WhatsApp хранит коды для 2FA в открытом виде.
Коды видны на устройствах, чьи владельцы имеют на них права суперпользователя.
Согласно
сообщениям пользователей Twitter, WhatsApp хранит коды безопасности для двухфакторной аутентификации в незашифрованном виде (на iOS-устройствах в /var/mobile/Containers/Data/Application/Whatsapp/Library, на Android-устройствах в /data/data/app/com.whatsapp/shared
prefs/com.whatsapppreferences.xml).
Текстовый файл с кодом хранится в песочнице, поэтому другие приложения не могут получить к нему доступ. К тому же, копия файла не сохраняется в обычных резервных копиях WhatsApp. С другой стороны, коды видны на Android-устройствах, чьи владельцы имеют на них права суперпользователя. То есть, у приложений с привилегиями суперпользователя есть доступ к файлу с кодом. В iOS также могут быть уязвимости, позволяющие сторонним приложениям получать доступ к файлу, поэтому разработчикам WhatsApp стоит зашифровать его во избежание возможных негативных последствий.