في فضيحة مدوية هزت عالم الأمن الرقمي، كشفت ثغرة أمنية خطيرة في عملية تجسس سرية تعمل تحت غطاء تطبيق يدعى “Catwatchful” عن بيانات الآلاف من عملائه، بما في ذلك المسؤول عن إدارة وتشغيل البرنامج نفسه.
مخاطر تطبيق Catwatchful
التطبيق الذي يسوق له كأداة “غير مرئية وغير قابلة للكشف” لمراقبة الأطفال، هو في حقيقة الأمر برنامج تجسس متكامل يقوم بسرقة كل محتويات هاتف الضحية ورفعها إلى لوحة تحكم خاصة بالشخص الذي قام بزرع التطبيق.
وتشمل البيانات المسروقة الصور الشخصية. والرسائل النصية، وبيانات الموقع الجغرافي في الوقت الفعلي. بالإضافة إلى قدرته الخطيرة على التنصت المباشر على محيط الهاتف من خلال الميكروفون والوصول إلى الكاميرات الأمامية والخلفية عن بعد.
اكتشاف الثغرة
الفضل في كشف الثغرة الأمنية يعود إلى الباحث الأمني الكندي، إريك دايغل، الذي اكتشف أن قاعدة البيانات الكاملة للتطبيق كانت مكشوفة على الإنترنت بالكامل.
وهذا الخطأ الفادح في إعدادات الأمان أدى إلى تسريب عناوين البريد الإلكتروني وكلمات المرور (بنص عادي غير مشفر) التي يستخدمها عملاء “Catwatchful” للوصول إلى بيانات ضحاياهم.
لم يقتصر الأمر على بيانات العملاء. بل إن التسريب كشف أيضًا عن هوية مطور ومدير التطبيق. الذي تم تحديده على أنه مهندس برمجيات مقيم في الأوروغواي يُدعى عمر سوكا تشاركوف.
والمفارقة أن بيانات تشاركوف الشخصية. بما في ذلك بريده الإلكتروني ورقم هاتفه. كانت ضمن قاعدة البيانات المسربة. ما سهل عملية تعقبه والوصول إليه. وفقًا لموقع “techcrunch“.
برنامج التجسس Catwatchful
Catwatchful هو برنامج تجسس متنكر في صورة تطبيق لمراقبة الأطفال، يدعي أنه “غير مرئي ولا يمكن اكتشافه”. ويحمل في الوقت نفسه محتويات هاتف الضحية الخاصة إلى لوحة معلومات يمكن لمنشئ التطبيق الاطلاع عليها.
وتشمل البيانات المسروقة صور الضحايا ورسائلهم وبيانات موقعهم الآنية. كما يمكن للتطبيق التنصت عن بعد على الصوت المحيط المباشر من ميكروفون الهاتف. والوصول إلى كاميراتي الهاتف الأمامية والخلفية.
تطبيقات التجسس. مثل Catwatchful، محظورة من متاجر التطبيقات. وتعتمد على تنزيلها وزرعها من قِبل شخص لديه وصول فعلي إلى هاتف الشخص.
ولذلك، تُعرف هذه التطبيقات عادةً باسم “برامج المطاردة” (أو برامج الزوجية) لقدرتها على تسهيل مراقبة الأزواج والشركاء العاطفيين دون موافقتهم، وهو أمر غير قانوني.
كات ووتشفول هو أحدث مثال في قائمة متنامية من عمليات برامج التجسس التي تعرضت للاختراق أو فضح البيانات التي حصلت عليها. وهو خامس عملية تجسس على الأقل هذا العام تتعرض لتسريب بيانات.
أهمية الحادثة
تظهر هذه الحادثة أن برامج التجسس الموجهة للمستهلكين لا تزال تنتشر. على الرغم من كونها عرضة لثغرات أمنية وبرمجية رديئة تعرض كلاً من العملاء الذين يدفعون مقابل خدماتهم والضحايا غير المنتبهين لاختراقات البيانات.
وبحسب نسخة من قاعدة البيانات من أوائل شهر يونيو. والتي اطلع عليها موقع TechCrunch. فإن Catwatchful كان لديه عناوين البريد الإلكتروني وكلمات المرور لأكثر من 62 ألف عميل وبيانات الهاتف من 26 ألف جهاز للضحايا.