كشف باحثون من جامعة جراتس للتكنولوجيا في النمسا عن ثغرات أمنية في تطبيقات نقل البيانات المستخدمة عند الانتقال من هاتف أندرويد إلى آخر، شملت أدوات توفرها 7 شركات كبرى، هي جوجل وسامسونج وشاومي وأوبو وفيفو وهواوي وهونر.
وحذر الباحثون من إمكانية استغلال بعض هذه الثغرات من دون الوصول المادي إلى الهاتف، إذ قد يتمكن المهاجم من اعتراض البيانات إذا كان قريبًا من نطاق الاتصال اللاسلكي المستخدم أثناء عملية النقل، وشملت المعلومات التي أمكن الوصول إليها خلال الاختبارات رسائل وصورًا وجهات اتصال وكلمات مرور وبيانات صحية، وفقًا لنتائج الدراسة.
تعتمد تطبيقات نقل البيانات، المعروفة أيضًا باسم تطبيقات استنساخ الهواتف، على إنشاء اتصال لاسلكي مباشر بين الجهاز القديم والجديد لنقل الملفات والمعلومات الشخصية، دون الحاجة بالضرورة إلى خوادم خارجية، ورغم أن هذه الطريقة توفر الوقت وتسهل إعداد الهاتف الجديد، فإن الدراسة أظهرت أن الاتصال المباشر لا يضمن وحده حماية المعلومات المتبادلة، خاصة عند وجود ثغرات في آليات تأمين الاتصال والتحقق من البيانات المنقولة.
وأوضح الباحثون أن بعض الهجمات يمكن تنفيذها من خلال وجود المهاجم بالقرب من الهاتفين أثناء عملية النقل، دون الحاجة إلى الإمساك بأي منهما أو الوصول المباشر إلى محتوياتهما.
شمل الفحص الذي أجراه الفريق البحثي 7 تطبيقات تابعة لشركات مصنعة لهواتف أندرويد، واكتشف نقاط ضعف أمنية في جميع الأدوات التي خضعت للاختبار، وتضمنت التطبيقات التي تناولتها الدراسة:
1. Android Switch: تطبيق نقل البيانات من جوجل.
2. Smart Switch: أداة سامسونج لنقل المعلومات.
3. Mi Mover: تطبيق شاومي لنقل البيانات.
4. Clone Phone: أداة أوبو لنقل محتويات الهواتف.
5. EasyShare: تطبيق فيفو لنقل الملفات والبيانات.
6. Phone Clone: أداة هواوي للانتقال إلى هاتف جديد.
7. Device Clone: تطبيق هونر لنقل محتويات الأجهزة.
أظهرت التجارب التي أجراها الباحثون إمكانية تنفيذ عمليات اعتراض للبيانات من مسافات تراوحت بين 20 و45 مترًا داخل المباني، وفقًا للنتائج الواردة في الدراسة، وقد تسمح هذه المسافة، في ظروف الاختبار، لشخص موجود في غرفة مجاورة أو متجر قريب بمحاولة استغلال الثغرات أثناء نقل البيانات، من دون أن يلاحظ المستخدم وجوده.
ولفت البحث إلى أن تنفيذ الهجمات التجريبية لم يتطلب معدات باهظة الثمن، إذ استخدم الفريق تجهيزات تقل تكلفتها عن 100 يورو، ما يشير إلى أن بعض الهجمات لا تستلزم موارد تقنية أو مالية كبيرة، لكن هذه النتائج لا تعني أن كل عملية نقل بيانات معرضة للاختراق تلقائيًا، إذ يتوقف الاستغلال الفعلي على طبيعة الثغرة وظروف الاتصال وإصدار التطبيق المستخدم.
لم تقتصر المخاطر التي رصدها الباحثون على الملفات العادية، بل شملت معلومات شخصية أكثر حساسية أمكن الوصول إليها خلال الاختبارات، من بينها:
1. الرسائل النصية وسجلات المكالمات.
2. جهات الاتصال والصور المخزنة على الهاتف.
3. البيانات الصحية المحفوظة على الجهاز.
4. كلمات مرور بعض التطبيقات.
5. بيانات الاتصال بشبكات الواي فاي المحفوظة.
وكشف البحث أيضًا عن إمكانية حقن برمجيات خبيثة في بعض الحالات أثناء عملية نقل البيانات، من خلال التلاعب بحزم التطبيقات المنقولة، وهو ما قد يعرّض الهاتف الجديد للخطر في مرحلة الإعداد الأولى، وحذر الفريق من أن متاجر الهواتف ومراكز بيع الأجهزة الإلكترونية قد تكون بيئات تستدعي مزيدًا من الحذر، نظرًا إلى تكرار عمليات نقل البيانات فيها وتقارب الأجهزة والمستخدمين.
أشار الباحثون إلى أن التطبيقات السبعة تجاوز مجموع مرات تنزيلها 12 مليار مرة، إلى جانب تثبيت عدد منها مسبقًا على هواتف أندرويد، ويعكس هذا الرقم اتساع انتشار الأدوات التي شملها البحث، لكنه لا يعني أن هذا العدد من المستخدمين تعرض للاختراق، أو أن جميع الأجهزة التي تستخدم هذه التطبيقات لا تزال معرضة للثغرات نفسها.
وجاءت النتائج ضمن بحث عُرض في المؤتمر الأوروبي لأبحاث أمن الحاسوب والمعلومات في روما، وصُنفت خمس من الثغرات المكتشفة باعتبارها مرتفعة الخطورة.
وفقًا للمعلومات الواردة في الدراسة، أبلغ الباحثون الشركات السبع بالثغرات قبل الإعلان عنها، ضمن إجراءات الإفصاح المسؤول، التي تمنح الشركات فرصة لمعالجة المشكلات الأمنية قبل نشر تفاصيلها، وأكد الفريق أن الشركات المعنية أصدرت تحديثات أمنية لمعالجة الثغرات المكتشفة. ولذلك، لا تعني نتائج البحث بالضرورة أن الإصدارات الحالية من جميع التطبيقات ما زالت قابلة للاستغلال، إذ يعتمد مستوى الحماية على تثبيت التحديثات المناسبة.
لتقليل مخاطر سرقة البيانات عند الانتقال إلى هاتف جديد، ينصح باتباع الخطوات التالية:
1. تحديث الهاتفين: ثبّت أحدث تحديثات نظام التشغيل والتطبيقات على الجهاز القديم والجديد قبل بدء النقل.
2. تحديث تطبيق نقل البيانات: تأكد من استخدام أحدث إصدار متاح من أداة النقل الرسمية.
3. تجنب نقل البيانات في الأماكن العامة المزدحمة: اختر مكانًا مناسبًا، وقلل بقدر الإمكان من تنفيذ عملية النقل في بيئات لا يمكنك فيها التحكم في الأجهزة القريبة.
4. عدم تثبيت تطبيقات غير موثوقة: استخدم الأدوات الرسمية، وتجنب التطبيقات التي تطلب أذونات غير مبررة.
5. التحقق من التحديثات بعد إعداد الهاتف: راجع تحديثات النظام والتطبيقات بعد اكتمال النقل، خاصة إذا كان الجهاز جديدًا أو لم يُحدّث منذ فترة.
وتؤكد الدراسة أن تطبيقات نقل البيانات، رغم سهولة استخدامها وانتشارها، تحتاج إلى تحديث مستمر لضمان حماية المعلومات الشخصية، لذلك، فإن تحديث الجهازين قبل نقل البيانات يُعد خطوة أساسية لتقليل المخاطر الأمنية عند تغيير الهاتف.
