ردپای سرویس اماراتی در واتس‌اپ مشاور نتانیاهو

این کد، اطلاعات محرمانه و جزئیات فنی و همچنین شناسه‌های منحصر به فرد و توکن‌های دسترسی را برای گروه‌های واتس‌اپ که هشدارها را دریافت می‌کردند، افشا می‌کرد. چنین اطلاعاتی به طور بالقوه می‌تواند برای شناسایی اعضای گروه و شماره تلفن‌های آنها، استخراج محتوای گروه یا ارسال پیام از درون گروه‌ها استفاده شود. پس از استعلام هاآرتص از اوریچ، دسترسی به حساب گیت‌هاب او محدود شد. با این حال، این کد قبلاً توسط کاربرانی که قبل از انتشار گزارش آن را کشف کرده بودند، افشا و منتشر شده بود.

بررسی کد به یک خطر امنیتی و محرمانگی قابل توجه اشاره دارد. حساب‌های کاربری حرفه‌ای واتس‌اپ که برای مدیریت گروه‌های متعدد یا توزیع خودکار پیام‌ها استفاده می‌شوند، اغلب به ابزارهای مدیریتی شخص ثالث متکی هستند. این سرویس‌ها بسیار شبیه به یک جلسه مبتنی بر مرورگر به یک حساب واتس‌اپ متصل می‌شوند و به آنها امکان دسترسی به پیام‌ها و رسانه‌های درون حساب و امکان ارسال پیام به گروه‌ها و مخاطبین حساب را می‌دهند.

چنین دسترسی، انتخاب ارائه‌دهنده خدمات را به ویژه هنگامی که حساب متعلق به کسی است که مرتباً با نخست‌وزیر در تماس است، بسیار مهم می‌کند.

کد اوریچ نشان می‌دهد که او از سرویسی به نام «Ultramsg» استفاده کرده است. از نظر عملکرد، Ultramsg یک نوع سرویس استاندارد در این زمینه است. پس از ایجاد حساب، با اسکن کد QR ارائه شده توسط برنامه برای اتصال یک دستگاه اضافی، به حساب واتس‌اپ کاربر متصل می‌شود. این قابلیت به Ultramsg اجازه می‌دهد تا پیام‌ها را بخواند و ارسال کند و امکانات دیگری نظیر یادآوری‌ها، پیام‌رسانی خودکار، ایجاد و راه‌اندازی ربات و یکپارچه‌سازی با سیستم‌های خدمات مشتریان یا مدیریت فروش را فراهم می‌آورد.

یک پژوهشگر مستقل امنیت سایبری که این موضوع را بررسی کرده، به نشریه کالکالیست (Calcalist) گفت که اوریچ حساب واتس‌اپ شخصی خود را به Ultramsg متصل کرده بود، نه حسابی اختصاصی که برای این منظور ایجاد شده باشد. این بدان معناست که مکاتبات موجود در حساب شخصی او می‌توانست به صورت رمزنگاری‌نشده در دسترس Ultramsg قرار گیرد؛ مکاتباتی که احتمالاً شامل گفتگو با مقامات دفتر نخست‌وزیری و سایر چهره‌های دولتی پیرامون اطلاعات حساس یا طبقه‌بندی‌شده بوده است.

با بررسی شرایط استفاده و اطلاعات خدمات Ultramsg، پیچیدگی این وضعیت بیشتر می‌شود. وب‌سایت این شرکت شامل بندی است که به آن اجازه می‌دهد داده‌های جمع‌آوری‌شده را به اشخاص ثالثی که با آن‌ها همکاری می‌کند، منتقل نماید. همچنین در این وب‌سایت قید شده که داده‌های جمع‌آوری‌شده توسط این سرویس به مدت ۱۲۰ روز روی سرورهای آمازون ذخیره می‌شوند، حتی اگر تنظیمات حساب واتس‌اپ به‌گونه‌ای باشد که پیام‌ها را به‌طور خودکار حذف کند.

یکی دیگر از موارد قابل‌توجه، موقعیت مکانی اعلام‌شده توسط شرکت است. وب‌سایت Ultramsg محل فعالیت این سرویس را امارات معرفی می‌کند، در حالی که پروفایل لینکدین شرکت، مکان آن را دبی ذکر کرده است. در سایر پایگاه‌های داده، «احمد کومار» به عنوان بنیان‌گذار شرکت معرفی شده است. به نظر می‌رسد اطلاعات عمومی اندکی درباره کومار وجود دارد و در جریان بررسی مطالب برای این گزارش، هیچ‌گونه مصاحبه مطبوعاتی یا حضور او در کنفرانس‌های حرفه‌ای یافت نشد. وب‌سایت Ultramsg جزئیاتی درباره بنیان‌گذاران یا کارکنان خود ارائه نمی‌دهد. البته محدود بودن اطلاعات عمومی، به‌تنهایی ثابت نمی‌کند که هویت مذکور ساختگی است.

چارچوب‌های امنیتی و حفاظت از داده‌ها در امارات نیز با قوانین حریم خصوصی در بسیاری از کشورهای غربی تفاوت دارد. قوانین امارات در شرایط خاصی، از جمله موارد مربوط به منافع عمومی، پیگردهای قانونی و مسائل امنیتی، امکان افشای داده‌های شخصی را فراهم می‌کنند. دامنه دسترسی دولت به این اطلاعات، به قوانین حاکم و شرایط موجود بستگی دارد.

در عمل، اوریچ حساب واتس‌اپ مورد استفاده برای ارتباطات حساس را به سرویسی متعلق به شخص ثالث که از امارات فعالیت می‌کرد، متصل کرده بود. این سرویس به پیام‌ها و فایل‌های رسانه‌ای حساب کاربری دسترسی داشت؛ شرایط استفاده از آن حاکی از آن است که داده‌های جمع‌آوری‌شده ممکن است با اشخاص ثالث به اشتراک گذاشته شوند و تا ۱۲۰ روز نگهداری گردند؛ همچنین این شرکت در حوزه‌ای قضایی فعالیت می‌کند که در آن، مقامات دولتی تحت شرایطی خاص اختیار دسترسی به داده‌ها را دارند.