تسريب Kibana الخاص بـ FTF Live يكشف عن 22 مليون جلسة دردشة مرئية
تركت لوحة تحليلات مُهيَّأة بشكل خاطئ مرتبطة بـ FTF Live، وهي منصة دردشة مرئية عشوائية تُسوّق نفسها على أنها طريقة مجهولة الهوية للتعرف على الغرباء عبر الإنترنت، أكثر من 22 مليون سجل جلسة متاحًا بشكل مفتوح لأي شخص يعرف أين يبحث. اكتشف الباحثون لوحة Kibana المكشوفة التي احتوت ليس فقط على بيانات الجلسات الخام، بل على ما يقارب 3.47 مليون إدخال مرتبطة بأسماء مستخدمين أو معرفات مرتبطة بالبريد الإلكتروني. بالنسبة لمنصة مبنية على وعد إخفاء الهوية، يُعدّ هذا الكشف عن بيانات منصة الدردشة المرئية المجهولة الهوية تناقضًا صارخًا.
ما الذي كشفته FTF Live وكيف وقع الخطأ في التهيئة
Kibana هي أداة لتصوير البيانات وتحليلها، تُستخدم عادةً جنبًا إلى جنب مع قواعد بيانات Elasticsearch. عند تأمينها بشكل صحيح، تقع خلف ضوابط المصادقة ولا تكون متاحة للإنترنت العام أبدًا. في حالة FTF Live، وجد الباحثون اللوحة مفتوحة تمامًا دون الحاجة إلى تسجيل دخول.
غطّت السجلات المكشوفة أكثر من 22 مليون جلسة دردشة. وبينما احتوت كثير من السجلات على بيانات وصفية تقنية فحسب، تضمّنت نحو 3.47 مليون منها معلومات تعريفية: أسماء مستخدمين وحقول مرتبطة بالبريد الإلكتروني يمكن استخدامها لتتبع أفراد حقيقيين. إن الخطأ في التهيئة بحد ذاته سهل الوقاية منه لكنه شائع بشكل مثير للدهشة. يترك المطورون أحيانًا لوحات التحكم غير مؤمّنة أثناء الاختبار وينسون قفلها قبل الإطلاق الرسمي، أو يُهيّئون ضوابط الوصول بشكل خاطئ في عمليات النشر السحابية دون أن يدركوا أن اللوحة قابلة للوصول من الجمهور.
هذا النوع من الأخطاء ليس حكرًا على FTF Live. خطأ مماثل في التهيئة وقع في Reqrea، وهي شركة تكنولوجيا ضيافة يابانية، ترك أكثر من مليون وثيقة هوية بما فيها صور جوازات سفر مكشوفة في حاوية تخزين سحابية، ربما لسنوات. القاسم المشترك هو البنية التحتية التي تُترك مفتوحة باستهتار مع بيانات مستخدمين حقيقية بداخلها.
لماذا منصات الدردشة "المجهولة الهوية" ليست خاصة بطبيعتها
غالبًا ما تشير كلمة "مجهول الهوية" في تسويق المنصة إلى التجربة الاجتماعية، أي أنك لا تحتاج إلى معرفة اسم الشخص الآخر وهو لا يحتاج إلى معرفة اسمك. وهي لا تصف بالضرورة كيفية تعامل المنصة مع بياناتك على الجانب الخلفي.
للعمل، يجب على أي منصة دردشة مرئية تقريبًا جمع بعض البيانات التقنية: عناوين IP لتوجيه الاتصالات، ومعرفات الجلسة لمطابقة المستخدمين، وسجلات التحليلات لفهم استخدام المنتج. من الواضح أن FTF Live جمعت أكثر بكثير من مجرد بيانات وصفية للاتصالات. وجود معرفات مرتبطة بالبريد الإلكتروني في 3.47 مليون سجل يشير إلى أن نسبة كبيرة من المستخدمين إما سجّلوا حسابات أو تفاعلوا مع المنصة بطرق أنتجت سجلات دائمة وقابلة للتعريف.
تُعدّ الفجوة بين وعد "إخفاء الهوية" وواقع جمع البيانات الكامن من أهم الأشياء التي يمكن للمستخدمين استيعابها من هذه الحادثة. إخفاء الهوية على الواجهة الأمامية لا يضمن الخصوصية على الجانب الخلفي.
