اختراق هائل يكشف عن بيانات الموقع الحساسة

اختراق هائل يكشف عن بيانات الموقع الحساسة

في عالم التطبيقات الذكية، نشارك بيانات موقعنا مع العديد من التطبيقات، ونعتمد على مستوى معين من الثقة. ولكن، للأسف، هناك دائماً خطر أن تستغل شركات خبيثة هذه الثقة للحصول على بيانات لا يحق لها الوصول إليها. مؤخرًا، تم الكشف عن اختراق ضخم يهدد بيانات مواقع الملايين، حيث تم تسريب معلومات حساسة من شركة جرافي أناليتيكس.

تتواجد الإعلانات اليوم في أغلب التطبيقات الشهيرة، مما يساعد المطورين على تغطية تكاليف التشغيل وتقديم الخدمة مجانًا للمستخدمين. في السابق، كان يتعين على شركات بيانات المواقع دفع رسوم لمطوري التطبيقات لإدراج الكود الذي يمكنهم من جمع بيانات المواقع. لكن كما كتب الصحفي الاستقصائي جوزيف كوكس في Wired و404 Media، لم يعد الأمر يتطلب هذه الطريقة، بل أصبح بالإمكان استخدام عملية تعرف بالمزايدة في الوقت الحقيقي (RTB).

ما هي المزايدة في الوقت الحقيقي (RTB)؟

في نظام RTB، تتنافس شركات الإعلان على جذب انتباه المستخدمين داخل التطبيقات. يتضمن ذلك مشاركة التطبيقات لبعض البيانات مع المعلنين، بما في ذلك بيانات الموقع. يكشف هذا الاختراق أن شركة جرافي أناليتيكس تحتفظ بكميات هائلة من بيانات المستخدمين، بما في ذلك إحداثيات الهواتف الذكية، وهي مستعدة لبيعها لأعلى مزايد. تشمل قائمة عملاء جرافي أناليتيكس كلاً من الجهات الحكومية والتجارية، مما يعزز المخاوف بشأن المراقبة غير القانونية.

المخاطر المرتبطة بالاختراق

أخبر الباحث الأمني كريستوف فراناسزك موقع 404 ميديا أن الجزء الأكبر من بيانات الموقع المخترقة تم الحصول عليها من خلال عناوين IP وليس بيانات GPS. ومع ذلك، فإن الحجم الكبير ونوع التطبيقات المتضررة، فضلاً عن حقيقة أن هذا يبدو أنه تم دون معرفة مطوري التطبيقات، يعد أمرًا مقلقًا.

تأثيرات الاختراق على التطبيقات

تأثرت آلاف التطبيقات عبر فئات متعددة، وبعض الأسماء الكبيرة المدرجة تشمل تطبيقات المواعدة مثل Tinder وGrindr، بالإضافة إلى تطبيقات تتبع الرحلات مثل Flightradar24، وعدد من تطبيقات تتبع الدورة الشهرية، وتطبيقات VPN، بالإضافة إلى ألعاب شعبية كـ Temple Run وCandy Crush. أعدت 404 ميديا قائمة شاملة تحتوي على بعض هذه التطبيقات، يمكن الإطلاع عليها هنا.

قال زاك إدواردز، محلل المخاطر الرئيسي في Silent Push، "يعد اختراق شركة بيانات الموقع مثل جرافي أناليتيكس السيناريو الأسوأ الذي يخشاه جميع المدافعين عن الخصوصية. الأضرار المحتملة للأفراد مقلقة، وإذا انتهى الأمر بكميات ضخمة من بيانات المواقع إلى البيع في الأسواق السوداء، فإن ذلك سيخلق مخاطر عديدة لتحديد الهوية وقلق المراقبة بالنسبة للأفراد والمنظمات عالية المخاطر."

بعض مطوري التطبيقات مثل Tinder وGrindr (المملوكة لمجموعة Match) أفادوا لموقع 404 ميديا أنهم ليس لديهم أي تعاملات مع جرافي أناليتيكس. ومن المهم أن نلاحظ أن هذه البيانات الحساسة تؤثر على كل من أجهزة Android وiOS. لم تعلق كل من جوجل وآبل بعد على هذا التقرير المدمر، لكننا نعتقد أنه لن يمر وقت طويل قبل أن يصدروا بيانًا في هذا الشأن.

أظهر القراصنة الذين كشفوا عن هذه القصة عينات بيانات توضح مسؤولية جرافي أناليتيكس في هذه المسألة. بالإضافة إلى ذلك، نشروا رسائل على موقعين لجرافي توضح طبيعة الاختراق. تم نشر لقطات شاشة لهذه الرسائل على منتدى الجرائم الإلكترونية غير المرئي للجمهور XSS، لكن أحد مصادر 404 ميديا تمكن من الوصول إليها ومشاركتها مع النشر.