جاكرتا - غرد كريس لاسي، رجل الأعمال الذي يدير شركة تطوير تطبيقات الهاتف المحمول الأسترالية Action Launcher، الثلاثاء 29 يونيو، بلقطة شاشة تظهر التحقق من خطوتين من Google مغطى بالإعلانات النصية. هذا أمر مروع ، بالنظر إلى أن هذه الخدمة ليس من المفترض أن تكون موجودة.
رد فعل جوجل في نهاية المطاف بالقول انهم لم يكن لهم دور في إدراج الإعلان. ستقوم Google بالتحقيق في كيفية إدخال الإعلانات النصية في رسائل SMS التي تحتوي على رموز أمان التحقق من خطوتين أو رموز المصادقة الثنائية التي يمكن أن تحدث.
الرمز الذي يظهر في التحقق من خطوتين هو شيء سري للغاية. يجب أن يكون هذا الرمز معروفا فقط من قبل المستخدم وGoogle. إذا كان أي شخص آخر يعرف رمز، حتى إدراج الإعلانات، فإنه يصبح بالتأكيد علامة استفهام، هو ضمان الأمن؟
أنا فقط تلقيت اثنين من عامل مصادقة SMS من جوجل التي تضمنت الإعلان. جوجل الخاصة رسائل SMS التطبيق وضعت علامة على أنها البريد المزعج. يا له من استيلاء على المال المخزي. pic.twitter.com/NeStIndR6q
— كريس لاسي (@chrismlacy) 29 يونيو 2021
"إنه ليس إعلان Google، ونحن لا نتغاضى عن هذه الممارسة"، كما جاء في تغريدة من مارك ريشر، المدير الأول لإدارة المنتجات لمنصة Google للهوية والأمان. "نحن نعمل مع مشغلي الهواتف المحمولة لفهم سبب حدوث ذلك والتأكد من عدم حدوثه مرة أخرى".
ولم يرد لاسي نفسه على طلب التعليق على منصبه. كما أنها لم تذكر أسماء شركات الاتصالات اللاسلكية المعنية.
كما أبلغت موظفة الإنترنت، التي طلبت عدم ذكر اسمها، مجموعة وسائل الإعلام المعنية بأمن المعلومات، مشيرة إلى أنها تلقت أيضا نفس الرسالة في 25 يونيو/حزيران أثناء تسجيل الدخول إلى حسابها في Google.
كما قدم لقطة شاشة وقال إن لديه عقدا مدفوع الأجر لاحقا مع شركة أوبتوس اللاسلكية الأسترالية، وهي شركة تابعة لشركة سينغتل السنغافورية. وقال هذا الشخص أنه تمت إعادة توجيه الرابط في الإعلان إلى بائع مكافحة الفيروسات أفيرا، الذي يبيع خدمات VPN.
لإغلاق الحلقة ، وهذه ليست إعلانات جوجل ونحن لا نتغاضى عن هذه الممارسة. نحن نعمل مع شركة الاتصالات اللاسلكية لفهم سبب حدوث ذلك وضمان عدم حدوثه مرة أخرى. سعيد رسائل جوجل وضعت علامة على أنها غير آمنة 🛑 https://t.co/MqSZgh1uUK
— مارك ريشر (@mrisher) 29 يونيو 2021
وقال متحدث باسم اوبتوس ان شركته "لم تضخ رسالة وهي ليست على علم بالوضع لكنها تحقق حاليا في هذا الحادث".
وفي الوقت نفسه، قال متحدث باسم أفيرا إن الإعلانات تم وضعها من قبل شركاء إعلانات من طرف ثالث دون علمهم. وقد "أوقفت أفيرا وشركاؤها الإعلانيون الآن جميع الأنشطة مع الشركة التي نشرت الإعلان، لأنه ينتهك بوضوح شروط وأحكام العقد". ورفضت أفيرا نفسها ذكر اسم الشركة أو شركائها الإعلانيين.
