حذرت مجموعة أبحاث متخصصة في تكنولوجيا وأمن المعلومات من أن أحد تطبيقات لوحات المفاتيح واسعة الانتشار، والذي يضم قاعدة مستخدمين تتجاوز 561 مليون مستخدم، يحوي ثغرة أمنية خطيرة. هذه الثغرة تسمح باستغلال نظام التشفير الخاص بالتطبيق لاعتراض وفك تشفير النصوص التي يدخلها المستخدمون. ونظرًا للانتشار الواسع لهذه التطبيقات، فإنها تصبح هدفًا جذابًا للمخترقين.
أوضح جعفر بدران، الخبير في تكنولوجيا وأمن المعلومات، أن العديد من المستخدمين يلجأون إلى تحميل تطبيقات لوحات مفاتيح غير أساسية للحصول على ميزات إضافية مثل "ثيمات" متنوعة، وخطوط جذابة، ورموز تعبيرية "إيموجي"، وصور متحركة "GIFs"، بالإضافة إلى ميزات التصحيح التلقائي الذكي، والاختصارات الجاهزة، والملصقات، والترجمة. هذه الميزات تجعل هذه التطبيقات خيارًا مغريًا للكثيرين.
وأشار بدران إلى أن رغبة بعض المستخدمين في الخصوصية وسرعة الكتابة تساهم في زيادة الاعتماد على هذه التطبيقات، وذلك لاعتقادهم الخاطئ بأنها توفر لهم خصوصية وسرعة أكبر. كما أن جهل المستخدمين بالمخاطر المحتملة، وعدم الاطلاع على سياسات الخصوصية والصلاحيات المطلوبة، والاعتماد على التقييمات المنشورة وعدد التحميلات فقط دون التحقق، يلعب دورًا كبيرًا في انتشار هذه التطبيقات، بالإضافة إلى فاعلية سياساتها الإعلانية.
كيف تسرق تطبيقات "كيبورد" معلوماتك
أوضح الخبير التقني أن سرقة البيانات عبر هذه التطبيقات تتم من خلال الصلاحيات الواسعة التي تطلبها. فمنح أي تطبيق "كيبورد" صلاحية الوصول الكامل إلى نظام "أندرويد" أو تمكين الخيارات المتقدمة يمنحه إذنًا لقراءة كل ما يقوم المستخدم بكتابته، بما في ذلك كلمات المرور، وأرقام البطاقات الائتمانية، والرسائل الخاصة، وبالتالي إرسال هذه البيانات إلى خوادم التطبيق أو إلى المطورين.
وأضاف بدران أن بعض التطبيقات تراقب الحافظة، وبالتالي في كل مرة يقوم المستخدم بنسخ كلمة مرور أو رقم بطاقة ولصقه، يتيح ذلك للتطبيق قراءة هذه المعلومة.
نقل البيانات للتخزين السحابي
تعتمد بعض تطبيقات "الكيبورد" على المعالجة السحابية لتحسين التنبؤ والاقتراحات، وهذا يعني أن البيانات تُرسل دون تشفير أو عبر خوادم غير مؤمنة، مما يجعلها عرضة للاختراق. وأي طرف ثالث لديه وصول إلى هذه الخوادم يمكنه رؤية المدخلات والاطلاع عليها.
تخزين غير آمن على "السيرفر"
أشار بدران إلى أن بعض الشركات تقوم بتخزين قواعد البيانات دون إعدادات أمان كافية، مثل قواعد بيانات "مونغو دي بي" المكشوفة على الإنترنت. وقد أدى ذلك إلى حالات عديدة من تسريب بيانات المستخدمين بسهولة، كما حدث مع تطبيق "ai.type"، حيث كانت بيانات المستخدمين مكشوفة على "مونغو دي بي" دون حماية بكلمة مرور.
نتيجة لذلك، عثر باحثون على حوالي 577 جيجابايت من البيانات الحساسة المرتبطة بملايين المستخدمين (أكثر من 25 مليون تسجيل)، تحتوي على رسائل بريد إلكتروني، وأرقام هواتف، وجهات اتصال، ومواقع، ورقم الجهاز (IMEI)، وصور، أصبحت متاحة للجميع بسبب خطأ في التكوين.
