لا يمكن القول إن الجرائم السيبرانية هي أمر غريب على عالمنا المعاصر، إذ أصبحت معتادة على مختلف القطاعات، ولكن هذه المرة، الكارثة لم تكن في عملية الاختراق ذاتها، بل فيما كشفت عنه عملية الاختراق هذه.
في صبيحة السابع من يناير/كانون الثاني للعام الجاري، أعلنت مجموعة من القراصنة عن نجاحهم في اختراق قاعدة بيانات شركة تدعى “جرافي أناليتكس” (Gravy Analytics)، تضمن الإعلان وصفا كاملا للبيانات التي وصل القراصنة إليها، وهي بيانات تخص مراقبة لمواقع المستخدمين وتحركاتهم بشكل دقيق للغاية تعود لآلاف التطبيقات الشهيرة مثل لعبة “كاندي كراش” و”تيندر” وتطبيق لمتابعة الحمل وحتى تطبيقات دينية متاحة عبر متجر “آبل” و”غوغل” على حد سواء.
أثار هذا الإعلان ضجة واسعة عالميا، وذلك لأن شركة “جرافي آناليتكس” هي الشركة الأم لإحدى شركات البيانات “فينتيل” (Venntel) التي باعت بيانات سرية متعلقة بمواقع المستخدمين لهيئات مختلفة في الولايات المتحدة على غرار الأمن الوطني والمباحث الفدرالية، وهو ما يشير إلى أن “جرافي أناليتكس” والشركات التابعة لها مستعدة لبيع بيانات الموقع والتتبع الجغرافي لأي جهة في العالم طالما كانت قادرة على الدفع.
وكشفت هذه الحادثة عن واحدة من أكبر شركات سمسرة البيانات وبيعها في العالم، كون “جرافي أناليتكس” اتبعت أساليب مشبوهة في الوصول إلى هذه المعلومات وتخزينها، ليترك العالم حادثة الاختراق ويركز على آلية جمع بيانات الموقع وبيعها للمنافسين.
كيف جمعت “جرافي أناليتكس” بيانات مواقع المستخدمين؟
من أجل إدراك حجم الكارثة التي قامت بها شركة “جرافي أناليتكس”، يجب توضيح الآلية التي اتبعتها الشركة من أجل جمع هذه البيانات، وما إذا كانت تختلف عن الطرق المعتادة لجمع بيانات الموقع، حيث كانت الشركات عادةً ما تقوم بإضافة أكواد برمجية للوصول إلى مستشعر “جي بي إس” (GPS) المثبت في أي هاتف لقراءة الموقع بدقة أفضل، ولكن بعض التطبيقات لا تحتاج لمثل هذه البيانات، لذا لم تكن تضيف الكود البرمجي لجمعها.
مثل هذا الأمر تحد لبعض الشركات التي تعمل في قطاع الدعاية والإعلان وحتى تطوير المنتجات، إذ تسبب في نقص البيانات التي يمكنهم الوصول إليها، لذا لجأت هذه الشركات إلى آلية جديدة لجمع بيانات الموقع، وهو الأمر الذي تقوم به “جرافي أناليتكس”.
وتقوم الشركة باستخدام المنصات الإعلانية من أجل تتبع بيانات الموقع الخاصة بالمستخدمين والوصول إليها بدقة كبيرة، وذلك لأن بعض شركات الإعلانات تقوم بعرض الإعلانات الخاصة بها في مكان جغرافي ثابت بعينه، وعبر تتبع الهواتف ومعرفة الأماكن التي ظهر فيها الإعلان لكل مستخدم وكل هاتف، يصبح من الممكن رسم خريطة متكاملة لخط سير المستخدم وبيانات الموقع الخاص به بما فيها الزيارات للأماكن الحساسة مثل دور العبادة والعيادات الصحية والتجمعات العرقية، ثم بيعها لأي جهة تسعى للحصول عليها، وتجدر الإشارة إلى هذه البيانات جمعت من آليات “المزاد العلني المباشر” (Real Time Biding) التي تعتمد على تحديث قيمة الإعلان مقارنةً مع موقع العميل.
ورغم أن التسريب لم يكشف بشكل مباشر عن الشبكات الإعلانية المشاركة في جمع البيانات هذا، إلا أن تحليل خبراء الأمن السيبراني لقائمة البيانات التي ظهرت أشار بشكل مباشر إلى الشبكة الإعلانية التابعة لشركة “غوغل”.
وفي العادة، تكون الحكومات والهيئات الاستخباراتية من أكبر العملاء لهذه الشركات، إذ يتم استخدام هذه المعلومات والبيانات من أجل الوصول إلى تفاصيل واضحة ومراقبة هواتف الأشخاص الذين ترغب الهيئات في تتبعهم.
وقدم موقع “واشنطن بوست” تقريرا مفصلا في عام 2023 حول هذه الشركات واصفا إياهم بسماسرة بيانات الموقع، وقد وضح التقرير أن الهيئات الاستخباراتية في الولايات المتحدة وفرنسا والهند كانت من أبرز عملاء هذه الشركات.
لماذا كل هذه الضجة؟
رغم أن جمع بيانات موقع المستخدمين هو أمر شائع بين مجموعة من التطبيقات المتنوعة حول العالم، إلا أن ما تقوم به شركات سماسرة بيانات المستخدمين يعد اختراقا واضحا للخصوصية وخطرا حقيقيا على المستخدمين كما وضح خبير الأمن السيبراني والخصوصية زاك إدواردز في حديثه مع موقع “وايرد”.
