Генпрокурор Техаса подал иск к Meta, утверждая, что шифрование WhatsApp не работает так, как компания обещает с 2016 года. Для аудитории, которая привыкла считать end-to-end encryption не маркетинговой наклейкой, а базовой гарантией, история неприятная: если обвинение подтвердится, под ударом окажется доверие к одному из крупнейших мессенджеров с аудиторией более 3 млрд пользователей.
Иск касается старого и очень конкретного обещания Meta: содержимое сообщений в WhatsApp недоступно никому, кроме отправителя и получателя. Как пишет Ars Technica, в 2018 году Марк Цукерберг под присягой говорил в Сенате США, что компания не видит содержимое сообщений в WhatsApp и что трафик «полностью зашифрован». Технической основой этой модели считается протокол Signal, открытая криптографическая схема, которую много лет разбирают исследователи, конкуренты и просто любопытные инженеры.
Теперь офис генпрокурора Кена Пакстона заявляет обратное: Meta якобы имеет доступ к незашифрованному содержимому переписки и вводит пользователей в заблуждение. Формулировки в иске жесткие и рассчитаны явно не на криптографов, а на публику: техасцам, мол, обещали приватность, которой на самом деле не было. Meta уже назвала обвинения беспочвенными и дала понять, что будет отбиваться в суде. На уровне политического жанра это выглядит как привычное «штат против Big Tech», но в данном случае важнее не риторика, а доказательная база. И вот с ней пока заметно хуже, чем с громкостью заявлений.
Ключевая проблема иска в том, что его фактическая опора выглядит тонкой. Ars Technica отмечает: главным подтверждением обвинений стала апрельская публикация Bloomberg о закрытом расследовании американского Bureau of Industry and Security. По данным Bloomberg, 16 января один из сотрудников ведомства разослал более чем дюжине чиновников письмо с предварительными выводами, где утверждалось, что Meta может просматривать любые сообщения WhatsApp. Но в самом иске нет признаков, что офис Пакстона получил это письмо, изучил первичные материалы расследования или допросил его участников. Суду по сути предлагают поверить не техническому анализу, не внутренним документам и не экспертному заключению, а пересказу пересказа.
Есть и второй аргумент, на который ссылаются истцы: сотрудники Meta могут видеть сообщения, на которые пожаловался другой пользователь. Но здесь нет сенсации. Такой механизм давно известен: когда пользователь отправляет жалобу на конкретное сообщение, оно попадает в систему модерации уже после расшифровки на устройстве того, кто пожаловался. Иными словами, это не обход сквозного шифрования на стороне сервера, а обычная логика клиентского репорта. Смешивать эти два сценария удобно для судебной драматургии, но плохо для инженерной точности.
Именно поэтому криптографы и специалисты по безопасности встретили иск без особого энтузиазма. Исследователи напоминают простую вещь: клиенты WhatsApp можно реверсить, сетевое поведение можно анализировать, а отклонения от заявленной модели E2EE при желании ловятся не только в теории. В 2023 году группа ученых провела детальный технический разбор протокола WhatsApp и пришла к выводу, что в целом он работает безопасно и соответствует описанию компании. Один из авторов исследования, Бенджамин Доулинг из King’s College London, прямо сказал Ars Technica: их анализ не выявил признаков того, что WhatsApp ведет себя не так, как заявляет Meta. Да, команда нашла слабое место в групповых чатах: сотрудник Meta с доступом к инфраструктуре мог бы добавить нового участника без согласия остальных. Но такая операция была бы видна всем участникам группы и не давала бы «тихого» глобального чтения переписки.
Схожую оценку дали и другие эксперты. Исследователь ETH Zurich Кенни Патерсон назвал основную часть иска скорее бросанием грязи в сторону Meta, чем доказательной конструкцией. Профессор Johns Hopkins University Мэттью Грин заметил, что для существования описанной в иске уязвимости в клиенте WhatsApp должно происходить «что-то очень плохое», а это было бы крайне трудно скрыть от исследовательского сообщества. Важная оговорка, впрочем, остается: WhatsApp не является полностью открытым продуктом, и анализ 2023 года относится к той версии клиента, которая была доступна в мае того года. То есть эксперты не выдают Meta бессрочную индульгенцию. Они лишь говорят, что на сегодня публичных доказательств обмана нет.
Для разработчиков и ИТ-руководителей здесь полезен довольно трезвый вывод. Во-первых, сквозное шифрование остается не рекламным слоганом, а проверяемым техническим обещанием, и рынок все чаще требует именно проверяемости: аудит кода, реверс-инжиниринг, публичные спецификации, воспроизводимые исследования. Во-вторых, даже если криптография на месте, это не означает идеальную приватность продукта в целом. Метаданные, резервные копии, жалобы пользователей, интеграции с модерацией, контроль групповых механик и закрытость клиентского кода создают пространство для рисков, которые не ломают E2EE буквально, но меняют реальную модель угроз. Для бизнеса это особенно важно: юристы, безопасники и продуктовые команды должны обсуждать не абстрактную «защищенность мессенджера», а конкретный список сценариев, при которых данные могут покидать устройство в читаемом виде.
Есть и очевидный политический слой. Иск подан в тот момент, когда Кен Пакстон выходит на финишную прямую своей сенатской кампании против Джона Корнина. На этом фоне атака на Meta выглядит не только юридическим, но и электоральным жестом: Big Tech удобно выставлять в роли корпорации, которая обещала приватность, а потом, возможно, где-то «подкрутила настройки». Проблема лишь в том, что для суда и для технического сообщества одних намеков мало. Если у Техаса есть что-то кроме публикации Bloomberg, дело может стать большим прецедентом для всей индустрии мессенджеров. Если нет, история останется примером того, как громкое обвинение в адрес платформы с 3 млрд пользователей не выдерживает требований, которые сама же безопасность и приучила нас предъявлять к словам: покажите архитектуру, артефакты и воспроизводимые доказательства.