet zoveel accu.

Bij SimpleX , Session (Slow mode) moet je de battery optimization uitzetten , anders schakel je de 'app-ingebakken notification service' uit.

Ik weet niet of Session (Fast mode) een zelfde oplossing gebruikt als Signal maar dat is niet relevant. Ik zat fout. Bedankt voor je Mastodon linkje
09-09-2025, 19:59 door Anoniem
'1.500 engineers van WhatsApp hebben onbeperkte toegang gehad tot gebruikersdata!'

Die zouden ze kunnen verkopen, die gebruikersdata, dat is toch iets dat gebuikelijk is in die kringen?

'Die medewerkers data kunnen verplaatsen of stelen zonder dat dit wordt gedetecteerd of vastgelegd in logbestanden.'

Ik krijg hier een heel vreemd appje, lijkt helemaal niet geschreven te zijn door de afzender, maar voor de rest bijzonder informatief.


"Ook spreekt Meta van een 'bekend scenario waarin een ex-medewerker wegens slechte prestaties wordt ontslagen en vervolgens met verdraaide beschuldigingen naar buiten treedt, die het voortdurende harde werk van ons team verdraait"

Ik denk met nostalgie terug aan de tijd dat dit soort nieuwsberichten ook op de site van NPO etc stonden. Toen waren we als gewone mensen nog relevant.
09-09-2025, 20:14 door Anoniem
Waarom doet er nog *iemand* zaken met die toko?
09-09-2025, 21:31 door Anoniem
Door Anoniem: '1.500 engineers van WhatsApp hebben onbeperkte toegang gehad tot gebruikersdata!'

Die zouden ze kunnen verkopen, die gebruikersdata, dat is toch iets dat gebuikelijk is in die kringen?

'Die medewerkers data kunnen verplaatsen of stelen zonder dat dit wordt gedetecteerd of vastgelegd in logbestanden.'

Ik krijg hier een heel vreemd appje, lijkt helemaal niet geschreven te zijn door de afzender, maar voor de rest bijzonder informatief.


"Ook spreekt Meta van een 'bekend scenario waarin een ex-medewerker wegens slechte prestaties wordt ontslagen en vervolgens met verdraaide beschuldigingen naar buiten treedt, die het voortdurende harde werk van ons team verdraait"

Ik denk met nostalgie terug aan de tijd dat dit soort nieuwsberichten ook op de site van NPO etc stonden. Toen waren we als gewone mensen nog relevant.
Zou mooi zijn als dit eens tot op de bodem wordt uitgezocht, het is wel amerika natuurlijk. Als de beste man de waarheid spreekt en kan aantonen dat hij daarvoor gewipt is, zal die een hele riante transitievergoeding moeten krijgen, want een andere baan in de IT kan ie voor de rest van z'n loopbaan wel vergeten. Ook als ie het verzonnen heeft om die reden, misschien had ie gokschulden of een gezinslid met een chronische aandoening.
Voor de eindgebruikers maakt het niet veel uit, die weten diep in hun onderbuik al wel dat whatsapp niet gratis is. Ik ken wel heel wat gebruikers die signal geïnstalleerd hebben, maar geen enkele die daarna ook whatsapp verwijderd heeft.
09-09-2025, 22:50 door Anoniem
Door Anoniem: Signal ook

Standaard worden je encrypte chats doorgesluisd naar de Notificatie services van Google, die dus gewoon onversleutelde content mee kunnen lezen.


Ik heb signal zonder actieve google services en playstore en de notificaties werken prima. Daarvoor hoeft de data niet eerst naar google. Kan google ook niets mee, want e2e en mijn sleutel zit in mijn signal app.
Gisteren, 08:30 door Anoniem
Door Anoniem: Waarom doet er nog *iemand* zaken met die toko?
Omdat ze verslaafd gemaakt zijn door diezelfde toko.
Gisteren, 08:53 door Anoniem
Door Anoniem: Waarom doet er nog *iemand* zaken met die toko?

Gemak, adoptie en onverschillig. En ik reken mezelf ook tot die groep.
Gisteren, 10:10 door Anoniem
Signal is op lange duur ook geen optie aangezien ze een telefoonnummer vereisen ter registratie en ze een centrale server hebben.
Dit kan problemen geven bij de aankomende dystopische EU-wetgeving. (Zoals chatcontrol en gagorders)
Daarnaast is het ook goedkoper voor ze als ze gedecentraliseerde of federated servers hebben.
Gisteren, 11:15 door Anoniem
Door Anoniem: Wat meer info over het probleem met Android Notifications:

03-03-2025 BNR: bloeddrukmeter-app OMRON verzamelde en deelde locaties gebruikers
04-03-2024 FBI gebruikt pushnotificaties voor het opsporen van verdachten
26-01-2024 Onderzoek: iOS gebruikt pushnotificaties om stiekem data te verzamelen
14-12-2023 Apple vereist gerechtelijk bevel voor verstrekken data pushnotificaties
08-12-2023 Tuta: alternatieven nodig voor pushnotificatie-services Apple en Google
06-12-2023 Senator: overheden bespioneren Android en iPhone via pushnotificaties

https://www.security.nl/search?keywords=pushnotificaties&sort=date&order=desc


Hoe zit het met pushnotificaties van Signal?

