WhatsApp. Խափանումը թույլ է տվել արդյունահանել 3.500 միլիարդ համարներ և պրոֆիլի տվյալներ։

Ակադեմիական հետաքննությունը ուշադրության կենտրոնում է դրել անվտանգության թերություն կոնտակտների հայտնաբերման համակարգում WhatsApp-ը, որը, երբ շահագործվում է մեծ մասշտաբով, Այն թույլ էր տալիս ստուգել հեռախոսահամարները և զանգվածաբար կապել պրոֆիլի տվյալները դրանց հետ։Արդյունքը նկարագրում է, թե ինչպես կարող է կիրառման առօրյա գործընթացը, եթե կրկնվի արդյունաբերական տեմպերով, դառնալ տեղեկատվության ազդեցության աղբյուր։

Վիեննայի համալսարանի մի թիմի ղեկավարած ուսումնասիրությունը ցույց տվեց, որ հնարավոր է ստուգել հաշիվների գոյությունը միլիարդավոր թվերի համադրություններ վեբ տարբերակի միջոցով, ամիսներ շարունակ առանց արդյունավետ արգելափակումների: Հեղինակների կարծիքով, եթե այդ գործընթացը պատասխանատու կերպով չկատարվեր, մենք կխոսեինք երբևէ գրանցված ամենամեծ տվյալների բացահայտումներից մեկը.

Ինչպես է առաջացել բացը. զանգվածային թվարկում

Խնդիրը կոդավորումը կոտրելու մեջ չէր, այլ հայեցակարգային թուլության մեջ. կոնտակտների որոնման գործիք ծառայության։ WhatsApp-ը թույլ է տալիս օգտատերերին ստուգել, ​​թե արդյոք հեռախոսահամարը գրանցված է։ Այս ստուգման ավտոմատ և մեծ մասշտաբով կրկնությունը բացել է դուռը դեպի գլոբալ հետևողականություն։

Ավստրիացի հետազոտողները վեբ ինտերֆեյսն օգտագործել են թվերը անընդհատ ստուգելու համար՝ հասնելով մոտավորապես 100 միլիոն ստուգում մեկ ժամում վերլուծված ժամանակահատվածում առանց որևէ արդյունավետ արագության սահմանափակման։ Այդ ծավալը հնարավոր դարձրեց աննախադեպ արդյունահանումը։

Փորձի արդյունքը վճռորոշ էր. նրանք կարողացան ստանալ 3.500 միլիարդ հաշիվների հեռախոսահամարներ WhatsApp-ից։ Բացի այդ, նրանք կարողացան կապել այդ նմուշի զգալի մասի հրապարակայնորեն մատչելի պրոֆիլային տվյալները։

Մասնավորապես, թիմը նշել է, որ Անձնական լուսանկարներին մուտք են գործել դեպքերի 57%-ը, իսկ հանրային կարգավիճակի տեքստերին կամ լրացուցիչ տեղեկատվությանը՝ 29%-ը։Չնայած այս դաշտերը կախված են յուրաքանչյուր օգտատիրոջ կոնֆիգուրացիայից, դրանց մասշտաբային ազդեցությունը մեծացնում է ռիսկը։

• WhatsApp-ում 3.500 միլիարդ համար հաստատվել է որպես գրանցված։
• 57%-ը՝ հանրությանը հասանելի պրոֆիլի նկարով։
• 29%-ը՝ որոնելի պրոֆիլի տեքստով։

Նախկինում տրված նախազգուշացումներ, որոնք ժամանակին չեն հաշվի առնվել

Հաշվառման թուլությունը բոլորովին նոր չէր. արդեն 2017 թվականին, հոլանդացի հետազոտող Լորան Կլոեզե Նա զգուշացրեց, որ հնարավոր է ավտոմատացնել թվերի ստուգումը և դրանք կապել տեսանելի տվյալների հետ։Այդ նախազգուշացումը նախանշում էր ստեղծված իրավիճակը։

Վիեննայի վերջին աշխատանքը այդ գաղափարը հասցրեց ծայրահեղության և ցույց տվեց, որ կախվածություն հեռախոսահամարից քանի որ եզակի նույնականացուցիչը մնում է խնդրահարույցԻնչպես նշում են հեղինակները, թվերը Դրանք նախատեսված չեն որպես գաղտնի լիազորագրեր գործելու համարՍակայն գործնականում նրանք այդ դերը կատարում են բազմաթիվ ծառայություններում։

