ב-2019 בוצעה לראשונה מתקפה שעשתה שימוש באופן שבו וואטסאפ נוהגת כלפי קבוצות המפרות את תנאי השימוש שלה. במתקפה זו, מרגע שהתוקף הצטרף לקבוצה הוא יכול לשנות את שמה ותמונתה לתוכן מיני, שמנוטר על ידי וואטסאפ ומופיע בפני פקחי התוכן של מטא, ושבגינו כל משתתפי הקבוצה נחסמים מהשירות. לעיתים התוקף מוסיף את המשתמשים לקבוצה בניהולו, ללא ידיעתם. בעקבות פנייה של איגוד האינטרנט הישראלי, וואטסאפ פעלה לבדיקה נוספת של מקרים כאלו, ולשחרור המשתמשים מחסימה. שנתיים לאחר מכן, בהופעה נוספת של מתקפה זו, משטרת ישראל המליצה, לצאת מיד מכל קבוצה ששמה או תמונתה שונו כך, ולהגביל את יכולת השינוי רק למנהלי הקבוצה. הומלץ גם למנוע בהגדרות הוספה לקבוצות על ידי משתמשים זרים. גם לאחר גילוי מתקפה זו, ברירת המחדל של קבוצה מאפשרת גם למי שאינו מנהל לשנות את פרטיה, וברירת המחדל של הגדרות הפרטיות עדיין מאפשרות הוספה לקבוצות על ידי משתמשים זרים ללא אישור יזום – כך שנכון ל-2022 מתקפות דומות עתידיות עדיין אפשריות.
במתקפה אחרת, התוקף שלח הודעה ארוכה שמכילה 65,653 תווים שאינם נראים (Whitespace Character). כשהמשתמש ניסה לקרוא את כולה באמצעות לחיצה על "קרא עוד", היישומון קרס, כך שלא הייתה אפשרות להשתמש בו ללא אילוץ עצירה בהגדרות. גרסה מורחבת של המתקפה, שעשתה שימוש בממשק ה-web של המערכת, איפשרה להקריס את היישומון אפילו ללא כל פעולה יזומה מצד הנמען, וחייבה את מחיקתו המלאה והתקנה מחדש, תוך אובדן המידע שלא גובה. התקלות שאפשרו את המתקפה הוטלאו.
התקנת תוכנת הריגול פגסוס.
במאי 2019 טענה חברת וואטסאפ שקבוצת NSO השתמשה בתוכנת הריגול פגסוס כדי לחדור למכשירי הטלפון של יותר מ-100 עיתונאים ופעילי זכויות אדם ברחבי העולם, תוך ניצול חולשה בשירות שיחות הווידאו של וואטסאפ. הרוגלה חדרה למכשיר גם ללא צורך מצד הקורבן לענות לשיחה. באוקטובר 2019 הודיעה חברת האם פייסבוק כי היא תובעת את NSO בבית משפט המחוזי בקליפורניה, בטענה ש-NSO עברה על החוק האמריקאי נגד ניצול והונאות מיחשוב, הפרה את החוזה שלה עם וואטסאפ ופייסבוק (בכך שהפרה את כללי השימוש באפליקציות אותן אישרה) וביצעה הסגת גבול בכך שפרצה לשרתים ומערכות המחשוב של וואטסאפ ופייסבוק.
בינואר 2020 התפרסם כי האו"ם אסר על עובדיו הבכירים להשתמש בוואטסאפ משיקולי אבטחה.
הצפנת תוכן מקצה לקצה.
בנובמבר 2014 הכריזה חברת Open Whisper Systems על שיתוף פעולה עם וואטסאפ להקמת תשתית להצפנה מקצה-לקצה עם פרוטוקול סיגנל. לאחר הקמת התשתית באפריל 2015 הצהירה חברת וואטסאפ שמתבצעת הצפנה חזקה של כל צורות התקשורת של היישומון (שיחות וואטסאפ מוצפנות באמצעות פרוטוקול SRTP) באופן כזה, שלפי טענת החברה, אף אחד כולל חברת פייסבוק עצמה שוואטסאפ בבעלותה ואפילו ה-NSA או כל ארגון ממשלתי אחר לא יכול לקבל גישה לתוכן של מיסרון או שיחה כלשהם.
