ثغرة خطيرة تمكن التطبيق من الاستماع إلى محادثات المستخدمين بعد الاجتماعات
صحيح أن تطبيق زووم، الذي اشتهر خلال فترة كورونا، بسبب الحجر المنزلي، ساعد سكان العالم على مواكبة عملهم بفضل محادثات الفيديو المرئية وتسهيل دخولهم في اجتماعات عن بعد. إلا أنه في السنة الماضية عرف التطبيق مشاكل بسبب مشاركة بيانات المستخدمين مع جهات أخرى ودفع 85 مليون دولار لتسوية دعوى قضائية بهذا الخصوص. وخلال هذه السنة لا تزال هذه المشاكل الأمنية تلاحق التطبيق بعدما اكتشف عدد من المستخدمين ثغرة خطيرة تمكن المجتمعين فيه من الاستماع إلى محادثاتهم حتى بعد إنهاء اجتماعاتهم.
سهيلة التاور
بعد أن تم الكشف عن مشاكل أمنية وفضائح عدّة، السنة الماضية، حيث كانت أول مشكلة اعترضت التطبيق هي فضيحة مشاركته بيانات المستخدمين مع شبكة التواصل الاجتماعي «فيسبوك»، حتى إن لم يكن المستخدم يملك حساباً على تلك المنصة. ولاقت تلك المشكلة استهجاناً كبيراً بين المستخدمين، لذلك اضطُّرت الشركة المسؤولة عن التطبيق إلى إطلاق تحديث عاجل لحلّها واستعادة ثقة الأفراد المستخدمين.
ولكن ما إن حُلت هذه العقدة حتى ظهرت مشكلة جديدة في التطبيق، ألا وهي، للأسف، وجود ثغرة أمنية في محادثات المستخدمين تؤدي إلى سحب بعض البيانات عن طريق إرسال رابط في خدمة الرسائل الموجودة ضمن Zoom. وللأسف نُشرت هذه الثغرة حالياً وشُرحت تفاصيلها بالكامل، وبإمكان المخترق حالياً النفاذ عبرها حتى إن كان يمتلك خبرة بسيطة بالاختراقات. أما المشكلة الكبرى فهي أن تلك الثغرة يعاني منها فقط مستخدمو التطبيق على الأجهزة التي تستخدم نظام الويندوز (windows) حصرا. لذلك، إن كان المستخدم مضطرا لاستخدام «زووم»، يجب ألا يضغط على أي رابط يأتيه في خدمة الرسائل المرتبطة بالتطبيق وعليه الاكتفاء فقط بالاستفادة من الخدمة الأساسية وهي الاجتماعات أو بإمكانه استخدام التطبيق على الأنظمة الأخرى أو استخدام الخدمة على الهواتف الذكية إلى حين إصدار تحديث لحل هذه المشكلة.
وللأسف هناك مشكلة أخرى يعاني منها التطبيق، تتعلق بتشفير بياناته، فالشركة المالكة له تستطيع الاطّلاع على كل الاجتماعات المرئية والصوتية على حد سواء، إذ باتت بيانات كل الشركات التي استخدمته حول العالم متاحة لملاك التطبيق. وتستطيع الشركة الاطلاع على كل المعلومات والبيانات التي جرى نقاشها خلال الاجتماعات. لذلك، يجدر بالشركات والمؤسسات الأمنية والحساسة تجنب استخدام التطبيق بشكل كامل والاعتماد على بدائل له، علما أنها كثيرة وموثوقة مثل تطبيق «مايكروسوفت تيمز» وخدمة «سكايب» إلى جانب خدمة المكالمات الجماعية الخاصة بأجهزة «أبل»، ألا وهي «فيس تايم» التي تنحصر للأسف في مستخدمي منتجات «أبل» فقط سواء الأيفون أو الأيبود أو الأيباد.
ويواجه التطبيق، في ما يخص محادثات الفيديو والاجتماعات المرئية، مشكلة أخرى تتعلق بالخصوصية أخطر من سابقاتها. فقد اشتكى العديد من مستخدمي التطبيق من أن ميكروفونات حواسيبهم «ماك» تظل مشغلة ونشطة حتى بعد مكالماتهم واجتماعاتهم.
دعاوى قضائية
في الولايات المتحدة، تواجه شركة “زووم” دعوى قضائية من قبل أحد مساهميها بعد الكشف عن ثغرات أمنية أثرت في قيمة أسهمها السوقية، حيث رفع مايكل دريو دعوى ضد الشركة، متهما إياها بالمبالغة في تقدير معايير الخصوصية وعدم الكشف عن غياب ميزة التشفير “من طرف إلى طرف” عن خدماتها. ففي إحدى محاكم كاليفورنيا، دفع دريو بأن التقارير التي سلطت الضوء أخيرا على عيوب الخصوصية في التطبيق أدت إلى انخفاض أسهم الشركة.
