گروهی از محققان اتریشی با بهره گیری از یک نقص ساده در سیستم کشف مخاطب واتس اپ، موفق شدند شماره تلفن 3.5 میلیارد کاربر این پیام رسان را استخراج کنند. اگر این پروژه در قالب یک تحقیق علمی انجام نمی شد، می توانستیم شاهد بزرگ ترین نشت اطلاعاتی تاریخ باشیم.

به گزارش وایرد، محققان می گویند مکانیسم ساده ای که واتس اپ برای راحتی کاربران طراحی کرده، به پاشنه آشیل آن تبدیل شده است. این اپلیکیشن به شما اجازه می دهد تا با واردکردن شماره تلفن، بلافاصله بفهمید که آیا صاحب آن شماره عضو واتس اپ است یا خیر.

محققان دانشگاه وین اتریش از همین ویژگی استفاده کردند. آنها با نوشتن اسکریپت هایی که شماره های تلفن مختلف را به صورت رگباری و میلیاردی بررسی می کرد، توانستند تقریباً لیست تمام کاربران واتس اپ در جهان را استخراج کنند. نکته عجیب ماجرا اینجاست که متا هیچ محدودیتی برای تعداد این درخواست ها قائل نشده بود و محققان می توانستند در هر ساعت، وضعیت حدود 100 میلیون شماره را چک کنند.

علاوه بر خود شماره تلفن ها، اطلاعات جانبی دیگری نیز در دسترس قرار گرفت. طبق یافته های این تیم تحقیقاتی، عکس پروفایل 57 درصد کاربران برای عموم قابل مشاهده بود. 29 درصد کاربران نیز متن بخش About یا بیوگرافی شان در دسترس بود. اگرچه محققان پس از پایان پروژه این دیتابیس بزرگ را پاک کردند، اما این حجم از داده می توانست خوراک بزرگی برای کلاهبرداران و اسپمرها باشد.

شاید فکر کنید داشتن شماره تلفن و عکس پروفایل چندان خطرناک نیست، اما ترکیب این اطلاعات می تواند عواقب جدی داشته باشد. برای مثال کلاهبرداران با داشتن عکس و نام شما می توانند پروفایل های جعلی بسازند و به دوستان تان پیام دهند. همچنین در کشورهایی مانند چین یا میانمار که استفاده از واتس اپ ممنوع است، دولت ها می توانند با استفاده از همین روش، کاربران این اپ را شناسایی کنند.

محققان همچنین متوجه شدند که برخی حساب ها (احتمالاً اکانت های اسپم یا نسخه های غیررسمی واتس اپ) از کلیدهای رمزنگاری تکراری استفاده می کنند که امنیت پیام ها را به خطر می اندازد.

این اولین بار نیست به متا درباره این نقص امنیتی هشدار داده می شود. در سال 2017، یک محقق هلندی دقیقاً به همین مشکل اشاره کرد و گفت که می توان با این روش، دیتابیسی گسترده از اطلاعات کاربران ساخت و حتی زمان آنلاین شدن آنها را رصد کرد. بااین حال، متا در آن زمان این موضوع را نادیده گرفت و مدعی شد که تنظیمات حریم خصوصی واتس اپ به درستی کار می کنند. اما تحقیق جدید نشان داد که با گذشت 8 سال، نه تنها مشکل حل نشده بود، بلکه ابعاد آن به 3.5 میلیارد کاربر گسترش یافته بود.

البته این شرکت در ماه اکتبر با دریافت نتایج تحقیق دانشگاه وین سیستم های دفاعی خود را تقویت کرد. اکنون متا با اعمال محدودیت نرخ درخواست، جلوی بررسی های انبوه شماره تلفن را گرفته است. همچنین سخنگوی واتس اپ در بیانیه ای اعلام کرد که هیچ شواهدی مبنی بر سوءاستفاده مخرب از این روش پیدا نکرده اند و تأکید کرد که اطلاعات فاش شده (مثل عکس پروفایل)، اطلاعاتی بوده که خود کاربران تصمیم گرفته اند عمومی باشد.