ஆஸ்திரியாவின் வியன்னா பல்கலைக்கழக ஆராய்ச்சியாளர்கள் நடத்திய விசாரணையில், வாட்ஸ்அப்பில் ஒரு தீவிர பாதிப்பு வெளிச்சத்திற்கு கொண்டு வரப்பட்டுள்ளது, இது பல மாதங்களாக அதன் உலகளாவிய பயனர் தளத்திலிருந்து தொலைபேசி எண்கள் மற்றும் சுயவிவரத் தரவை வெளிப்படுத்த அனுமதித்தது. பிரேசிலில் மட்டும் மில்லியன் கணக்கான மக்களைப் பாதித்து, வெகுஜன தகவல்களைச் சேகரிக்க, பயன்பாட்டின் தேடல் செயல்பாட்டில் உள்ள ஓட்டை எவ்வாறு பயன்படுத்தப்பட்டது என்பதை ஆய்வு விவரிக்கிறது.
பாதுகாப்புக் குறைபாடு 2024 ஆம் ஆண்டின் இறுதியில் இருந்து 2025 ஆம் ஆண்டின் முதல் பாதியில் செயலில் இருந்தது, இந்த காலகட்டத்தில் 245 நாடுகளில் உள்ள தளத்தின் 3.5 பில்லியன் பயனர்களில் கணிசமான பகுதியை விஞ்ஞானிகள் வரைபடமாக்க முடிந்தது. செய்திகளின் எண்ட்-டு-எண்ட் என்க்ரிப்ஷன் சமரசம் செய்யப்படவில்லை என்றாலும், சுயவிவர மெட்டாடேட்டாவின் வெளிப்பாடு தனியுரிமை அபாயங்கள் மற்றும் இந்தத் தகவலை தவறாகப் பயன்படுத்துதல் பற்றிய எச்சரிக்கைகளை எழுப்பியது.
பலமுறை அறிவிக்கப்பட்ட பிறகு, WhatsApp இன் தாய் நிறுவனமான Meta, சிக்கலைத் தணிக்க உறுதியான திருத்தங்களைச் செயல்படுத்தியது. நிறுவனம் மீறல் இருப்பதை உறுதிப்படுத்தியது மற்றும் அதன் மேடையில் “ஸ்கிராப்பிங்” எனப்படும் தானியங்கு தரவு சேகரிப்பைத் தடுக்க புதிய பாதுகாப்பு நடவடிக்கைகளை மேற்கொண்டது.
கண்டுபிடிப்புக்குப் பின்னால் உள்ள வழிமுறை
கணக்கெடுப்பு எனப்படும் ஆராய்ச்சியாளர்களால் பயன்படுத்தப்படும் முறையானது, WhatsApp இல் செயலில் உள்ள கணக்குகளுக்கு எது ஒத்துப்போகிறது என்பதைக் கண்டறிய எண்ணியல் வரிசைகளை முறையாகச் சோதிப்பதாகும். இயங்குதளத்தின் சேவையகங்களுடன் நேரடியாக இணைக்கப்பட்ட மாற்று மென்பொருளைப் பயன்படுத்தி, குழுவால் செயல்முறையை தானியக்கமாக்க முடிந்தது மற்றும் வினாடிக்கு 7,000 காசோலைகளைச் செய்ய முடிந்தது. இந்த அணுகுமுறை உலகளாவிய அளவில் 63 பில்லியனுக்கும் அதிகமான சாத்தியமான தொலைபேசி எண்களின் ஆரம்ப பட்டியலை உருவாக்க அனுமதித்தது, அது பின்னர் சரிபார்க்கப்பட்டது. சோதனையின் போது, பயனரின் தனியுரிமை அமைப்புகள் அனுமதித்த போது, சுயவிவரப் புகைப்படம், “செய்தி” நிலை உரை மற்றும் கடைசி செயல்பாட்டின் நேர முத்திரை (“கடைசியாகப் பார்த்தது”) உள்ளிட்ட சரிபார்க்கப்பட்ட எண்களுடன் தொடர்புடைய பொதுத் தகவலை விஞ்ஞானிகள் பிரித்தெடுக்க முடிந்தது. போதுமான வினவல் வரம்புகள் இல்லாமல், ஃபிஷிங் பிரச்சாரங்கள் மற்றும் சமூகப் பொறியியல் போன்ற தீங்கிழைக்கும் நோக்கங்களுக்காக ஒட்டுமொத்தமாகப் பயன்படுத்தக்கூடிய தரவுகளைச் சேகரித்து, பயன்பாட்டுப் பயனர்களின் உண்மையான மக்கள் தொகைக் கணக்கெடுப்பை உருவாக்க முடியும் என்பதை ஆராய்ச்சி நிரூபித்தது.
