Appthority: ثغرة تؤثر على 180 مليون مستخدم لاصحاب الهواتف الذكية

Appthority: ثغرة تؤثر على 180 مليون مستخدم لاصحاب الهواتف الذكية 

Appthority: ثغرة تؤثر على 180 مليون مستخدم لاصحاب الهواتف الذكية

خرجت شركة الأمن السيبراني (Appthority) مأخرا من وجود ثغرة تعرض للخطر ما يصل إلى 180 مليون منمستخدمي الهواتف الذكية، بحيث يمكن للهاكرز استغلال الثغرة لاعتراض الرسائل النصية والمكالمات، ويعود ذلك لوجود خطأ بسيط في التعليمات البرمجية ضمن ما لا يقل عن 685 تطبيق للاجهزة الذكية، وأوضحت الشركة أن الثغرة، التي تسمى Eavesdropper، موجودة منذ عام 2011، وبحسب شركة الحماية (Appthority) فقد قام العديد من المبرمجين، وعن طريق الخطأ، بتوفير وثائق التفويض اللازمة للحصول على الخدمات التي تقدمها شركة تويليو (Twilio)، وهي منصة اتصالات سحابية يقع مقرها في سان فرانسيسكو في ولاية كاليفورنيا، وتسمح الشركة لمطوري البرامج بإجراء مكالمات هاتفية وتلقيها وإرسال رسائل نصية واستبقالها برمجياً من خلال واجهة برمجة التطبيقات لخدمة الويب التابعة لها، بالاضافة ان الثغرة تتطلب ثلاث خطوات لتنفيذها هي الاستطلاع والاستغلال والتدفق، مما يجعل الهاكرز يبحث  في البداية عن التطبيقات التي تستعمل تويليو، ومن ثم يستعمل أداة مثل VirusTotal أو YARA للعثور على التطبيقات التي تحدد السلاسل داخل التطبيقات ومن ثم البحث عن سلسلة (Twilio)، وبمجرد الانتهاء من ذلك، يمكن للهاكرز تحديد وثائق اعتماد هذا الاخير، وحرج سيث هاردي مدير البحوث الأمنية في شركة Appthority بتصريح يبين فيه انه يمكن للهاكرز الوصول إلى تلك البيانات من خلال مراجعة التعليمات البرمجية في التطبيقات، ومن ثم الوصول إلى البيانات المرسلة عبر تلك الخدمات، وتسلط النتائج الضوء على التهديدات الجديدة التي يجلبها الاستخدام المتزايد لخدمات الطرف الثالث مثل شركة (Twilio)، والتي توفر تطبيقات محمولة مع وظائف مثل الرسائل النصية والمكالمات الصوتية، ويمكن للمطورين أن يوفروا عن غير قصد ثغرات أمنية إذا لم يقوموا ببرمجة أو إعداد هذه الخدمات بشكل صحيح، وأضاف ايضا  ان هذا الأمر لا يقتصر على شركة (Twilio) فقط، إنها مشكلة شائعة عبر خدمات الطرف الثالث، وغالباً ما نلاحظ أنه إذا ارتكب المبرمج خطأ مع خدمة واحدة فإنه سوف يفعل ذلك مع خدمات اخرى أيضاً.
وتستعمل العديد من التطبيقات خدمات (Twilio) لارسال رسائل نصية وإجراء مكالمات هاتفية والتعامل مع الخدمات الاخرى، ويمكن للهاكرز الوصول إلى البيانات ذات الصلة إذا قاموا بتسجيل الدخول إلى حسابات المطور على (Twilio)، وتعتبر هذه الأخطاء ناتجة عن المطورين وليس (Twilio)، ويحذر موقع (Twilio) مطوري البرمجيات من أن قيامهم بترك وثائق الاعتماد ضمن التطبيق قد يكشف الحساب للهاكرز،وقال المتحدث باسم الشركة إن (Twilio) ليس لديها دليل على أن الهاكرز قد استخدموا وثائق التفويض المشفرة الموجودة ضمن التطبيقات للوصول إلى بيانات العملاء، لكنها تعمل مع المطورين من أجل تغيير وثائق التفويض فيما يخص الحسابات المتأثرة.
وتوصلت شركة Appthority ضمن عملية مسح تمت في شهر يوليوز وخصت 1100 تطبيق إلى وجود 685 تطبيق غير محمي مما يعادل 44%  من تطبيقات الاندرويد و56% من تطبيقات iOS مرتبطين بحسابات ما يصل إلى 85 مطور، وانخفض الرقم في نهاية شهر غشت إلى 102 تطبيق ما زال موجود في متجر apple و75 تطبيق ما زال موجود في متجر google play.