ثغرة إلكترونية تتيح اختراق واتساب وتلغرام
تمكن قراصنة من استغلال ثغرة في نظام الاتصالات لاختراق تطبيقي واتساب وتلغرام اللذين يعدان من أكثر تطبيقات التراسل الفوري أمانا بفضل تقنيات التشفير التي يعتمدانها.
ويروج التطبيقان لنفسيهما على أنهما البديل الآمن للمكالمات الهاتفية والرسائل النصية والرسائل الإلكترونية، لكن ذلك لا يمنع من اختراقهما إن استغلت ثغرات أخرى من خارجهما، وهذا ما حصل مؤخرا.
وتقوم تطبيقات التراسل المشفرة عادة بمنع المتطفلين الخارجيين من الوصول إلى رسائل المستخدمين بفضل تقنية التشفير "الطرف إلى الطرف" التي تخزن مفتاح إلغاء تشفير الرسائل على جهازي طرفي المحادثة فقط، أي أنه إذا تمكن أحدهم من الوصول إلى الرسائل فلن يكون قادرا على قراءة الرسائل أو إلغاء تشفيرها، ولذلك لم يلجأ القراصنة إلى اختراق نظام التشفير في التطبيقين وإنما استغلال ثغرة خارجية في نظام الاتصالات.
فبفضل ثغرة أمنية في ما يعرف بـ"نظام الإشارة رقم 7" (SS7)، وهو مجموعة من البروتوكولات والإشارات الهاتفية وضعت عام 1975 ويستخدم لربط شركات الاتصالات حول العالم تمكن القراصنة من اختراق التطبيقين بإيهام شركة الاتصالات بأن هاتف المهاجم يملك نفس رقم هاتف الضحية، مما يعني إمكانية إنشاء حساب على التطبيقين واستقبال الرمز السري الذي يثبت أن هاتفه هو نفسه صاحب الحساب.
وبعد إتمام العملية يصبح باستطاعة المهاجم التحكم بحساب الضحية، بما في ذلك القدرة على إرسال واستقبال الرسائل، فضلا عن قراءتها، ويمكن متابعة الفيديو أدناه لمشاهدة كيفية اختراق تطبيق واتساب عبر الاستفادة من ثغرة "أس أس7"، وهو الأمر ذاته الذي ينطبق على تلغرام.
ويشار إلى أن نقاط الضعف في "نظام الإشارة رقم 7" ليست سرا ومعروفة منذ سنوات، سواء للقراصنة أو الحكومات حول العالم أو شركات الاتصالات، أما لماذا تركت ثغرات هذا النظام من دون إصلاح فيعود ذلك إلى أن هذا النظام عبارة عن شبكة عالمية من شركات الاتصالات، ولا تملك أي شركة منها أو تتحكم بهذا النظام، وأي تغيير فيه يتطلب إجراءات معقدة جدا، ويعتقد أن الأمر سيظل على هذا الحال إلى أن يتم تكليف هيئة أو مجموعة بإدارة وصيانة هذا النظام.
ولأجل ذلك ستظل ثغرات هذا النظام موجودة، ووفقا لموقع "ذي نكست ويب" المعني بشؤون التقنية، فإن هناك نظرية بديلة تقول إن وكالات الاستخبارات تقف عائقا بين الثغرات وقدرات شركات الاتصالات على إصلاحها، كونها تتيح لها التجسس على المستخدمين في حال اعتماد التطبيقات على تقنيات تشفير معقدة.