தேசிய காட்சியில் கண்காட்சியின் நோக்கம்
பிரேசில், உலகின் மிகப்பெரிய வாட்ஸ்அப் சந்தைகளில் ஒன்றாகும், இது குறிப்பிடத்தக்க தாக்கத்தை ஏற்படுத்தியது. சுமார் 206 மில்லியன் பிரேசிலிய கணக்குகள் கணக்கீட்டு நுட்பத்திற்கு வெளிப்படும் சாத்தியம் இருப்பதாக ஆய்வில் கண்டறியப்பட்டுள்ளது. சேகரிக்கப்பட்ட தரவுகளின் பகுப்பாய்வு, இந்த பயனர்களில் 81.4% ஆண்ட்ராய்டு சாதனங்கள் மூலம் சேவையை அணுகியதாகவும், 18.6% ஆப்பிளின் iOS அமைப்பைப் பயன்படுத்தியதாகவும் தெரியவந்துள்ளது. இந்த எண்கள் நாட்டில் கூகுளின் இயங்குதளத்தின் மேலாதிக்கத்தை பிரதிபலிக்கின்றன மற்றும் பல்வேறு தளங்களில் பாதிப்பின் அகலத்தை நிரூபிக்கின்றன.
நிபுணர்களின் முக்கிய கவலை, குற்றச் செயல்களுக்கு இந்தத் தரவின் சாத்தியமான பயன்பாட்டில் உள்ளது. செல்லுபடியாகும் தொலைபேசி எண், சுயவிவரப் புகைப்படம் மற்றும் நிலைக்கான அணுகல் மூலம், சைபர் குற்றவாளிகள் மிகவும் உறுதியான மற்றும் தனிப்பயனாக்கப்பட்ட தாக்குதல்களை உருவாக்க முடியும். எடுத்துக்காட்டாக, சோதனை செய்யப்பட்ட பிரேசிலிய கணக்குகளில் 61% இல் புகைப்படம் பொதுவில் அணுகக்கூடியதாக இருந்தது, இது மோசடிகளின் நம்பகத்தன்மையை அதிகரிக்கும் காட்சி உறுப்பை வழங்குகிறது. இந்தத் தகவலின் கலவையானது போலி சுயவிவரங்களை உருவாக்குவதை எளிதாக்குகிறது மற்றும் பாதிக்கப்பட்டவர்களை ஏமாற்ற சமூகப் பொறியியல் யுக்திகளைப் பயன்படுத்துகிறது மற்றும் இன்னும் அதிக முக்கியத் தகவல்களைப் பெறுகிறது.
மெட்டாவின் பதில் மற்றும் பாதுகாப்பு நடவடிக்கைகள்
செப்டம்பர் 2024 இல் மெட்டா பாதிப்பு குறித்து முதன்முதலில் எச்சரிக்கப்பட்டது. இருப்பினும், ஆராய்ச்சிக் குழுவின் வற்புறுத்தலுக்குப் பிறகு, கிட்டத்தட்ட ஒரு வருடத்திற்குப் பிறகு, ஆகஸ்ட் 2025 இல் மட்டுமே முதல் கட்டுப்பாட்டு நடவடிக்கைகள் செயல்படுத்தப்பட்டன.
இறுதியில், நிறுவனம் அதன் Bug Bounty திட்டத்தின் மூலம் பிரச்சனையின் தீவிரத்தை உணர்ந்து அதன் பாதுகாப்பை வலுப்படுத்த வேலை செய்தது. ஒரு பயனர் குறுகிய காலத்தில் செய்யக்கூடிய தேடல்களின் எண்ணிக்கையில் கடுமையான வரம்புகளை விதிக்கும் திருத்தங்களில் அடங்கும்.
கூடுதலாக, தானியங்கு தரவு சேகரிப்பு முயற்சியைக் குறிக்கும் சந்தேகத்திற்கிடமான நடத்தையைக் கண்டறிந்து தடுக்க அல்காரிதம்கள் செயல்படுத்தப்பட்டன. அந்தக் காலம் முழுவதும் செய்திகளின் உள்ளடக்கம் பாதுகாப்பாகவும் மறைகுறியாக்கப்பட்டதாகவும் இருப்பதை நிறுவனம் வலுப்படுத்தியது.
சேகரிக்கப்பட்ட தரவு பற்றிய விவரங்கள்
தகவல் சேகரிப்பு என்பது வெறும் தொலைபேசி எண்களுடன் மட்டும் நின்றுவிடவில்லை. ஒவ்வொரு சுயவிவரத்திலிருந்தும் மாறுபட்ட மெட்டாடேட்டாவை ஆராய்ச்சியால் பிரித்தெடுக்க முடிந்தது.
சுயவிவரப் புகைப்படங்கள் வெளிப்பாட்டின் முக்கிய புள்ளிகளில் ஒன்றாகும். “பொது” என அமைக்கப்பட்டால், அவை மொத்தமாகப் பதிவிறக்கம் செய்யப்பட்டு, ஃபோன் எண்ணுடன் ஒரு முகத்தைப் பொருத்தும்.
