فضيحة أمنية جديدة تهز واتساب

هوية بريس – متابعات

كشف باحثون في الأمن السيبراني بجامعة فيينا في النمسا عن ثغرة غير مسبوقة في تطبيق التراسل الفوري “واتساب”، أدت إلى تسرب بيانات أكثر من 3.5 مليار حساب نشط في 245 دولة، قبل أن تبادر الشركة الأم “ميتا” إلى سدّها بعد تلقي الإخطار الرسمي.

“عيب أساسي” في آلية اكتشاف جهات الاتصال

الدراسة، التي أُنجزت بالتعاون مع منظمة SBA Research، أوضحت أن الثغرة كانت موجودة في ما يُعرف بـآلية اكتشاف جهات الاتصال داخل واتساب، وهي الخاصية التي يستخدمها التطبيق لمزامنة دفاتر العناوين وتحديد ما إذا كانت الأرقام المخزّنة تعود لمستخدمين نشطين.

الباحثون استغلّوا هذه الآلية لتنفيذ أكثر من 100 مليون استعلام في الساعة عبر خوادم واتساب، ما مكّنهم من الوصول إلى بيانات 3.5 مليار حساب دون اختراق مباشر.

وقال المؤلف الرئيسي للتقرير غابريال غيغنهوبر:

“لا ينبغي لأي نظام أن يستجيب لكمّ هائل من الطلبات في وقت قصير من مصدر واحد. هذا الخلل هو ما سمح بإجراء استعلامات واسعة النطاق وكشف بيانات المستخدمين.”

ما البيانات التي تم كشفها؟

الثغرة لم تكشف محتوى الرسائل أو المحادثات، لكنها سمحت بالوصول إلى البيانات التي يعرضها واتساب بشكل افتراضي لأي شخص يعرف رقم هاتف المستخدم، وتشمل:

• رقم الهاتف

• المفاتيح العامة (Public Keys)

• الطوابع الزمنية (Last Seen / Timestamp)

• نص الحالة (Status)

• صورة الملف الشخصي

وباعتماد هذه البيانات، تمكن الباحثون من استخراج معلومات إضافية، مثل:

• نوع نظام التشغيل (Android / iOS)

• عمر الحساب

• عدد الأجهزة المرتبطة به

وأكد الباحثون أن 81% من مستخدمي واتساب يعتمدون على هواتف Android، مقابل 19% فقط لأجهزة iOS.

الكشف عن نشاط في دول تحظر واتساب

واحدة من النتائج اللافتة هي أن الدراسة رصدت ملايين الحسابات النشطة في دول تحظر فيها واتساب رسميًا، من بينها:

• الصين

• إيران

• ميانمار

وهو ما يعكس اعتماد المستخدمين على شبكات VPN أو أدوات تجاوز الحجب.

ميتا تتدخل وتغلق الثغرة

بعد استكمال الاختبارات، تواصل فريق جامعة فيينا مع شركة “ميتا”، التي قامت سريعًا بإغلاق الثغرة ومعالجة الخلل في آلية التحقق من جهات الاتصال.

الباحثون أكدوا أنهم:

• لم يحاولوا الوصول إلى الرسائل أو تشفيرها

• لم يشاركوا أي بيانات شخصية

• حذفوا كل البيانات التي جُمعت قبل نشر التقرير

ومن المقرر عرض الدراسة كاملة في مؤتمر أمن الشبكات والأنظمة الموزعة لسنة 2026.