وقال جوبير من الشركة " ان افيرا تدعم كافة الجهود الرامية الى حماية الناس فى العالم المتصل بما فى ذلك استخدام المصادقة الثنائية حيثما كان ذلك ممكنا " . نشكر الأشخاص الذين لفتوا انتباهنا إلى الإعلان".
ويقول مشغلان أستراليان رئيسيان آخران، فودافون وتلسترا، إنهما لا يحقنان الإعلانات في رسائل نصية.
في حين كتبت لاسي أيضا أنها تلقت رمز التحقق من خطوتين عبر الرسائل القصيرة بعد تسجيل الدخول إلى حساب بريدها الإلكتروني القديم في Google. كتب أنه لم يغير هذا الحساب للحصول على رمز من خطوتين من خلال تطبيق مصادقة.
أثارت تغريدته على الفور مخاوف جوجل. سأل أدريان بورتر فيلت، مدير الهندسة في Google Chrome، عما إذا كان الرمز ذو الخطوتين يعمل. أجابت لاسي أن هذا صحيح.
هناك سبب وجيه يجعل الإعلانات التي تتم إضافتها إلى رسائل الأمان تعتبر إشكالية. وأشار لاسي إلى أن ميزة جوجل لمكافحة الرسائل القصيرة البريد المزعج يلتقط الرسالة.
وكتبت لاسي في تغريدة لاحقة أن ممارسة حقن ال الإعلانية "تضعف الثقة في 2FA وتجعل رسائل 2FA أقل عرضة للتسليم. إنه أمر محرج حقا".
كتب كريس بويد، محلل استخبارات البرامج الضارة في Malwarebytes، أن الطريقة التي يتم بها عرض الإعلانات تثير تساؤلات حول موافقة العملاء، وما هي الشبكات الإعلانية المعنية، والبيانات التي يشاركها الآخرون أو يعرضونها. من الصعب على المستخدمين تحديد ما إذا كان الارتباط ضارا.
وكتب بويد في تدوينة: "أسوأ سيناريو، يمكن أن تؤدي الإعلانات إلى صفحات ضارة أو مواقع تصيد احتيالي". "لا توجد طرق كثيرة للإضرار بسمعة استخدام رموز SMS كطبقة إضافية من الأمان."
خلط المقترحات التجارية مع التنبيهات الأمنية أو حتى مجرد حركة التصفح العادية حتى الآن لا يعتبر جيدا.
قبل ثلاث سنوات، وجدت مجموعة من الباحثين أن فيسبوك استخدم أرقام الهواتف التي يقدمها المستخدمون بهدف تلقي رموز التحقق من خطوتين لأغراض إعلانية. يسمح فيسبوك للمستخدمين في نهاية المطاف باستخدام التحقق من خطوتين دون الحاجة إلى تقديم رقم هواتفهم.
بالإضافة إلى الإعلان ، هناك حالة أمان قوية لإعادة توجيه أي رمز من خطوتين يأتي عبر الرسائل القصيرة إلى تطبيق مصادق.
لم يتم تشفير الرسائل النصية القصيرة حتى الآن، ويمكن للمشغلين الوصول الكامل إلى المحتوى ويمكنهم تعديل المحتوى. ولكن تلقي رمز التحقق من خطوتين عبر الرسائل القصيرة أفضل من عدم تنشيطه ، لأن هذا يمكن أن يوقف عمليات الاستحواذ على الحساب. ومع ذلك ، فإن تلقي الرموز عبر الرسائل القصيرة بدأ يشكل خطرا الآن.
لأن المهاجمين يمكن أن تأخذ على رقم هاتف الضحية لتلقي رمز خطوتين في مخطط يعرف باسم تبادل سيم أو الاختطاف.
في هذه الهجمات، يتظاهر المحتالون بأنهم حاملو أرقام رسميون، وغالبا ما يتم ذلك عن طريق خداع ممثلي خدمة العملاء في مشغلي الهواتف المحمولة، ومن ثم نقل الرقم إلى بطاقة SIM مختلفة.
The English, Chinese, Japanese, Arabic, and French versions are automatically generated by the AI. So there may still be inaccuracies in translating, please always see Indonesian as our main language. (system supported by DigitalSiber.id)