நிலை உரை, அல்லது “செய்தி”, கூட கைப்பற்றப்பட்டது. இது பெரும்பாலும் பொதுவான சொற்றொடர்களைக் கொண்டிருந்தாலும், சில சந்தர்ப்பங்களில் பயனர்கள் தனிப்பட்ட அல்லது தொழில்முறை தகவலைப் பகிர்ந்து, ஆபத்தை அதிகரிக்கும்.
மற்றொரு தொடர்புடைய தரவு “டைம்ஸ்டாம்ப்” ஆகும், இது பயனர் கடைசியாக ஆன்லைனில் இருந்ததைக் குறிக்கிறது. இந்தத் தகவல், பாதிப்பில்லாததாகத் தோன்றினாலும், செயல்பாட்டு முறைகளை வெளிப்படுத்துகிறது மற்றும் தனிநபரின் நடைமுறைகள் அல்லது பாதிக்கப்படக்கூடிய தருணங்களை ஊகிக்கப் பயன்படுத்தலாம்.
பாதிப்பு காலவரிசை
ஏறத்தாழ ஒரு வருட காலப்பகுதியில் நிகழ்வுகள் வெளிப்பட்டன. ஆரம்ப எச்சரிக்கை செப்டம்பர் 2024 இல் மெட்டாவிற்கு அனுப்பப்பட்டது, ஆனால் முழு அளவிலான சோதனை டிசம்பர் 2024 மற்றும் ஏப்ரல் 2025 க்கு இடையில் நடந்தது, ஆராய்ச்சியாளர்கள் வெகுஜன எண்ணிக்கையின் சாத்தியத்தை உறுதிப்படுத்தியபோது. ஆகஸ்ட் 2025 இல் தளத்தால் முதல் பாதுகாப்புகள் செயல்படுத்தப்பட்டன, அதே ஆண்டு செப்டம்பரில் கூடுதல் வலுவூட்டல்கள் பயன்படுத்தப்பட்டன, அந்நியர்கள் சுயவிவரங்கள் மற்றும் புகைப்படங்களைப் பார்ப்பதைக் கட்டுப்படுத்தியது. முழுமையான ஆய்வு, அனைத்து தரவு மற்றும் வழிமுறைகளுடன், இறுதியாக நவம்பர் 2025 இல் வெளியிடப்பட்டது, இது குறைபாட்டைப் பொதுவில் தெரியப்படுத்தியது.
பாதிப்பின் உலகளாவிய பரிமாணம்
குறைபாட்டின் அளவு உலகளாவியது, இது பயன்பாட்டின் அனைத்து பயனர்களையும் பாதிக்கும். அதிக எண்ணிக்கையிலான அம்பலப்படுத்தப்பட்ட கணக்குகளைக் கொண்ட நாடுகளின் பட்டியலில் இந்தியா முதலிடத்தில் உள்ளது, மொத்தம் 749 மில்லியன், இந்தோனேசியா, 235 மில்லியன். உலக மக்கள்தொகையில் மூன்றில் ஒரு பகுதியைத் தாண்டிய பயனர் தளத்தின் தரவைப் பாதுகாப்பதற்கான தளத்தின் பொறுப்பை இந்த எண்கள் எடுத்துக்காட்டுகின்றன.
கணக்கெடுப்பை மேம்படுத்துவதற்கு நாடு சார்ந்த எண் வடிவங்கள் எவ்வாறு பயன்படுத்தப்பட்டன என்பதை ஆராய்ச்சி நிரூபித்தது. எடுத்துக்காட்டாக, பிரேசிலில், பகுதிக் குறியீட்டிற்குப் பிறகு எட்டு மற்றும் ஒன்பது இலக்கங்களின் சேர்க்கைகளைச் சோதிக்க கணினி திட்டமிடப்பட்டது, இது தேசிய பிராந்தியத்தில் செல்லுபடியாகும் செல்போன் எண்களின் முழு நிறமாலையையும் உள்ளடக்கியது. பிராந்திய தழுவலுக்கான இந்த திறன் தரவு சேகரிப்பு நுட்பத்தை மிகவும் திறமையானதாக்கியது.
பயனர்களுக்கான தனியுரிமை பரிந்துரைகள்
குறிப்பிட்ட குறைபாடு சரி செய்யப்பட்டாலும், தனியுரிமை அமைப்புகளை நிர்வகிப்பதற்கான முக்கியத்துவத்தை எபிசோட் நினைவூட்டுகிறது. புகைப்படம், நிலை மற்றும் “கடைசியாகப் பார்த்தது” போன்ற சுயவிவரத் தகவலை பயனர்கள் தங்கள் தொடர்புகளுக்கு மட்டுமே தெரியும்படி கட்டமைக்க நிபுணர்கள் பரிந்துரைக்கின்றனர், இது அந்நியர்களின் வெளிப்பாட்டின் பரப்பளவைக் குறைக்கிறது.