أتى ذلك على خلفية تحذير عدد من الباحثين الكنديين من توجيه عدد من المكالمات عبر “زووم” في أمريكا الشمالية من الصين، وهو ما أقرته الشركة، وعللته بحدوث خطأ تم إصلاحه، وإن أسفر ذلك عن تراجع أسهم الشركة بنحو 7.5% عند 113.75 دولارا، لتفقد ما يقرب من ثلث قيمتها السوقية، بعد أن وصلت إلى مستويات قياسية أواخر مارس 2020.
وأرسلت المدعية العامة في نيويورك ليتيتيا جيمس رسالة إلى شركة “زووم” تُشكك فيها من قدرة الشركة على حماية المستخدمين من قرصنة كاميرات الهواتف وأجهزة الكمبيوتر المحمول الخاصة بالمستخدمين. وأوضحت عدم كفاية الإجراءات الأمنية الحالية بما يتواكب مع الطلب المتزايد على الخدمة. كما حذر مكتب التحقيقات الفيدرالي من قرصنة خدمات الاتصال المرئي عبر تطبيق “زووم”. وفي سياق متصل، منعت بعض المدارس، والشركات، والمؤسسات الكبرى استخدام تطبيق “زووم”، وإن كان أبرزها: جوجل، وناسا، وسبيس إكس، وتسلا، ومجلس الشيوخ الأمريكي.
Zoom ممنوعة في بعض الدول
حظرت ألمانيا استخدام زووم. كما منعت أستراليا قوات الدفاع والنواب من استخدام خدمات التطبيق. وفي تايوان، طلب مجلس الوزراء التايواني من الوكالات الحكومية التوقف عن استخدام التطبيق. أما في ماليزيا، فحذرت الوكالة الوطنية للأمن السيبراني Nacsa والمركز الوطني للتنسيق والقيادة السيبرانية NC4 من استخدام “زووم”، بفعل ما يقوضه من ثغرات أمنية تسمح للقراصنة بالوصول إلى محادثات المستخدمين الخاصة، وخلوه من خاصية التشفير من طرف إلى طرف.
وفي الهند، حظرت البورصة الرائدة NSE التداول عبر تطبيق “زووم”، وذلك على خلفية تزايد التهديدات السيبرانية الناجمة عنه. وأضافت أنه إذا كان من الضروري للغاية مناقشة الاجتماعات الرسمية، فيجب اتخاذ احتياطات كافية لتجنب تسريب أي معلومات شخصية أو تفاصيل ذات طبيعة حساسة. كما طلبت الهيئة الاستشارية من ممثلي الحكومة تجنب استخدام منصة “زووم” في الأغراض الرسمية، مشيرة إلى أنها غير آمنة.
كيفية حماية تطبيق زووم
1ـ لا تقم بمشاركة بيانات حسابك في زووم أبدا.
2ـ قم بتغيير معرف الاجتماع (Meeting ID)، فعند إنشاء اجتماع على تطبيق زووم فإنه يتطلب من المستخدم إدخال معرف لهذا الاجتماع، وقد يكون استخدام معرف واحد لجميع الاجتماعات الخاصة به مفيدا في حال كان يجتمع مع نفس الأشخاص يوميا، ومع ذلك فإن تغيير الـ ID الخاص باجتماعاته يوميا قد يزيد من حماية بياناتك وخصوصيتك لذا احرص على إنشاء معرف جديد لكل اجتماع تقوم بإنشائه على زووم.
3ـ قم بتعيين كلمة مرور للاجتماعات يدويا.
4ـ قم بتعطيل خاصية تعقب الانتباه (Attention Tracking)، وذلك من خلال الدخول إلى موقع زووم من خلال المتصفح على الكمبيوتر قم بتسجيل الدخول، ثم النقر على أيقونة حسابك أعلى يمين الشاشة ثم قم باختيار شخصي Personal ثم الإعدادات Settings، من خلال الخيارات الموجودة أمامك قم بالضغط على الاجتماع Meeting ثم في الاجتماع In Meeting، قم بالتمرير لأسفل وابحث عن تتبع الانتباه Attention tracking وقم بإلغاء تفعيلها ثم انقر على حفظ Save.
5- قم بطلب الإذن من أجل تسجيل الاجتماعات، وذلك من خلال
الدخول إلى حسابك على زووم عبر إصدار سطح المكتب على الكمبيوتر. بعد ذلك قم بالنقر على أيقونة حسابك أعلى اليمين وقم باختيار شخصي Personal ثم الإعدادات Settings. ثم قم بإلغاء تفعيل خاصية التسجيل المحلي Local recording، وذلك من أجل منع المستخدمين من التسجيل. ثم قم بتفعيل Recording disclaimer من الأسفل وقم بتحديد الخيارين أسفلها كما هو موضح بالصورة في الأعلى.