Ուսումնասիրության մեկ այլ կարևոր եզրակացությունն այն է, որ անձնական տեղեկատվության մեծ մասը ժամանակի ընթացքում պահպանում է իր արժեքը. Թիմը պարզել է, որ 2021 թվականի Facebook-ի արտահոսքի ժամանակ բացահայտված հեռախոսների 58%-ը Նրանք այսօր էլ ակտիվ են WhatsApp-ում։, որը նպաստում է փոխկապակցվածություններին և շարունակական արշավներին։

Թվերից բացի, Զանգվածային հարցումների գործընթացը թույլ տվեց եզրակացնել որոշակի տեխնիկական մետատվյալներ, ինչպես հաճախորդի կամ օպերացիոն համակարգի տեսակը աշխատակցի համար և աշխատասեղանի տարբերակների առկայությունը, ինչը ավելացնում է պրոֆիլավորման համար մակերես։

Մետայի պատասխանը. արագության սահմանափակումներ և պաշտոնական դիրքորոշում

Հետազոտողները Նրանք ապրիլին հայտնեցին եզրակացության մասին Meta-ին և ջնջեցին ստեղծված տվյալների բազան այն ստուգելուց հետո։Ընկերությունն իր հերթին այն ներդրեց հոկտեմբերին ավելի խիստ դրույքաչափերի սահմանափակման միջոցառումներ ցանցի միջոցով մեծածավալ հաշվառումը արգելափակելու համար։

Մասնագիտացված լրատվամիջոցներին ուղղված հայտարարություններում Մետան շնորհակալություն է հայտնել իր ծրագրի միջոցով տեղեկացման համար։ ձախողման պարգևներ Նա ընդգծեց, որ ցուցադրվող տեղեկատվությունը համապատասխանում էր յուրաքանչյուր օգտատիրոջ կողմից տեսանելի լինելուն։ Նա նաև նշեց, որ չի գտել այս մեթոդի չարամիտ չարաշահման որևէ ապացույց։

Ընկերությունը պնդում էր, որ 2012թ. հաղորդագրությունները մնացին պաշտպանված ծայրից ծայր կոդավորման և այն փաստի պատճառով, որ ոչ հրապարակային տվյալներին մուտք չի եղել։ Չկար որևէ ցուցում, որ կրիպտոգրաֆիկ համակարգը կոտրվել է։

Մի քանի տեխնիկական հանդիպումներից հետո WhatsApp-ը պարգևատրեց հետազոտությունը $17.500Թիմի համար գործընթացը ծառայում էր ծանուցումից հետո տեղակայված նոր պաշտպանության միջոցների արդյունավետությունը չափելու և ստուգելու համար։

Իրական ռիսկեր՝ խարդախությունից մինչև թիրախավորում արգելված երկրներում

Տեխնիկական ասպեկտներից զատ, այս ազդեցության հիմնական ազդեցությունը գործնական է։ Հեռախոսահամարի և պրոֆիլի տեղեկատվության տեսանելիության շնորհիվ դա շատ ավելի հեշտ է դառնում։ կառուցել սոցիալական ինժեներիայի արշավներ և թիրախային խաբեություններ, որոնք շահագործում են յուրաքանչյուր զոհի համատեքստային տեղեկատվությունը։

Հետազոտողները նաև միլիոնավոր ակտիվ հաշիվներ են հայտնաբերել այն տարածքներում, որտեղ WhatsApp-ը արգելված է, ինչպիսիք են՝ Չինաստան, Իրան կամ ՄյանմաԱյս թվերի տեսանելիությունը կարող է անձնական կամ իրավական հետևանքներ ունենալ օգտատերերի համար բարձր հսկողության համատեքստերում։

Գործող հեռախոսների զանգվածային հասանելիությունը մեծացնում է սպամ, դոքսինգ և ֆիշինգ ավելի բարձր ճշգրտությամբ, հատկապես, երբ պրոֆիլի նկարը կամ հրապարակային տեքստը հուշումներ են տալիս ինքնության, զբաղվածության կամ կապված սոցիալական ցանցերի վերաբերյալ։