In Signal worden pushnotificaties alleen als een ping gebruikt om de app wakker te maken. De pushnotificaties van Signal onthullen niet wie het bericht heeft gestuurd of wie er belt (niet aan Apple, Google, of wie dan ook).

https://signalapp.nl/signal-app-nieuws/hoe-signal-pushnotificaties-beschermt-tegen-overheidspionage-via-google-en-apple/
Gisteren, 11:36 door Anoniem
Door Anoniem: Signal is op lange duur ook geen optie aangezien ze een telefoonnummer vereisen ter registratie en ze een centrale server hebben.
Dit kan problemen geven bij de aankomende dystopische EU-wetgeving. (Zoals chatcontrol en gagorders)
Daarnaast is het ook goedkoper voor ze als ze gedecentraliseerde of federated servers hebben.
Ik gebruik al SimpleX.
Gisteren, 12:03 door Anoniem
Google kan en zal toch ook al met al je mailverkeer meelezen. En microsoft doet er ook een graai in, zo erg dat ik onlangs voor iemand een Gmail account aan haar lokale outlook programma toe moest voegen en de melding kreeg dat daarvoor de inhoud van haar Gmail eerst in de microsoft cloud opgeslagen moest worden n.b.. Dan wordt je door beide partijen gemolken, alles wat je mailt, inclusief bijlagen hebben ze dus. daarmee vergeleken is het meekijken van Whatsapp nog maar een kleinigheid
Gisteren, 13:05 door Anoniem
Door Anoniem: Google kan en zal toch ook al met al je mailverkeer meelezen. En microsoft doet er ook een graai in, zo erg dat ik onlangs voor iemand een Gmail account aan haar lokale outlook programma toe moest voegen en de melding kreeg dat daarvoor de inhoud van haar Gmail eerst in de microsoft cloud opgeslagen moest worden n.b.. Dan wordt je door beide partijen gemolken, alles wat je mailt, inclusief bijlagen hebben ze dus. daarmee vergeleken is het meekijken van Whatsapp nog maar een kleinigheid
De ene app maakt de andere app niet goed.
WhatsApp graait aan alle kanten behalve in de berichtjes zelf...
The Hated One video's over WhatsApp en de reden waarom het slecht is:

Delete WhatsApp already
https://youtu.be/WizR11X_csQ

Don't use WhatsApp
https://youtu.be/shpiVm1qpnw
Gisteren, 14:29 door Anoniem
Door Anoniem:
Door Anoniem: Waarom doet er nog *iemand* zaken met die toko?

Gemak, adoptie en onverschillig. En ik reken mezelf ook tot die groep.

"We are the Borg. You will be assimilated. Resistance is futile."
Gisteren, 15:55 door Anoniem
Door Anoniem: WhatsApp graait aan alle kanten behalve in de berichtjes zelf...

Die claim is waarschijnlijk onwaar. De lange arm kan op indirecte wijze in de berichten graaien, namelijk via de backup.

UNCLASSIFIED // LAW ENFORCEMENT SENSITIVE
FBl's Ability to Legally Access Secure Messaging App Content and Metadata

1 Page | Fri, 19 Nov 2021 [PDF]

Signal WhatsApp
-------------------------- -----------------------------
• No message content. • Message Content: Limited*

• Date and time • Subpoena: can render basic
a user registrated. subscriber record.

• Last date of a • Court Order: Subpoena's
user's return as well as information
conectivity like blocked users.
to the service.
• Search Warrant: Provides
address book contacts and
WhatsApp users who have
the target in their address
book contacts.

• Pen Register: Sent every 15
minutes, provides source and
destination for each message.

*If target is using an iPhone
and iCloud backups enabled,
iCloud returns may contain
WhatsApp data to include
message content.

-------------------------- -----------------------------

In het document, dat van 7 januari 2021 dateert, staat van negen chatapps vermeld welke data via gerechtelijke bevelen opvraagbaar is. Het gaat om iMessage, Line, Signal, Telegram, Viber, WeChat, WhatsApp en Wickr. In het geval van onder meer Signal, Telegram en Threema zegt de FBI geen toegang te kunnen krijgen tot de inhoud van chatberichten.

https://www.security.nl/posting/732197/FBI-doc+toont+welke+data+het+bij+WhatsApp%2C+Signal+kan+opvragen
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.