6- لا تنخدع بتطبيق زووم المزيف
7ـ تشغيل غرفة الانتظار Waiting Room.
8- استخدام نسخة الويب من زووم أكثر أمانا.
Zoom ترد
قال متحدث باسم «زووم»، في بيان رسمي، إنها حلت المشكلة من خلال تحديث «5.9.3» من التطييق الخاص بحواسيب «ماك»، مؤكدا أنه يمنع من ظهور ضوء المؤشر البرتقالي بعد مغادرة الاجتماع أو مكالمة أو ندوة عبر الإنترنت.
ونصح المتحدث الرسمي المستخدمين بتحديث تطبيقهم لإصلاح الثغرة الأمنية وتمكين التحديثات التلقائية للإصدارات المستقبلية من التطبيق.
وسابقا، قال إريك يوان- (الرئيس التنفيذي للشركة): «إن دعم هذا التدفق الرهيب للمستخدمين مهمة هائلة، وقد كان شغلنا الشاغل. سعينا جاهدين لتقديم خدمة جيدة وسهلة التشغيل عبر منصة عرض الفيديو المفضلة للشركات حول العالم، مع ضمان أمان وخصوصية النظام الأساسي. ولكننا أدركنا أننا لم نتمكن من تحقيق توقعات الخصوصية والأمان للمجتمع. لذلك، أنا آسف للغاية».
وأشار يوان إلى أن الشركة عندما صممت “زووم” لم تكن تتوقع أن يعمل، ويدرس، ويتواصل الجميع من المنزل فجأة. وقال إن الشركة تُجري مراجعة لأنظمتها الداخلية “لضمان الأمن”. وعليه، ولتسهيل الوصول إلى أدوات الخصوصية، أرسل “زووم” تحديثا جديدا مرفقا معه قائمة أمنية جديدة، بحيث تظهر أيقونة أمنية مخصصة في أسفل الشاشة، يمكن للمستخدمين من خلالها الوصول إلى مختلف مميزات الأمان الخاصة بالتطبيق.
ونفى يوان إمكانية التجسس على الاجتماعات التي تجري من خلال التطبيق، قائلًا: “الاتصال آمن، لكن تأكد من تفعيل كلمة السر، حتى لا يستطيع الآخرون التجسس على الاجتماع”. وأضاف: “يجب أن تحرص على تفعيل خاصية غرفة الاجتماع. كل خواص الأمان متوفرة، لكن علينا أن نركز على تعليم كيفية تفعيل هذه الإعدادات للمستخدمين الجدد”. وهو ما أتى على خلفية تعدد التحذيرات من ثغرات “زووم”، التي كان منها التقرير الحديث الصادر عن مجلة “ماذر بورد” الذي أكد أنّ تطبيق “زووم” ينتهك خصوصية المستخدمين، وأنّ نسخة التطبيق الخاصة بنظام IOS تشارك معلومات المستخدم مع شركة فيسبوك، حتى وإن كان لا يمتلك حسابًا بها. وتشمل تلك البيانات: نوع الجهاز ومواصفاته، وشبكة الاتصالات، والمنطقة الزمنية، والمدينة، وغير ذلك. وبعد تداول الأنباء عن الثغرة والكشف عنها، أعلنت شركة “زووم” أنها أصدرت تحديثا لتطبيقها الخاص للحيلولة دون ذلك كما سبق القول.
وفي المقابل، أكدت شركة “زووم” أنها عملت على تجميد عمليات تطوير الميزات بغرض تعبئة وتوجيه الموارد الهندسية كافة إلى التركيز على متطلبات السلامة، والخصوصية، وحماية المستخدمين. حيث أعلنت، في أوائل أبريل من السنة الماضية، عن وقف تطوير المنتجات للتركيز على الأمان والخصوصية.
واستعانت الشركة بخبرة “ألكس ستاموس- Alex Stamos ” الذي عمل رئيسا للأمن في شركة فيس بوك – لحل مشكلات الخصوصية والأمان. وعليه، كتب ستاموس، في منشور له: “لدى زووم بعض المهام التي يتعين القيام بها لضمان أمن التطبيق والبنية التحتية وتصميم التشفير. وأنا أتطلع إلى العمل مع زووم على ذلك”. كما تخطط الشركة لإتاحة التشفير الشامل على النظام الأساسي لاجتماعات الفيديو، والذي لا ينطبق إلا على المحادثات النصية حتى الآن.
بالإضافة إلى ذلك، في العام الماضي، وافقت Zoom على دفع 85 مليون دولار لتسوية دعوى قضائية تتهمها بانتهاك الخصوصية والسماح للمتصيدين بالدخول في محادثات الناس في ممارسة تسمى Zoombombing.
نافذة
اشتكى العديد من مستخدمي تطبيق زووم من أن ميكروفونات حواسيبهم «ماك» تظل مشغلة ونشطة حتى بعد مكالماتهم واجتماعاتهم