Հարկ է հիշել, որ հսկայական տվյալների բազաներում ավելացվելուց հետո տեղեկատվությունը կարող է տարիներ շարունակ շրջանառվել՝ զուգակցվելով այլ արտահոսքերի հետ՝ հարստացնել պրոֆիլները և բարձրացնել հարձակումների արդյունավետությունը։

Եվրոպա և Իսպանիա. ինչու է դա կարևոր այստեղ

Իսպանիայում և ԵՄ մնացած մասում, որտեղ WhatsApp-ը ամենուրեք է, տեղեկատվության տարածումը այս մասշտաբի է մտահոգված է դրա հնարավոր ազդեցությամբ միլիոնավոր օգտատերեր և բիզնեսներՉնայած Մետան ուղղեց թվարկման մեթոդը, միջադեպը վերաբացնում է հեռախոսահամարի վրա հիմնված դիզայնի վերաբերյալ բանավեճը։

Եվրոպական համալսարանական թիմի հետ կապված այս դեպքը հիշեցնում է, որ նույնիսկ հարմարության համար նախատեսված գործառույթները, ինչպիսիք են կոնտակտների անհապաղ որոնումը, Նրանք կարող են դառնալ ռիսկի վեկտորներ, եթե չունենան ամուր և անընդհատ ստուգվող պաշտպանություններ։.

Այն նաև ընդգծում է գաղտնիության կարգավորումները ուշադիր կարգավորելու անհրաժեշտությունը: Եթե պրոֆիլի նկարը կամ հանրային տեքստը բացահայտում է անհրաժեշտից ավելի շատ տեղեկություններ, դրա լայն տարածումը դառնում է... սպառնալիքի բազմապատկիչ մասնավոր և մասնագիտական ​​օգտատերերի համար.

Եվրոպական կազմակերպությունների և վարչակազմերի համար, որոնք ունեն անվտանգության պարտավորություններ, Տվյալների տեսանելիության սահմանափակումը և հավելվածից դուրս ներքին ստուգման ընթացակարգերի ամրապնդումը նպաստում է նվազեցնել հարձակման մակերեսը կեղծիքի կամ խարդախության արշավների մասին։

Ի՞նչ կարող ես անել հենց հիմա։

Այլընտրանքային նույնականացուցիչի բացակայության դեպքում, Օգտատիրոջ համար լավագույն պաշտպանությունը ներառում է կարգավորել տարբերակները պրոֆիլի գաղտնիություն և ընդունեք խելամիտ հաղորդագրությունների սովորություններ։

• Սահմանափակեք պրոֆիլի նկարը և տեղեկությունները «Իմ կոնտակտներ» կամ «Ոչ ոք» ռեժիմով.
• Խուսափեք ձեր կարգավիճակի տեքստում գաղտնի տվյալներ կամ անձնական հղումներ ներառելուց։.
• Զգույշ եղեք անսպասելի հաղորդագրություններից, նույնիսկ եթե դրանք պարունակում են ձեր անունը կամ լուսանկարը.
• Ստուգեք ցանկացած անհետաձգելի կամ վճարման հարցում երկրորդական ալիքով.

Չնայած զանգվածային հաշվառման հատուկ ուղին փակվել է, այս դրվագը ապացույցներ, որ հանրային նույնականացուցիչների և վերահսկողության փոքր բացթողումների համադրությունը կարող է հանգեցնել հսկայական բացահայտումներիՁեր հաշվի մյուսների համար տեսանելիությունը նվազագույնի հասցնելը սահմանափակում է ապագա հավաքագրման տեխնիկաների ազդեցությունը։

Ավստրիական հետազոտությունը ցույց տվեց, որ Արդյունաբերական մասշտաբով կարելի է շահագործել մի ընդհանուր ֆունկցիա՝ միլիարդավոր թվեր ստուգելու և դրանց հետ տեսանելի պրոֆիլներ կապելու համար։Մետան խստացրել է սահմանափակումները և պնդում է, որ չարաշահման որևէ ապացույց չկա, սակայն սոցիալական ինժեներիայի ռիսկերըԱրգելքներ և տվյալների պահպանություն ունեցող երկրներում ստացված արդյունքները ընդգծում են հեռախոսահամարների վրա հիմնված դիզայնի վերանայման և եվրոպացի օգտատերերի շրջանում գաղտնիության ավելի խիստ սովորույթները խրախուսելու անհրաժեշտությունը։