באוקטובר 2015 החלה וואטסאפ להעביר את כל הודעות המשתמשים ביישומון לשרתי גוגל באמצעות גוגל דרייב כברירת מחדל. צעד זה העלה תהיות רבות בנוגע להצהרתה של החברה כי אף צד שלישי לא יוכל לקרוא את הודעות המשתמשים, משום שכל הודעות המשתמש מועלות לשרתים של חברת גוגל ללא הצפנה מצד וואטסאפ אלא רק אם קיימת הצפנה על ידי השרת.
החל מאפריל 2016 החלה וואטסאפ להצפין את כל ההודעות, התמונות, הסרטונים, ההודעות הקוליות, המסמכים והשיחות של המשתמשים, באמצעות הצפנה מקצה-לקצה. וטענה כי: "כשאתם שולחים הודעה, האדם היחיד שיוכל לקרוא אותה הוא האדם או הקבוצה אליהם אתם שולחים את ההודעה. אף אחד לא יוכל לקרוא את ההודעה שלכם: לא פושעי סייבר, לא האקרים, לא משטרים מדכאים, אפילו לא אנחנו".למרות זאת, מספר גדול של מומחי אבטחת מידע טוענים שזוהי הצהרה ללא כיסוי, וכי אין כל דרך לדעת שהחברה או כל צד שלישי אחר לא יכול לקרוא את תוכן ההודעות. מכיוון שהחברה לא מספקת גישה לקוד המקור של התוכנה, אי אפשר לדעת האם היא מכילה דלת אחורית או פרצת אבטחה מובנת שתאפשר לצד שלישי לקרוא את תוכן ההודעות.אפילו יש הטוענים, שההצפנה מקצה לקצה ביישומון וואטסאפ היא מלכודת דבש, שנועדה למשוך אנשים שמעוניינים לתקשר ביניהם בצורה פרטית ומאובטחת, ועל ידי כך סוכנויות הריגול יוכלו להאזין לתקשורת שלהם באמצעות דלת אחורית או פרצת אבטחה מובנת שמכיל היישומון. בשנת 2013 מידע שהודלף על ידי אדוארד סנודן, הראה שיש דלת אחורית בתוכנת סקייפ שמאפשרת לחברת מיקרוסופט לשלוח את כל תוכן הודעות המשתמשים לסוכנות לביטחון לאומי של ארצות הברית, אף על פי שתוכן ההודעות היה מוצפן מקצה לקצה מבחינה רשמית.
במרץ 2017, הועלו לאתר ההדלפות ויקיליקס אלפי מסמכים של ה-CIA, בין השאר, נכתב בהם על יכולות פריצה של ה-CIA לתוכנות מסרים מיידיים בהן וואטסאפ.
ב־13 בינואר 2017 אתר הגארדיאן פרסם שביישומון וואטסאפ יש פרצת אבטחה חמורה שמאפשרת לצד שלישי לנטר אחר הודעות המשתמשים, אך המפתחים של מערכת ההצפנה ביישומון וואטסאפ, Open Whisper Systems, וגורמים בחברת פייסבוק טענו כי זו אינה דלת אחורית וכאשר משתמש מסוים מחליף מכשיר או מתקין מחדש את יישומון וואטסאפ מפתחות ההצפנה משתנים והמשתמש מקבל על כך הודעה, וכך מערכות הצפנה מקצה לקצה פועלות.
בספטמבר 2021 פורסם תחקיר של ארגון פרופבליקה העוסק בתהליך הדיווח על הודעות: כאשר משתמש מדווח על הודעות אחרות לוואטסאפ, הוא שולח עותק לא מוצפן של חמש ההודעות האחרונות למערכת סינון ובקרת התוכן של מטא. אם המערכת מקטלגת הודעה כבעייתית ההודעות מועברות לאחד מפקחי התוכן האנושיים של החברה, שיכול לקבוע האם להשעות את החשבונות המפרים. התחקיר עורר ביקורת על אי־השקיפות של החברה כלפי המשתמשים בכל הנוגע לרמת ההגנה והשמירה על המידע בעת תהליך הדיווח.
פרטיות מול שימוש מסחרי במידע.
