وبحسب تحقيق نشرته مجلة "WIRED"، اختبر الباحثان الأمنيان فانغيليس ستيكاس وفيليبي سولفيريني أكثر من 70 ساعة وجهاز تتبع يعمل بنظام GPS، واكتشفا أن عشرات العلامات التجارية المختلفة تعتمد في الواقع على عدد محدود من المنصات الخلفية التي تعاني ثغرات أمنية.
Advertisement
ولإظهار خطورة المشكلة عملياً، ارتدى صحافي في WIRED ساعة ذكية للأطفال لا يتجاوز سعرها 30 دولاراً، صنعتها شركة YiQingTeng Electronics الصينية وتعمل عبر منصة SETracker.
وتمكن الباحث ستيكاس من مراقبة تحركات الصحافي أثناء توجهه من منزله إلى مقر عمله في نيويورك. وحتى عندما لم تعمل ميزة GPS بالشكل المطلوب، استطاعت الساعة التقاط معلومات عن شبكات Wi-Fi القريبة وإرسالها إلى خادم بعيد، ما سمح بتحديد موقعه أثناء تحركه.
ولم يتوقف الأمر عند التعقب، إذ تمكن الباحثون من السيطرة عن بُعد على كاميرا الساعة والتقاط صور للصحافي داخل المصعد وفي مكتبه، كما تمكنوا من تشغيل الميكروفون والاستماع إلى محادثة كانت تجري بالقرب منه.
والأخطر أن الساعة لم تعرض أي إشارة أو تنبيه يفيد بأن الكاميرا أو الميكروفون يعملان أو أن الجهاز تعرض للاختراق.
المشكلة أكبر من ساعة واحدة
ووجد الباحثان أن القضية لا تقتصر على الجهاز الذي اختبرته WIRED. فبعد تحليل سلسلة التوريد لأكثر من 70 جهازاً، تبين أن عشرات الساعات وأجهزة تتبع الأطفال والسيارات تعتمد على ثلاث منصات رئيسية هي SETracker وSinoTrack وNewGPS2012.
ووفق الباحثين، ترتبط بهذه المنصات عشرات الملايين من أجهزة التتبع، فيما تضمنت الثغرات التي اكتُشفت مشكلات خطيرة وصلت في بعض الحالات إلى غياب آليات المصادقة المناسبة.
وقد تسمح نقاط الضعف، بحسب نوع الجهاز والمنصة، للمهاجم بتعقب الموقع، أو تزوير بياناته، أو اعتراض الرسائل النصية والصوتية والتلاعب بها، أو تغيير أرقام الاتصال المخصصة للطوارئ، إضافة إلى تشغيل الميكروفون سراً والتقاط الصور ومقاطع الفيديو في الأجهزة المزودة بكاميرا.
كذلك، اكتشف الباحثون ثغرات على مستوى الخوادم يمكن أن تكشف بيانات المستخدمين، وفي بعض الحالات تسمح بتنفيذ أوامر على الخوادم نفسها. وفي منصة SinoTrack، قال الباحثون إن ثغرة من نوع SQL Injection أتاحت الوصول إلى بيانات تتعلق بمواقع عشرات آلاف الأجهزة وكلمات المرور وسجلات المركبات.
وقال الباحثون إنهم أبلغوا الشركات المسؤولة عن المنصات بالثغرات قبل أشهر. وأبلغ ممثل عن SETracker مجلة WIRED بأن المشكلات عولجت، ولاحقاً توقفت بعض أساليب الاختراق التي استخدمها الباحثون عن العمل، لكنهما لم يتمكنا بعد من التأكد من إصلاح جميع الثغرات.
أما SinoTrack وNewGPS2012 فلم تردا على طلبات WIRED للتعليق، وبحسب الباحثين، بقيت بعض طرق الاختراق فعالة وقت نشر التحقيق.
ويعيد التحقيق تسليط الضوء على المخاطر الأمنية المرتبطة بالساعات الرخيصة المخصصة للأطفال، إذ قد يشتري المستخدم أجهزة تحمل أسماء تجارية مختلفة، بينما تعتمد في الخلفية على المنصة والخوادم نفسها، وبالتالي قد تؤثر ثغرة واحدة في عدد كبير من العلامات التجارية والأجهزة حول العالم.
