تطبيق فيروسي يسمى Neon ، والذي يوفر تسجيل مكالماتك الهاتفية ودفع لك مقابل الصوت حتى يتمكن من بيع هذه البيانات إلى شركات الذكاء الاصطناعى ، قد ارتفع بسرعة إلى صفوف تطبيقات iPhone المجانية الخمسة الخمسة منذ إطلاقها الأسبوع الماضي.
يحتوي التطبيق بالفعل على الآلاف من المستخدمين وتم تنزيله 75000 مرة بالأمس وحده ، وفقًا لمزود App App Intelligence. يضع النيون نفسه كوسيلة للمستخدمين من خلال توفير تسجيلات المكالمات التي تساعد على تدريب نماذج الذكاء الاصطناعي وتحسينها واختبارها.
ولكن الآن أصبحت نيون في وضع عدم الاتصال ، على الأقل في الوقت الحالي ، بعد أن سمحت عيب أمني لأي شخص بالوصول إلى أرقام الهواتف وتسجيلات المكالمات ونصوص أي مستخدم آخر ، يمكن الآن للإبلاغ عن TechCrunch.
اكتشف TechCrunch عيب الأمن خلال اختبار قصير للتطبيق يوم الخميس. لقد نبهنا مؤسس التطبيق ، أليكس كيام (الذي لم يرد سابقًا على طلب للتعليق على التطبيق) ، إلى العيب بعد فترة وجيزة من اكتشافنا.
أخبر Kiam TechCrunch في وقت لاحق يوم الخميس أنه قام بتسجيل خوادم التطبيق وبدأ في إخطار المستخدمين بالتوقف مؤقتًا عن التطبيق ، لكنه لم يفكر في إبلاغ مستخدميه بالفاصل الأمنية.
توقف تطبيق النيون عن العمل بعد فترة وجيزة من الاتصال بـ Kiam.
المكالمات المكشوفة
على خطأ كان حقيقة أن خوادم تطبيق النيون لم تمنع أي مستخدم مسجل من الوصول إلى بيانات شخص آخر.
أنشأت TechCrunch حساب مستخدم جديد على جهاز iPhone مخصص والتحقق من رقم هاتف كجزء من عملية التسجيل. استخدمنا أداة تحليل حركة مرور الشبكة تسمى Burp Suite لتفقد بيانات الشبكة التي تتدفق داخل وخارج تطبيق النيون ، مما يسمح لنا بفهم كيفية عمل التطبيق على المستوى الفني ، مثل كيفية تواصل التطبيق مع خوادمه الخلفية.
بعد إجراء بعض المكالمات الهاتفية الاختبار ، أظهر لنا التطبيق قائمة بأحدث مكالماتنا وكم من الأموال المكتسبة. لكن أداة تحليل الشبكة الخاصة بنا كشفت عن تفاصيل لم تكن مرئية للمستخدمين العاديين في تطبيق النيون. تضمنت هذه التفاصيل النص المستند إلى النص للمكالمة وعنوان ويب إلى ملفات الصوت ، والتي يمكن لأي شخص الوصول إليها علنًا طالما كان لديه الرابط.
على سبيل المثال ، يمكنك هنا رؤية النص من مكالمة الاختبار الخاصة بنا بين مراسلين TechCrunch يؤكدون أن التسجيل يعمل بشكل صحيح.
لكن خوادم الواجهة الخلفية كانت قادرة أيضًا على البصق على مسارات تسجيلات الأشخاص الآخرين ونصوصها.
في إحدى الحالات ، وجدت TechCrunch أن خوادم النيون يمكنها إنتاج بيانات حول أحدث المكالمات التي أجراها مستخدمو التطبيق ، بالإضافة إلى توفير روابط ويب عامة لملفات الصوت الخام ونص النص لما قيل في المكالمة. (تحتوي الملفات الصوتية على تسجيلات لأولئك الذين قاموا بتثبيت النيون ، وليس تلك التي اتصلوا بها.)
وبالمثل ، يمكن معالجة خوادم النيون للكشف عن أحدث سجلات المكالمات (المعروفة أيضًا باسم البيانات الوصفية) من أي مستخدميها. احتوت هذا البيانات الوصفية على رقم هاتف المستخدم ورقم هاتف الشخص الذي يتصل به ، وعندما تم إجراء المكالمة ، ومدةها ، ومقدار الأموال المكتسبة لكل مكالمة.
تشير مراجعة حفنة من النصوص والملفات الصوتية إلى أن بعض المستخدمين قد يستخدمون التطبيق لإجراء مكالمات مطولة تسجل محادثات في العالم الحقيقي مع أشخاص آخرين من أجل إنشاء الأموال من خلال التطبيق.
يتم إيقاف تشغيل التطبيق ، الآن
بعد فترة وجيزة من تنبيهنا نيون إلى العيب يوم الخميس ، أرسل مؤسس الشركة ، Kiam ، رسالة بريد إلكتروني للعملاء لتنبيههم إلى إيقاف التطبيق.
“إن خصوصية البيانات الخاصة بك هي أولويتنا الأولى ، ونريد التأكد من أنها آمنة تمامًا حتى خلال هذه الفترة من النمو السريع. ولهذا السبب ، نأخذ التطبيق مؤقتًا لإضافة طبقات إضافية من الأمان” ، كما يقول البريد الإلكتروني مع TechCrunch.
والجدير بالذكر أن البريد الإلكتروني لا يذكر أي انقضاء أمان أو أنه يعرض أرقام هواتف المستخدمين ، وتسجيلات المكالمات ، ومكالمات النصوص إلى أي مستخدم آخر يعرف مكان البحث.
ليس من الواضح متى سيعود النيون عبر الإنترنت أو ما إذا كان هذا الفاصل الأمني سيحصل على انتباه متاجر التطبيق.
لم تستجب Apple و Google بعد لطلبات TechCrunch للتعليق حول ما إذا كان النيون متوافقًا أم لا مع إرشادات المطورين الخاصة بهما أم لا.
ومع ذلك ، لن تكون هذه هي المرة الأولى التي يكون فيها التطبيق الذي يعاني من مشكلات أمان خطيرة في أسواق التطبيقات هذه. في الآونة الأخيرة ، شهدت تطبيق رفيق شهير للمواعدة ، شاي ، خرقًا للبيانات ، والذي كشف عن المعلومات الشخصية لمستخدميها ووثائق الهوية الصادرة عن الحكومة. تم القبض على التطبيقات الشائعة مثل Bumble والمفصلات في عام 2024 تعرض مواقع مستخدميها. يتعين على كلا المتجرتين أيضًا تطهير التطبيقات الضارة بانتظام التي تتجاوز عمليات مراجعة التطبيق الخاصة بهما.
عندما سئل ، لم يقل كيام على الفور ما إذا كان التطبيق قد خضع لأي مراجعة أمنية قبل إطلاقه ، وإذا كان الأمر كذلك ، فمن أدى المراجعة. لم يقل كيام أيضًا ، عندما سئل ، إذا كانت الشركة لديها الوسائل التقنية ، مثل السجلات ، لتحديد ما إذا كان أي شخص آخر قد عثر على العيوب أمامنا أو إذا سُرق أي بيانات مستخدم.
بالإضافة إلى ذلك ، تواصل TechCrunch مع Voctfront Ventures و Xfund ، والتي تدعي Kiam في منشور LinkedIn في تطبيقه. لم تستجب أي من الشركة لطلباتنا للتعليق اعتبارًا من النشر.
