كشف باحثون من جامعة فيينا عن خلل أساسي في تطبيقي واتساب WhatsApp وسيجنال Signal، يمكن استغلاله لتتبع موقع المستخدم ومعرفة بعض أنماط استخدامه للهاتف، وذلك باستخدام رقم الهاتف فقط ودون الحاجة إلى أي أجهزة خاصة أو صلاحيات داخلية.

وبحسب تقرير نشره موقع PCMag، فإن المشكلة ترتبط بآلية إشعارات تسليم الرسائل، التي تعتمد عليها تطبيقات المراسلة لإخبار المرسل بأن رسالته وصلت إلى جهاز المستلم.

في كل من واتساب وسيجنال، تشير علامة التحقق الأولى إلى وصول الرسالة إلى خادم التطبيق، بينما تعني العلامة الثانية أن الرسالة وصلت بالفعل إلى جهاز المستلم.

وتكمن المشكلة في الفترة الزمنية الفاصلة بين الحدثين، والتي تعرف باسم زمن الرحلة ذهابا وإيابا RTT، أي الوقت الذي تستغرقه الإشارة للوصول إلى الجهاز ثم العودة.

ورغم أن هذا الفارق الزمني قد يبدو ضئيلا للغاية، فإنه يحمل معلومات يمكن استغلالها لتكوين صورة عن حالة الجهاز وموقع مستخدمه.

وتختلف إشعارات القراءة عن إشعارات التسليم، إذ لا يتم إرسال الأولى إلا عندما يفتح المستخدم الرسالة، بينما تعمل إشعارات التسليم تلقائيا بمجرد وصول الرسالة إلى الجهاز، حتى لو انتهت في مجلد الرسائل غير المرغوب فيها.

وهذا يعني أن المستخدم المستهدف لا يحتاج إلى فتح الرسالة أو التفاعل معها حتى يبدأ الهجوم في جمع البيانات.

قال ماكس غونتر، الباحث الذي قاد الدراسة، إن المهاجم يحتاج فقط إلى رقم هاتف الضحية لتنفيذ الهجوم، دون الحاجة إلى أجهزة متخصصة أو وصول مباشر إلى جهاز المستهدف.

ويعتمد الأسلوب على برنامج بسيط يراقب التغيرات في زمن RTT، وهي أدوات يمكن العثور على نماذج منها بشكل علني على منصة GitHub.

ووفق الباحثين، حتى الاختلافات الصغيرة جدا في زمن انتقال البيانات يمكن أن تكشف معلومات مهمة.

وأوضح غونتر أن قياس الفترة الزمنية بين إرسال الإشارة وعودة الاستجابة يمكن أن يكشف، على سبيل المثال، ما إذا كان الجهاز مفتوحا ويستخدم بنشاط أو في وضع الاستعداد أو مغلق الشاشة.

من خلال تحليل أزمنة RTT بشكل متكرر، يمكن للمهاجم تكوين صورة عن نمط استخدام الهاتف، وتقدير الموقع الجغرافي للمستخدم بدرجة تقريبية، بل وحتى التمييز بين أنواع مختلفة من شبكات الاتصال.

فعلى سبيل المثال، قد يظهر هاتف العمل المتصل بشبكة Wi-Fi ثابتة في المكتب نمطا أكثر استقرارا في زمن الاستجابة، بينما قد يظهر الهاتف الشخصي المتنقل بين أبراج شبكات المحمول نمطا مختلفا.

ومع جمع هذه البيانات على مدى فترة طويلة، يمكن أن تتحول المعلومات إلى وسيلة للمراقبة المستمرة للمستخدم.

وبحسب التقرير، دفعت شركة “ميتا”، المالكة لـ واتساب، مكافأة قدرها 7000 دولار للباحثين مقابل الإبلاغ عن المشكلة.

أما تطبيق سيجنال، الذي تديره مؤسسة غير ربحية، فلم يكن لديه برنامج تعويض مماثل لتقديم مكافأة مالية للباحثين.

واتخذت الشركتان بالفعل بعض الإجراءات للحد من استغلال المشكلة، من بينها تقييد معدل إرسال الرسائل Rate Limiting، وهي آلية تحد من سرعة وصول الرسائل وتساعد في منع بعض أشكال الرسائل المزعجة والهجمات المتكررة.

لكن هذه الإجراءات لا تقضي على المشكلة بالكامل، وإنما تجعل تنفيذ الهجوم أبطأ وأكثر صعوبة.