إعلانات الطرف الثالث "SDKs"
قد يقوم مطورو التطبيقات بدمج مكتبات "SDKs" إعلانية أو تحليلية تجمع بيانات المستخدم وتشاركها مع شركات عالمية قد تستغلها بحجة تحسين الخدمة، وفقًا للخبير في تكنولوجيا وأمن المعلومات.
الثغرات البرمجية واعتراض الشبكة
أوضح بدران أن هذا النوع من التطبيقات والخدمات يتضمن ثغرات تسمح للمخترق على الشبكة بقراءة الضغطات أو الاقتراحات المرسلة للخادم، خاصة إذا لم يكن الاتصال مشفرًا أو كان فيه خلل. وأشار إلى أن معظم هذه التطبيقات لا تحتوي على تشفير، وأن بعضها يحتوي على برمجيات خبيثة تعمل في الخلفية.
وأضاف الخبير أن شركة "جوجل" حظرت تطبيق "Go Keyboard" من متجرها على الرغم من حصوله على أكثر من 200 مليون تحميل، وذلك لجمعه بيانات المستخدمين (رسائل بريد إلكتروني، وموقع، ونوع الجهاز، ونصوص مكتوبة...) وإرسالها إلى "سيرفرات" في الصين دون إذن، قبل أن تكشف شركة "Adguard" تجسسه.
الخطورة على مستوى المستخدمين
تكمن الخطورة على مستوى المستخدمين، وفقًا لبدران، في:
- سرقة الحسابات البنكية وحسابات وسائل التواصل الاجتماعي: كلمات المرور المسروقة تفتح الحسابات وتنسخ رموز الوصول و"الأكسس توكن" والجلسات النشطة.
- الاحتيال المالي والهندسة الاجتماعية باستخدام أرقام ومعلومات شخصية للاحتيال أو انتحال الهوية.
- تسريب محادثات وبيانات حساسة: رسائل خاصة، ورسائل عمل، ووثائق.
- مشكلات الأداء: قد تؤثر تطبيقات "الكيبورد" غير الرسمية على أداء الهاتف وتسبب بطئًا في الاستجابة، مما يقلل من كفاءة الجهاز.
- بيع البيانات: تقوم الشركات بجمع معلومات عن المستخدمين من التطبيقات والمواقع، تشمل اهتماماتهم وسلوكياتهم ونشاطاتهم الرقمية إضافة إلى معلومات شخصية لاستخدامها في الترويج للإعلانات بشكل مباشر أو بيعها لشركات التسويق لاستهداف المستخدمين بشكل دقيق، ما يجعل من الخصوصية معرّضة للخطر، خاصة إذا تمت دون علم أو موافقة المستخدم.
- الابتزاز الإلكتروني: بعض التطبيقات ومنها الخاصة بـ"الكيبورد" تنتشر عبر الإنترنت ووسائل التواصل وحتى إعلانات "جوجل" بطريقة جذابة، لكن خلفها برامج ضارة. وبمجرد تحميل التطبيق/البرنامج ومنحه صلاحيات، يبدأ بالوصول إلى الصور والملفات والتغيير من إعدادات الجهاز، كما أن عددًا منها يحتوي على فيروسات "فدية" تمنعك من الوصول إلى بياناتك إلا مقابل مبالغ كبيرة.
نصائح وتوصيات لتلافي المخاطر
وجه الخبير في تكنولوجيا وأمن المعلومات نصائح لتلافي المشكلات واستخدام لوحات المفاتيح بطريقة آمنة، أبرزها:
- استخدام "الكيبورد" الأصلي للجهاز لأنه آمن وأقل صلاحيات.
- عدم إعطاء أي تطبيق "كيبورد" صلاحية الوصول الكامل إلا إذا كان موثوقًا تمامًا.
- استخدم تطبيقات لحفظ كلمات السر عوضًا عن كتابتها في كل مرة.
- لا تكتب أرقام البطاقات أو كلمات السر من خلال "كيبورد" غير أساسي.
- اقرأ الصلاحيات والأذون قبل التثبيت وتأكّد إلى أين تذهب بياناتك.
- حمّل التطبيقات من المتاجر الرسمية بعد مراجعة تقييمات المستخدمين، مثل: "Google" "Play Store" أو" Apple App Store".
- فعّل التحقق بخطوتين بكل حساب.
- حدّث جهازك وتطبيقاتك بشكل دائم.
- راقب حساباتك وغيّر كلمات المرور بشكل دوري.