بينهم مصريين.. تطبيق يهدد خصوصية 5 ملايين مستخدم

يواجه نحو 5 ملايين شخص أزمة تتعلق بتسريب بياناتهم الشخصية، إلى جهات أو أشخاص آخرين، على خلاف رغبتهم، بسبب خطأ في تطبيق، خاص بكشف هوية المتصل.
قام تطبيق «دليل» لمعرفة المتصل، بتسريب بيانات حوالي 5 ملايين مستخدم، من خلال خادم «مونجو دي بي»، غير الآمن، وفقا لما ورد في صحيفة ZDNET. ولاتزال قاعدة البيانات متاحة عبر الإنترنت، بعد محاولات باءت بالفشل، للاتصال مع مصمم التطبيق، ويعتبر «دليل» وهو تطبيق على الأندرويد ويوفر خدمة معرفة هوية المتصل، مثل التروكولر، ولكن للمستخدمين المصريين وغيرهم من العرب، وهو الأمر الذي أثر على خصوصية بياناتهم التي قام التطبيق بتسريبها على مدار أسبوع كامل، من خلال قاعدة البيانات التي تم الوصول إليها عبر الإنترنت بدون تسجيل كلمة المرور.
اكتشف كلا من ران لوكار ونعوم روتم «باحثان بالأمن»، أن قاعدة البيانات التي تحتوى على كل ما يتعلق بالتطبيق تم تسريبها بالكامل، من مستخدم التفاصيل الشخصية إلى سجلات النشاط. ووفقا لما ذكرته صحيفة ZDNET فإن قاعدة البيانات تحتوي على معلومات قد تم إظهار تفاصيلها الضمنية فى نموذج عرض مثل أرقام الهواتف،
اكتشف كلا من ران لوكار ونعوم روتم «باحثان بالأمن»، أن قاعدة البيانات التي تحتوى على كل ما يتعلق بالتطبيق تم تسريبها بالكامل، من مستخدم التفاصيل الشخصية إلى سجلات النشاط.
ووفقا لما ذكرته صحيفة ZDNET فإن قاعدة البيانات تحتوي على معلومات قد تم إظهار تفاصيلها الضمنية فى نموذج عرض مثل أرقام الهواتف، بيانات تسجيل التطبيق (الاسم بالكامل، البريد الإلكتروني، حساب فايبر، الجنس، إلخ) وتفاصيل الجهاز (النوع والطراز والرقم التسلسلي وIMEI وعنوان MAC ورقم SIM وإصدار نظام التشغيل وغير ذلك) وتفاصيل مشغل الاتصالات (ليس لجميع المستخدمين) وإحداثيات GPS وتفاصيل المكالمات الفردية وعددها.
تنتمي معظم البيانات المدرجة في قاعدة البيانات إلى المستخدمين السعوديين - استنادًا إلى رمز البلد المرتبط بكل إدخال- كما تم تضمين البيانات الخاصة بالمواطنين في مصر والإمارات ودول أوروبية وعدد قليل من الإسرائيليين والفلسطينيين، حيث انه يمكن أن يسمح النطاق والطبيعة الحساسة لبيانات المستخدمين لممثل هذا التهديد بإنشاء ملفات تعريف دقيقة عن مستخدمي التطبيق، كما يتعرض أيضًا المستخدمون الذين سمحوا للتطبيق بالوصول إلى بيانات الموقع لخطر التتبع.
إن إحداثيات نظام تحديد المواقع العالمي GPS ستسمح لممثل التهديد بتتبع موقع المستخدمين في الوقت الفعلي، كل ما يحتاج إليه هو إجراء مكالمة إلى رقم هاتف المستخدم ومشاهدة قاعدة البيانات المكشوفة لإدخال سجل جديد، واستخراج الموقع الخاص بالمستخدم في ذلك الوقت بالتحديد، حيثما توفرت.
كما أن خادم دليل «مونجو دى بى» سهل للغاية العثور على بيانات المستخدم على الإنترنت باستخدام أدوات متاحة بسهولة وكما قال لوكار انه قادراً على تحديد موقع قاعدة البيانات بشكل مستقل.
وأثناء كتابة هذا التقرير، لا تزال قاعدة البيانات تعرض ما يقرب من 585.7 جيجابايت من المعلومات، يقول لوكار أنه يتم إضافة سجلات جديدة يوميًا، مما يعني أن هذا الخادم هو منتج التطبيق، وليس نظام آخر أو نسخة احتياطية، وطبقا لما ورد فى صفحة المتجر عن تطبيق دليل، انه تم تنزيل التطبيق من قبل أكثر من خمسة ملايين مستخدم، ومع ذلك فإن قاعدة البيانات لا تحتوي على معلومات مطلقة عن جميع المستخدمين السابقين.
ويقول لوكار أنه في مرحلة ما، قام أحد عناصر التهديد بالوصول إلى قاعدة البيانات، وقام بتشفير بعض البيانات، ولكن فريق تقنية المعلومات لموقع دليل لم يلاحظ هذا الاختراق واستمر فى حفظ بيانات المستخدم الجديدة، وسجلات التطبيقات في قاعدة البيانات التي تم اختراقها بشكل واضح.
وقال لوكار ل موقعZDNET ان هناك ما يقرب من 208،000 رقم هاتف فريد جديد و44 مليون شخص قامو بتحديث التطبيق - من حيث التسجيلات وتسجيل الدخول، والمكالمات الواردة والصادرة - التى تم تسجيلها في الشهر الماضي وحده، ولا تزال البيانات تتراكم.
وأخبرنا لوكار أنه اتصل بفريق دليل في 26 فبراير، عندما لاحظ لأول مرة أن قاعدة البيانات مخترقة، إلا أن قاعدة البيانات مازالت مفتوحة على مصراعيها، على الرغم من المحاولات العديدة للاتصال بالمورد، كما أن فريق دليل لم يرد على أى تعليق حول هذا الأمر.