إدواردز يصف ما حدث بكونه كابوسا لكل العاملين والمهتمين بالخصوصية حول العالم، وذلك لأن البيانات جمعت بطريقة غير مباشرة وكانت متروكة من دون تأمين سيبراني ملائم مما جعل الوصول إليها أمرا سهلا.
وفي العادة، تطلب التطبيقات صلاحية الوصول إلى بيانات الموقع ومستشعر المواقع من أجل جمع بيانات الموقع، وبشكل افتراضي يكون المستخدم مدركا لهذا الأمر، لكن ما حدث مع “جرافي أناليتكس” مختلف تماما، إذ اعتمدت على شبكات الإعلانات التي تعرض إعلانات في تطبيقات لم تطلب وصولا إلى بيانات الموقع الخاصة بالمستخدم.
ثم خزّنت هذه البيانات وعرضتها للبيع مع أي مشتر يمكنه تقديم الثمن الملائم، ورغم أن “جرافي أناليتكس” لم تكن البائع المباشر لهذه البيانات، إلا أن الشركات التابعة لها كانت جزءا من عملية البيع، وهي الواجهة التي تواصلت مع المستخدمين مباشرة.
وتضمنت البيانات التي تم عرضها مواقع أكثر من عشرات الملايين من الهواتف في الولايات المتحدة وروسيا وأوروبا وبعض دول الشرق الأوسط، كما شملت أسماء التطبيقات التي تم جمع البيانات منها، وهي جميعا تطبيقات معتادة مثبتة في مختلف هواتف المستخدمين.
عدة تطبيقات لا علاقة لها ببيانات الموقع
غالبية التطبيقات التي قامت بجمع بيانات الموقع لا تحتاجها حتى تعمل بشكل جيد، ولكنها كانت تستخدمها لعرض الإعلانات المخصصة لكل منطقة جغرافية، وبحسب النسخة المسربة من البيانات المسروقة، فإن إجمالي عدد التطبيقات المشاركة في هذه الأزمة تخطى 12 ألف تطبيق.
وضمت القائمة تطبيقات شهيرة لها ملايين التحميلات، مثل ألعاب “كاندي كراش” و”تيمبلت ران” (Template Run) و”صب واي سيرفر” (Subway Surfer) و”كول أوف ديوتي” (Call of duty) للهواتف وتطبيق “ماي فيتنس بال” (My Fitness pal) الشهير لتتبع الوجبات الغذائية والتمارين الرياضية و”تمبلر” (Tumblr) وتطبيق البريد الإلكتروني التابع لمنصة “ياهو” وحزمة تطبيقات “مايكروسوفت 365” وتطبيق “صلوات المسلم” (Muslim Prayers) وتطبيقات “في بي إن” عديدة.
بعض التطبيقات وضحت في بيان رسمي أنها لا تتيح للمعلنين لديها الوصول إلى بيانات الموقع، ولكن هذا لا يعني أنها بريئة تماما من هذا الأمر، فمثلا تطبيق “مسلم برو” (Muslim Pro) أحد ضحايا هذه الحادثة شارك سابقا في عملية بيع بيانات الموقع للمستخدمين لإحدى الشركات الأمنية الأميركية.
من يشتري هذه البيانات؟
هناك العديد من الهيئات العالمية التي تدفع الملايين للوصول إلى هذه البيانات، وقد وضح تقرير “وايرد” أن “جرافي أناليتكس” عبر الشركات الفرعية لها قامت ببيع البيانات لهيئات أميركية عديدة مثل الضرائب والهجرة والمباحث الفدرالية والأمن الوطني وغيرها من الهيئات.
ولكن لا تنتهي القائمة هنا، فهناك شركة إسرائيلية لتتبع بيانات الموقع تدعى “باترنز” (زاك إدواردز) شاركت في حادثة مشابهة لهذا الأمر، إذ قامت بجمع بيانات الموقع من تطبيقات عديدة شهيرة مثل “9 جاج” (9GAG) و”كيك” (KiK) و”تروكولر” (Truecaller)، وتجدر الإشارة إلى أن جميع هذه التطبيقات ظهرت أيضا في تسريب البيانات الخاص بشركة “جرافي”.
الخطوة القادمة؟
يصعب التنبؤ بما قد يحدث في المستقبل عقب حدوث هذا التسريب، إذ يتمثل الخطر في أكثر من نقطة، بدءا من جمع الشبكات الإعلانية والشركات لبيانات الموقع وبيعها للهيئات والجهات الحكومية فضلا عن إمكانية اختراق البيانات وسرقتها ثم عرضها للبيع.
كما أنه لا توجد طريقة واضحة لمنع الوصول إلى هذه البيانات، فمن الصعب منع جميع الشبكات الإعلانية على الهواتف فضلا على أن الشركات والتطبيقات لن تغير من سياستها التجارية وآليات الربح في التخلي عن الإعلانات، ناهيك عن أن قائمة التطبيقات المشاركة في التسريب تتضمن العديد من التطبيقات المهمة من الشركات الكبيرة مثل “ياهو” و”مايكروسوفت” وغيرها.
ولكن في الوقت الحالي، أصدرت لجنة التجارة الفدرالية قرارا يمنع شركة “فينتيل” و”جرافي أناليتكس” تحت أي مسمى من بيع بيانات المواقع الحساسة للمستخدمين أو حتى الاحتفاظ بها في قواعد البيانات الخاصة بها، وهو الأمر الذي قد يحد من خطر مثل هذه التسريبات في المستقبل ولكنه لن يكون كافيا لمنعها.
