Crash de WhatsApp enviando miles de emojis

Resumen del problema

Un investigador independiente, Indrajeet Bhuyan, informó de un bug en WhatsApp que permite provocar un bloqueo remoto de la aplicación simplemente enviando al receptor un mensaje con cerca de 4.000 emojis. El error afecta tanto a WhatsApp Web como a varias versiones de Android y puede hacer que la aplicación o el navegador se vuelvan inutilizables al abrir la conversación.

Este mismo investigador había reportado anteriormente otro fallo de bloqueo que se activaba con mensajes de caracteres especiales. En aquella ocasión WhatsApp aplicó límites a los caracteres de texto, pero no restringió suficientemente la inserción masiva de emojis.

Cómo funciona el fallo

• WhatsApp permite insertar emojis sin el mismo límite estricto que los caracteres de texto.
• Al introducir miles de emojis en una sola cadena, el navegador o la app siguen aceptando entrada hasta que, al recibir el mensaje, el procesamiento desborda un búfer interno o sobrecarga el motor de representación y la aplicación se bloquea.
• En pruebas, Bhuyan observó que en WhatsApp Web el navegador comienza a ralentizarse alrededor de 4.200–4.400 emojis y que, al enviarse, el mensaje puede forzar el bloqueo.

Importante: el mecanismo exacto puede variar según el navegador y la versión de la app; la causa documentada es un desbordamiento o sobrecarga en la gestión de texto/objetos emoji.

Versiones afectadas y alcance

• WhatsApp para Android: diversos dispositivos probados con Marshmallow, Lollipop y KitKat mostraron el fallo. No se listan modelos concretos porque el problema está en la forma en que la app procesa ciertos mensajes.
• WhatsApp Web: afectó a Chrome, Opera y Firefox en las pruebas descritas.
• Alcance estimado: el investigador sugirió que el fallo podría afectar a un gran número de usuarios de WhatsApp; la exposición exacta depende de las versiones que tengan los usuarios y de cuándo se despliegue un parche.

Prueba de concepto

Hay un vídeo de demostración público que muestra el bloqueo: https://youtu.be/hEMD5y3WGt4

Qué hacer si recibes el mensaje

Pasos rápidos para usuarios normales:

1. No abras el mensaje desde la vista previa ni intentes interactuar con los emojis. Si tu app ya se bloquea al abrir la conversación, pasa al paso 2.
2. En el móvil, mantén pulsada la aplicación WhatsApp y entra en Ajustes de la app para forzar la detención si está congelada.
3. Si puedes, borra la conversación completa con el remitente desde otra copia del dispositivo (por ejemplo, WhatsApp Web si el móvil falla o viceversa).
4. Si borrar la conversación no es posible, bloquea al remitente y contacta con soporte si necesitas recuperar datos.

Importante: borrar la conversación elimina el historial con ese contacto. Si tienes registros importantes, considéralos perdidos al borrar.

Playbook para administradores y usuarios avanzados

Checklist inmediato

• Bloquear al remitente que envió el mensaje malicioso.
• Pedir a los usuarios que no abran la conversación afectada hasta tener un parche.
• Forzar copia de seguridad de chats sanos en la cuenta y exportar conversaciones críticas antes de borrar nada.
• Actualizar WhatsApp en cuanto la compañía publique una versión corregida.

Recuperación tras el bloqueo

1. Asegúrate de tener copia de seguridad reciente en Google Drive o iCloud.
2. Si la app no responde: desinstala y reinstala WhatsApp. Durante la restauración, evita restaurar el chat que contenga el mensaje malicioso; esa conversación puede reintroducir el fallo.
3. Restaura los chats seleccionando solo las conversaciones sanas o, si no es posible, restaura la copia y luego borra la conversación maliciosa inmediatamente.

Alternativas y mitigaciones temporales

• Evitar vistas previas automáticas: desactiva las notificaciones con vista previa para que no se procesen los mensajes hasta abrirlos manualmente.
• Usar bloqueo de contactos desconocidos y listas de difusión cuidadosamente.
• Ejecutar WhatsApp en navegadores con procesos aislados por pestaña puede reducir el impacto en otras pestañas.
• Mantener copias de seguridad frecuentes y exportaciones de chats críticos.

Cuando esta técnica no funciona

• Si la app o Web ya ha sido parchada por WhatsApp, el límite interno habrá sido corregido y el envío masivo de emojis no ocasionará bloqueo.
• Algunos clientes no oficiales o versiones muy antiguas pueden comportarse de forma distinta: la exploit depende de cómo se procesen los emojis, así que el efecto puede variar.

Buenas prácticas de seguridad para usuarios

• Actualiza WhatsApp y el navegador regularmente.
• No abrir mensajes de remitentes desconocidos.
• Hacer copias de seguridad periódicas de chats importantes.
• Bloquear y reportar números que envíen contenido sospechoso.

Fact box con claves

• Vector: mensaje con ~4.000 emojis.
• Afecta a: WhatsApp Web y versiones de Android (según pruebas: Marshmallow, Lollipop, KitKat).
• Mitigación inmediata: borrar la conversación o bloquear al remitente.
• Prevención definitiva: parche oficial de WhatsApp.

Preguntas frecuentes

Qué ocurre si borro la conversación

Si borras la conversación eliminarás todo el historial con ese contacto; así se elimina también el mensaje que provoca el bloqueo, pero perderás los mensajes anteriores si no están respaldados.

Puedo recuperar chats tras una reinstalación

Sí, si tienes una copia de seguridad en la nube puedes restaurar tus chats tras reinstalar WhatsApp. Excluye la conversación maliciosa si sospechas que contiene el mensaje.

Cómo saber si mi versión está parcheada

Revisa las notas de la versión en Google Play o App Store y actualiza a la última versión. Las notas suelen indicar correcciones de estabilidad y seguridad.

Resumen final

Este fallo demuestra que incluso entradas aparentemente inofensivas como emojis pueden provocar bloqueos cuando no existe suficiente validación o límites en el cliente. La protección inmediata para usuarios es borrar la conversación afectada, bloquear al remitente y mantener copias de seguridad. La solución definitiva depende de un parche oficial de WhatsApp.

1 línea de glosario

• Emoji: carácter gráfico que representa una emoción, objeto o símbolo y que puede contarse como unidad en una cadena de texto.

Importante: mantente alerta a actualizaciones oficiales y no interactúes con mensajes sospechosos hasta que la aplicación se haya actualizado.