Mã hoá end-to-end đóng vai trò quan trọng trong việc bảo vệ các dịch vụ nhắn tin chống lại nghe lén trên mạng, những máy chủ bị kẻ xấu kiểm soát. Mục đích chính của nó là đảm bảo rằng, ngay cả những công ty hay máy chủ truyền nhận dữ liệu cũng không thể giải mã các tin nhắn. Tuy nhiên, đến nay ngay cả những dịch vụ nhắn tin có dịch vụ mã hoá end-to-end như WhatsApp, Threema và Signal cũng chưa đạt tới khả năng đó.

Theo mô tả, máy chủ đóng vai trò hạn chế trong các cuộc trao đổi trực tiếp giữa hai người dùng với nhau, nhưng trong trường hợp các nhóm trao đổi nhiều người (khi các thông điệp mã hoá được chuyển tới nhiều người dùng), thì vai trò của máy chủ tăng lên tới mức có thể quản lý toàn bộ tiến trình. Và điều đó dẫn đến vấn đề về bảo mật: các nhóm phải tin vào máy chủ của công ty cung cấp dịch vụ trong việc quản lý các thành viên của nhóm – những người sẽ có quyền truy cập mọi cuộc trao đổi.

Theo tài liệu mới được công bố của RUB, vì Signal và WhatsApp đều không thể xác thực chính xác người đang thêm thành viên mới vào nhóm, nên một người không phải là quản trị nhóm, thậm chí không phải thành viên của nhóm cũng có thể thêm một người vào nhóm đó. Hơn thế nữa, việc thêm một thành viên mới vào nhóm còn không hiển thị thông báo trực quan cho những thành viên khác. Theo các nhà nghiên cứu, một người quản trị máy chủ có ý đồ xấu có thể thay đổi hay chặn các thông báo về việc bổ sung thành viên mới vào nhóm.

Điểm yếu của hệ thống là cho phép người kiểm soát máy chủ WhatsApp (hoặc kẻ có thể phá vỡ giao thức truyền tin TLS) kiểm soát toàn diện các nhóm. Thông thường, việc thêm người vào nhóm sẽ hiển thị thông báo trên giao diện người dùng. Tuy nhiên, máy chủ WhatsApp có thể lưu các thông điệp, đọc nội dung và quyết định thứ tự gửi thông tin tới các thành viên. Thêm vào đó, máy chủ WhatsApp có thể chuyển tiếp các thông điệp một cách khéo léo để che giấu các hoạt động.

WhatsApp đã thừa nhận vấn đề và xác nhận rằng, nếu có thành viên mới được thêm vào nhóm thì những thành viên khác sẽ nhận được thông báo. Các nhà nghiên cứu cũng khuyến cáo các công ty khắc phục vấn đề bằng cách bổ sung một cơ chế xác thực để đảm bảo rằng, các thông điệp nhóm “được ký” chỉ tới từ những người quản trị nhóm.