كشفت دراسة بحثية حديثة عن ثغرة خطيرة في تطبيق واتساب تسببت في تسريب أرقام نحو 3.5 مليار مستخدم، إضافة إلى جزء من معلوماتهم الشخصية، وذلك عبر آلية بسيطة مكّنت الباحثين من استخراج البيانات دون الحاجة إلى تقنيات متقدمة.

وأظهر باحثون من النمسا، مطلع العام الجاري، إمكانية اختبار ما يقارب 100 مليون رقم هاتف في الساعة عبر واتساب، ما يعكس سهولة استغلال الثغرة التي سمحت بالوصول إلى بيانات المستخدمين الحساسة.

وتبيّن أن كل ما يحتاجه المخترق هو استخدام واجهة واتساب ويب وإضافة أرقام هواتف بالجملة، ليُظهر التطبيق ما إذا كان الرقم مسجّلاً، مع عرض صورة الحساب ونص الحالة إذا كانت إعدادات الخصوصية تتيح ذلك.

الأخطر أن شركة ميتا، المالكة لواتساب، كانت قد تلقت تحذيرات بشأن نفس الثغرة منذ عام 2017، لكنها لم تتحرك لمعالجتها إلا بعد مرور سنوات، ما أدى إلى بقاء المستخدمين عرضة للاستغلال لفترة طويلة دون أي حماية كافية.

ووفق النتائج المنشورة، تمكن الباحثون من استخراج أرقام جميع مستخدمي واتساب البالغ عددهم 3.5 مليار مستخدم، إضافة إلى الاستيلاء على صور الملف الشخصي لنحو 57% من المستخدمين، وقراءة نصوص الحالة (bio) الخاصة بـ 29% من الحسابات.

وتم كل ذلك دون أي اختراق تقني، بل عبر استخدام خواص التطبيق بطريقة موسعة على نطاق ضخم.

وكشفت الدراسة أنه بعد تلقي تقرير الباحثين في أبريل (نيسان) الماضي، قامت ميتا في أكتوبر (تشرين الأول) بتطبيق نظام الحد من المعدل (Rate Limiting) الذي يقلل من إمكانية تنفيذ عمليات التحميل الجماعي لأرقام الهواتف.

ورغم ذلك، يؤكد الخبراء أن التأخر في معالجة الخلل وضع المستخدمين أمام مخاطر غير ضرورية لسنوات طويلة.

ووفق ما نقلته GSM Arena، قالت ميتا إن البيانات المكشوفة تندرج ضمن "معلومات أساسية متاحة للجميع"، مؤكدة أن صور الحساب والنصوص كانت مخفية بالنسبة للمستخدمين الذين فعّلوا إعدادات الخصوصية، وأنه لا دليل على استغلال القراصنة للثغرة بشكل ضار.

كما شددت الشركة على أن الباحثين لم يتمكنوا من الوصول إلى أي بيانات غير عامة.

ورغم أن البيانات المكشوفة تُعد من النوع المتاح نظرياً، إلا أن حجم عملية الجمع المحتملة يثير تساؤلات كبيرة حول أمان التطبيقات واسعة الانتشار، خاصةً مع قدرة المخترقين على إنشاء قواعد بيانات هائلة للمستخدمين.

ويؤكد الخبراء أن على المستخدمين تعزيز إعدادات الخصوصية على واتساب، وتقييد من يمكنه رؤية الصورة الشخصية ونص الحالة، لتقليل إمكانية جمع البيانات بطرق مشابهة.

يُذكر أن واتساب شهد في عام 2022 تسريباً ضخماً آخر، أدى إلى كشف بيانات 32 مليون مستخدم في الولايات المتحدة وحدها، ما يجعل الحادثة الحالية حلقة جديدة في سلسلة من تحديات الأمن الرقمي المتعلقة بالتطبيق.