Bingo! Whatsapp va Signalni ham maxfiy kuzatish mumkin

Reaksiyali munosabatlar va xabarlarni yetkazilgani haqidagi belgi ishoralari (delivery receipts) bir qarashda ko‘ringanidek, ma'sum emas. Tadqiqotchilar bu funksiyalar yordamida foydalanuvchilar ustidan kuzatuv o‘rnatish mumkinligini, shu jumladan, ular uydan qachon chiqishi, ishga qachon yetib kelishi, qachon telefon qo‘ng‘irog‘i qilayotgani va hatto qanday telefon ishlatayotgani haqida ma’lumot olish mumkinligini aniqladilar. Bu usul deyarli barcha Signal yoki WhatsApp foydalanuvchilariga ta’sir qiladi, hech qanday zararli dastur (malware) talab qilmaydi va butunlay yashirincha (bildirmay) amalga oshirilishi mumkin.

Xavf qanday ishlaydi?

Ushbu zaiflikdan foydalanish uchun tajovuzkorga faqat sizning telefon raqamingizni bilish kifoya. Bu usul Vena universiteti tadqiqotchilari tomonidan "Careless whisper" nomli maqolada e’lon qilingan.

Xabarni yuborganingizda, u avval WhatsApp yoki Signal serveriga yuboriladi (bitta "V").

Xabar qabul qiluvchiga yetib borgandagina sizga ikkinchi belgi (yetkazib berilganligi belgisi - ikkita "V") keladi. Sirtqi tomondan, bu faqat xabaringiz qachon qabul qilinganini ko‘rsatadi. Ammo tadqiqotchilar ushbu butun jarayon uchun ketadigan vaqtni hisoblash orqali qabul qiluvchi haqida aql bovar qilmas darajada ko‘p ma’lumotni oshkor qila olishadi.

Oshkor qilinadigan ma’lumotlar

1. Telefon holati: hujum qiluvchi jabrlanuvchining telefon holatini: qulflanganmi, qulfi ochilganmi yoki WhatsApp ochiqmi — aniqlay oladi. Masalan, tajovuzkor doimiy ravishda xabarlar (reaksiyalar) bilan spamlashi davomida, telefon qulfi ochilganda yetkazib berish - qabul qilish vaqti sezilarli darajada kamayadi. WhatsApp ilovasi ochiq bo‘lganda esa, belgi deyarli bir zumda qabul qilinadi.

2. Yashirin spamlash: jabrlanuvchi bildirishnomalarni olmasligi uchun, tadqiqotchilar oddiy xabarlar o‘rniga reaksiyalardan foydalanishgan. Reaksiyalar ham yetkazib berish belgilarini chiqaradi, lekin ular bildirishnoma yaratmaydi. Qolaversa, ochiq manbali WhatsApp mijozlaridan foydalanib, ular hatto mavjud bo‘lmagan xabarlarga ham reaksiyalar yubora oldilar, natijada jabrlanuvchining telefoni ularni shunchaki rad etadi. Bu esa foydalanuvchi spamlash haqida mutlaqo bilmasligini ta’minlaydi va kuzatuvni butunlay ko‘rinmas qiladi.

3. Qurilma va tarmoqni aniqlash: hujumchi qurbonning qaysi brenddagi telefonni ishlatayotganini ham aniqlashi mumkin (masalan, Apple, Samsung yoki Xiaomi). Chunki bu telefonlar o‘rtacha hisobda biroz farqli javob vaqtlariga ega. Shuningdek, ular qurbonning hozirda Wi-Fi yoki uyali aloqadan foydalanayotganini ham bilishi mumkin. Agar qurbon qo‘ng‘iroq qilayotgan bo‘lsa va ilova ochiq bo‘lsa, ushbu faoliyat ham aniq ko‘rinadi.

4. Kundalik xarita tuzish: ushbu ma’lumotlardan foydalanib, hujumchi qurbon kun davomida qayerda ekanligini osongina aniqlashi mumkin – uyda, ishda yoki shu orada. Bu usul faqat telefon raqamini bilishni talab qilganligi sababli, odamning kundalik faoliyati haqida batafsil xaritani tuzish oson kechadi.

Qo‘shimcha muammolar

WhatsAppda tezlik cheklovi (rate limiting) yo‘qligi sababli, hujumchi har 50 millisoniyada bitta, ya’ni soniyasiga 20 tagacha reaksiya yubora oladi. Reaksiyalarni doimiy spamlash orqali tajovuzkor qurbonning telefonga ma'lumotlar borib-kelishini sezilarli darajada oshirishi mumkin, bu soatiga 13 Gigabayt ma’lumotni iste’mol qilish mumkin degani. Bu batareyani ham soatiga 18% gacha tugatishi mumkin. Signalda esa cheklovlar mavjudligi sababli, zararning miqdori ancha kam (soatiga 360 MB).

Ta’kidlash joizki, o‘qilganlik belgisidan farqli o‘laroq, yetkazilganlik belgisini o‘chirib bo‘lmaydi, chunki ular ushbu ilovalarning ishlashi uchun muhim.

Himoya choralari

Meta (WhatsApp egasi) va Signalga ushbu muammo haqida 2024-yil sentyabr oyida xabar qilingan, ammo Meta bir yildan keyingina javob bergan, Signal esa umuman javob qaytarmagan

.

Foydalanuvchilar himoyalanish uchun quyidagi choralarni ko‘rishlari mumkin:

• Signal: Telefon raqamingiz maxfiylik sozlamalarini o‘zgartiring, toki hech kim raqam orqali sizni topa olmasin.

• WhatsApp: Yaqinda joriy qilingan yangi maxfiylik sozlamasini (ilova ichidagi ilg‘or sozlamalar ostida) yoqing, bu noma’lum hisoblardan keladigan ko‘p sonli xabarlarni bloklashga yordam beradi. Garchi bu yashirin reaksiyalar hujumini to‘xtatishi noma’lum bo‘lsa-da, uni yoqish tavsiya etiladi.