من هم المعرضون للخطر وما الذي تكشفه المعرفات المسرَّبة
تمثّل الـ 3.47 مليون سجل تقريبًا التي تحتوي على أسماء مستخدمين أو معرفات مرتبطة بالبريد الإلكتروني الجزء الأكثر خطورة في هذا الكشف. في حين أن سجل الجلسة بدون معرفات يُعدّ في معظمه ضجيجًا تقنيًا، يمكن للسجلات المرتبطة بعنوان بريد إلكتروني أو اسم مستخدم أن تُتقاطَع مع مصادر بيانات أخرى. يمكن للمهاجمين الذين حصلوا على هذه البيانات محاولة ربطها ببيانات اعتماد من اختراقات أخرى، أو استخدامها في حملات تصيد احتيالي، أو ببساطة بناء ملفات تعريف للأفراد الذين يرتادون منصة قد يفضّلون إبقاءها طيّ الكتمان.
بالنسبة لبعض المستخدمين، قد تكون المخاطر المتعلقة بالسمعة أو الحياة الشخصية جراء التعرف عليهم كمستخدمين لمنصة دردشة مرئية عشوائية بالغة الأهمية. تستقطب هذه المنصات جمهورًا واسعًا، وأي كشف لأنماط الاستخدام قد يكون محرجًا أو ضارًا تبعًا للظروف الشخصية.
يهمّ الحجم أيضًا. اثنان وعشرون مليون جلسة ليست مجموعة بيانات اختبار صغيرة. إنها تمثّل نشاطًا حقيقيًا ومستمرًا للمنصة، مما يعني أن هذا الكشف لم يكن لقطة لحظية واحدة بل نافذة على ما قد يكون أشهرًا من سلوك المستخدمين. تُبيّن خروقات البيانات التي تطال فئات كبيرة من السكان، كخرق ADT الذي كشف 10 ملايين سجل، مدى السرعة التي تتحوّل بها البيانات المكشوفة على نطاق واسع إلى أداة للاحتيال والهجمات الموجّهة.
كيف تحمي نفسك عند استخدام خدمات الدردشة المرئية العشوائية
تُعدّ حادثة FTF Live تذكيرًا مفيدًا بأن المستخدمين يملكون رؤية محدودة لكيفية تعامل أي منصة مع بياناتهم. غير أن هناك خطوات عملية يمكنها تقليل تعرضك.
استخدم VPN قبل الاتصال. يُخفي الـ VPN عنوان IP الحقيقي الخاص بك، وهو أحد أكثر البيانات تسجيلًا باستمرار على أي منصة دردشة. حتى لو سرّبت منصة ما سجلات جلساتها، سيشير عنوان IP الخاص بك إلى خادم الـ VPN بدلًا من شبكتك المنزلية أو موقعك.
تجنّب تسجيل حسابات على منصات الدردشة المجهولة الهوية. إذا أنشأت حسابًا بعنوان بريدك الإلكتروني الحقيقي، فأنت تُدخل معرِّفًا يمكن أن يبقى حتى في جلسة تحافظ على الخصوصية. التصفّح كضيف أو استخدام عنوان بريد إلكتروني مؤقت يُقلّل من البيانات المتاحة في حال وقوع كشف.
ابحث عن المنصات قبل استخدامها. ابحث عن سياسات خصوصية تصف بوضوح البيانات المجمَّعة ومدة الاحتفاظ بها. المنصات ذات التوثيق الغامض أو الغائب للخصوصية تنطوي على مخاطر أعلى.
افترض أن جلستك مُسجَّلة. حتى على المنصات التي تدّعي إخفاء الهوية، تعامل مع كل جلسة باعتبارها مُسجَّلة أو مخزَّنة من المحتمل. لا تشارك معلومات لا ترغب في ربطها بك.
تعكس قضية FTF Live نمطًا أوسع: المنصات المبنية للتفاعل الاجتماعي العرضي غير الرسمي كثيرًا ما تحظى باهتمام أمني أقل صرامة مقارنةً بتطبيقات المالية أو الصحة، حتى حين تتعامل مع بيانات يتوقع المستخدمون بشكل معقول أن تظل خاصة. البنية التحتية المُهيَّأة بشكل خاطئ هي إحدى أكثر فئات كشف البيانات قابلية للوقاية، مما يجعل حوادث كهذه محبطة بشكل خاص.
إذا كنت تستخدم خدمات الدردشة المرئية العشوائية بانتظام، فهذا وقت مناسب لمراجعة المنصات التي تثق بها، والحسابات التي أنشأتها، وما إذا كان الـ VPN جزءًا من روتينك عند الاتصال بالخدمات غير الموثوقة. إخفاء الهوية الذي تُعلن عنه هذه المنصات لا يكون موثوقًا إلا بقدر موثوقية الممارسات الأمنية التي تعمل خلف الكواليس.
