قامت مجموعة من القراصنة الساخرين بجمع أكثر من نصف مليون سجل دفع من مزود تطبيقات “التعقب” المحمولة من المستوى الاستهلاكي، مما أدي إلى كشف عناوين البريد الإلكتروني وبعض معلومات الدفع للعملاء الذين دفعوا للتجسس على الآخرين.
تحتوي المعاملات على سجلات مدفوعات لخدمات تتبع الهواتف مثل Geofinder وuMobix، بالإضافة إلى خدمات مثل Peekviewer (المعروفة سابقًا باسم Glassagram)، والتي تدعي أنها تتيح الوصول إلى حسابات إنستغرام خاصة، من بين عدة تطبيقات تتبع ومراقبة مقدمة من نفس البائع، وهي شركة أوكرانية تُدعى Struktura.
تشمل بيانات العملاء أيضًا سجلات المعاملات من Xnspy، وهو تطبيق معروف لمراقبة الهواتف، والذي كشف في عام 2022 عن بيانات خاصة لعشرات الآلاف من هواتف الأشخاص غير المدركين، سواء كانت تعمل بنظام Android أو iPhone.
هذه هي أحدث مثال على تعرض معلومات العملاء للبيع من قبل مزود مراقبة بسبب ثغرات أمنية. على مدى السنوات القليلة الماضية، تم اختراق العشرات من تطبيقات التعقب، أو تمكنت من فقدان أو تسريب أو كشف بيانات خاصة بالأشخاص – وغالبًا ما يكون الضحايا أنفسهم – بفضل ضعف الأمان السيبراني من مشغلي التطبيقات.
اتصل بنا
للتواصل مع زاك ويتيكر بشكل آمن، يمكنك الوصول عبر اسم مستخدم Signal zackwhittaker.1337. للتواصل مع لورينزو فرانشسكي-بيكشيراي بشكل آمن على Signal على الرقم +1 917 257 1382، أو عبر Telegram وKeybase وWire @lorenzofb، أو عبر البريد الإلكتروني.
تطبيقات التعقب مثل uMobix وXnspy، عند زراعتها على هاتف شخص ما، تقوم بتحميل البيانات الخاصة بالضحية، بما في ذلك سجلات المكالمات، والرسائل النصية، والصور، وسجل التصفح، وبيانات الموقع الدقيقة، والتي يتم مشاركتها بعد ذلك مع الشخص الذي زرع التطبيق.
لقد تم تسويق تطبيقات مثل uMobix وXnspy صراحةً لخدمات التجسس على الأزواج والشركاء، وهو أمر غير قانوني.
تضمنت البيانات، التي رآها TechCrunch، حوالي 536,000 سجل لعنوان بريد إلكتروني للعميل، وما إذا كان العميل قد دفع من أجل أي تطبيق أو علامة تجارية، وكم دفع، ونوع بطاقة الدفع (مثل Visa أو Mastercard)، وأخر أربعة أرقام على البطاقة. لم تتضمن سجلات العملاء تواريخ المدفوعات.
أكد TechCrunch أن البيانات حقيقية من خلال أخذ عدة سجلات معاملات تحتوي على عناوين بريد إلكتروني مؤقتة مع صناديق بريد عامة، مثل Mailinator، وإدخالها في بوابات استعادة كلمة المرور المختلفة المقدمة من خلال التطبيقات. من خلال إعادة تعيين كلمات المرور على الحسابات المرتبطة بعناوين البريد العامة، تأكدنا من أن هذه كانت حسابات حقيقية.
كما تحققنا من البيانات من خلال مطابقة رقم الفاتورة الفريد لكل معاملة من مجموعة البيانات المسربة مع صفحات الدفع لمزود المراقبة. يمكننا القيام بذلك لأن صفحة الدفع سمحت لنا باسترجاع نفس بيانات العملاء والمعاملات من الخادم دون الحاجة إلى كلمة مرور.
صرح القراصنة الساخرون، الذين يعرفون باسم “wikkid”، لـ TechCrunch بأنهم جمعوا البيانات من مزود التعقب بفضل عطل “بسيط” في موقعه. قال القراصنة أنهم “يستمتعون باستهداف التطبيقات التي تستخدم للتجسس على الناس”، ونشروا البيانات المسروقة بعد ذلك على منتدى هكر معروف.
تدرج قائمة المنتدى الهاكر مزود المراقبة باسم Ersten Group، الذي يقدم نفسه كنجاح ناشئ في تطوير البرمجيات يتواجد في المملكة المتحدة.
وجد TechCrunch عدة عناوين بريد إلكتروني في مجموعة البيانات المستخدمة للاختبار ودعم العملاء التي تشير إلى Struktura، وهي شركة أوكرانية لها موقع ويب مماثل لـ Ersten Group. احتوى أو سجل في مجموعة البيانات على عنوان البريد الإلكتروني للمدير التنفيذي لشركة Struktura، فيكتوريا زوسي، لمعاملة بقيمة 1 دولار.
لم تستجب ممثلو Ersten Group لطلبنا بالتعليق. لم تُعد زوسي من Struktura طلب التعليق.