לאורך שנות פעילותה, טענה וואטסאפ כי פרטיותם של נתוני אנשי הקשר של המשתמשים נשמרת. לא קיימת אפשרות גישה לנתוני אנשי הקשר של המשתמש, אלא אם כן המשתמש משתף איש קשר באמצעות האפשרות שקיימת בצ'אט "שתף איש קשר". למרות הבטחה זו, בסוף אוגוסט 2016 שונו כללי השימוש ב-וואטסאפ כך שהמידע שותף עם פייסבוק. המידע על אנשי קשר שנשמר בשרתי וואטסאפ עלול לעבור לפייסבוק ללא אישור המשתמש - רישום מספר טלפון בפייסבוק (לעיתים, משתמשי פייסבוק יאולצו להזין מספר טלפון לצורכי אימות) ינוצל להצעת אנשי קשר חדשים בפייסבוק גם לאחר מחיקת המספר מפייסבוק, על בסיס אנשי הקשר בוואטסאפ שמקושרים למספר הטלפון. כחודש לאחר מכן הממונה על הפרטיות בהמבורג, גרמניה, אסר על חברת וואטסאפ לאסוף את המידע בתחומי מדינתו וכן הורה לפייסבוק למחוק את כל המידע שנאסף ממשתמשי וואטסאפ במדינה, בנימוק של הפרת חוק הגנת הפרטיות הגרמני.
בינואר 2021 הודיעה וואטסאפ שהיא משנה את תנאי השימוש שלה כך שתוכל לאסוף, לאגור, לעבד ולשתף מידע אישי רגיש עם שאר האפליקציות של פייסבוק;
החברה הזהירה כי תמחק את חשבונות המשתמשים שלא יאשרו את מדיניות הפרטיות החדשה. הצעד עורר תגובות חריפות, ואף עזיבה המונית של משתמשים למתחרות, כגון סיגנל וטלגרם, שניצלו את ההזדמנות בשביל להתנגח בה. בעקבות הביקורת והמעבר למתחרות, הודיעה וואטסאפ כעבור שבוע שתדחה את המהלך בשלושה חודשים, ושלא תחסום באופן מוחלט את הגישה לאפליקציה למשתמשים שלא יאשרו את המדיניות החדשה אלא רק תגביל אותם בהדרגה. בגרמניה הוצא צו מניעה לַשינוי במסגרת ה-GDPR, ובהודו (השוק הגדול ביותר של וואטסאפ) החברה נדרשה שלא להוציא את השינוי לפועל. כשבועיים לאחר תום האולטימטום וואטסאפ שינתה את דעתה בשלישית ומסרה כי לא תגביל את השימושיות של החשבונות שעדיין לא אישרו את המדיניות החדשה, אך תמשיך להקפיץ תזכורת המבקשת לאשר את השינוי. לבסוף, לא התאפשר למשתמשים שנתנו את הסכמתם לתנאי השימוש החדשים לחזור בהם מהחלטתם, ויצירת חשבון חדש דורשת הסכמה למדיניות החדשה.
באוגוסט 2021 פורסם כי פייסבוק מפתחת מערכת לניתוח נתונים מוצפנים בענן המסתמכת על הצפנה הומומורפית, שתשמש להתאמת מודעות מדויקת יותר למשתמשים בוואטסאפ בלי פגיעה בהצפנת תוכן ההודעות עצמן.
בספטמבר 2021 וואטסאפ נקנסה על ידי הממונה על הגנת המידע באירלנד ב-225 מיליון אירו, בגין הפרות של תקנות הגנת המידע של האיחוד האירופי שהתגלו בשנת 2018. הפרות אלו כללו אי־שקיפות בנוגע לאופן שבו וואטסאפ מעבדת את המידע של משתמשיה ובדרך שבה היא משתפת אותו עם חברות אחרות של מטא.
אמינות.
בדומה לרשתות החברתיות המובילות, גם הפלטפורמה של וואטסאפ שומשה פעמים רבות להפצה של פייק ניוז, או תכנים בעייתיים אחרים דוגמת הודעות הסתה. בעיה זו גדולה במיוחד בוואטסאפ, עקב הקלות בה אפשר לשנות תוכן של הודעה לפני שמפיצים אותה הלאה בעיוות המידע המקורי, ועקב הקושי לפקח על התוכן שמועבר באפליקציה בגלל ההצפנה המובנית באפליקציה.
פרשיות מסביב לעולם, ובמיוחד בהודו, הפעילו לחץ על פייסבוק לפעול לפתור את הבעיה. בשנת 2018 קיבלה הנהלת החברה החלטות לסמן בסימון מיוחד הודעה שהועברה, ולהגביל את העברת ההודעות לכמות של עד 250 נמענים או קבוצות. המגבלה המשיכה להתהדק בשנתיים שלאחר מכן, תחילה ל-20, ולאחר מכן ל-5. על פי הנהלת החברה, צמצמו פעולות אלו את היקף העברות ההודעות בכ-25%.