في عالم يزداد فيه القلق حول خصوصية البيانات والتتبع الرقمي، اكتشف الباحثون تقنية جديدة ومقلقة تستخدمها شركة Meta (فيسبوك سابقًا) وYandex لتتبع مستخدمي Android. هذه التقنية المبتكرة، والتي أطلق عليها الباحثون اسم "Local Mass"، تستغل ثغرات في نظام Android لربط نشاط المتصفح بحسابات المستخدمين دون علمهم.
 |
| كيف تتبعك Meta على Android الآن؟ |
هذه التقنية تثير قلقًا كبيرًا لأنها تتجاوز إجراءات الخصوصية الحالية، مما يجعل من الصعب على المستخدمين حماية بياناتهم الشخصية.
كيف تعمل تقنية "Local Mass" للتتبع؟
آلية عمل Meta
تبدأ العملية عندما يفتح المستخدم تطبيق Facebook أو Instagram الأصلي على جهاز Android للمرة الأولى. في هذه اللحظة، يبدأ التطبيق بالاستماع إلى منافذ UDP وTCP المحلية على الجهاز.
عندما يزور المستخدم أي موقع إلكتروني يحتوي على MetaPixel (وهو رمز تتبع من Meta)، يقوم هذا الرمز بإرسال معلومات ملفات الارتباط (cookies) إلى التطبيقات الأصلية عبر تقنية WebRTC SDP munching. كما يرسل طلبات إلى خادم Facebook تحتوي على معلومات ذات صلة بتاريخ التصفح.
أخيرًا، ينقل التطبيق الأصلي معلومات ملفات الارتباط إلى نقطة نهاية أخرى لدى Facebook، مما يربط ملفات الارتباط بحساب Instagram أو Facebook الخاص بالمستخدم.
تطبيق Yandex للتقنية
تستخدم Yandex آلية مشابهة جدًا، لكنها تعتمد على نصوص Yandex Metrica بدلاً من MetaPixels. وقد بدأت Yandex في استخدام هذه الطريقة منذ عام 2017، بينما بدأت Meta في استخدامها في أواخر عام 2024.
معلومات!
بدأت Yandex استخدام تقنية التتبع هذه قبل Meta بسنوات، مما يعني أنها ربما طورت هذا النظام أولاً.
لماذا هذه التقنية مقلقة؟
تجاوز إجراءات الخصوصية
ما يجعل هذه التقنية خطيرة بشكل خاص هو أنها تتجاوز جميع إجراءات الخصوصية الحالية، بما في ذلك:
- نماذج الحماية (Sandboxing)
- أذونات المنصات المحمولة والمتصفحات
- نماذج الموافقة على الويب
- أوضاع التصفح الخفي (Incognito modes)
- إعادة تعيين معرفات الإعلانات المحمولة
- مسح ملفات الارتباط
انتشار واسع
وفقًا للتقرير، هناك أكثر من 5.8 مليون موقع إلكتروني يحتوي على MetaPixel، وما يقارب 3 مليون موقع يحتوي على نص Yandex Metrica. هذا يعني أن احتمالية عدم زيارة مستخدم Android لأحد هذه المواقع منخفضة جدًا.
صعوبة الكشف
نظرًا لأن هذه الرموز تستخدم تقنية SDP munching، فإن تدفق البيانات لا يمكن ملاحظته باستخدام أدوات التصحيح العادية مثل أدوات المطور في Chrome، مما يجعل اكتشاف هذا النوع من التتبع صعبًا للغاية.
أخبار أمنية أخرى من الأسبوع
Google Chrome يلغي الثقة في سلطتين لإصدار الشهادات
في 30 مايو 2025، أعلنت Google أن متصفح Chrome لن يعود يثق في الشهادات الصادرة من سلطتين لإصدار الشهادات: Chong Hua Telecom وNetlock. هذا القرار جاء بعد "نمط من فشل الامتثال والتزامات التحسين غير المحققة وغياب التقدم الملموس والقابل للقياس".
ستدخل هذه التغييرات حيز التنفيذ من خلال وضع صفحة تحذيرية لجميع المواقع التي تحتوي على شهادات من هذه المجموعات صادرة بعد 31 يوليو 2025.
ثغرة في Google تكشف أرقام الهواتف
تمكن هاكر يُعرف باسم "Brutecat" من اكتشاف سلسلة هجوم للحصول على رقم هاتف أي حساب Google باستخدام نقطة نهاية استرداد اسم المستخدم. استطاع المهاجم اكتشاف نقطتي نهاية يمكن استخدامهما معًا للتحقق من وجود حساب Google.
قدر Brutecat أنه سيستغرق 20 دقيقة فقط لكسر رقم الهاتف لحساب يستخدم رمز منطقة أمريكي. تم الكشف عن هذه الثغرة في أبريل 2024، وحصل الباحث على مكافأة قدرها 5000 دولار أمريكي من Google.
معلومات!
تُظهر هذه الثغرة أهمية برامج مكافآت الأخطاء (Bug Bounty) في تحسين الأمان الرقمي.
التأثيرات والاستنتاجات
هذه الاكتشافات تسلط الضوء على التطور المستمر في تقنيات التتبع والمراقبة الرقمية. تقنية "Local Mass" تمثل تطورًا جديدًا ومقلقًا في مجال انتهاك خصوصية المستخدمين، حيث تستغل الثغرات في بنية نظام Android للوصول إلى معلومات حساسة دون علم المستخدم أو موافقته.
تقنية "Local Mass" تُظهر كيف يمكن للشركات الكبرى استغلال الثغرات التقنية لتتبع المستخدمين دون علمهم، مما يثير تساؤلات حول أخلاقيات استخدام البيانات.
فريق البحث
كما أن قرار Google بإلغاء الثقة في سلطات إصدار الشهادات يظهر أهمية الحفاظ على معايير الأمان العالية في البنية التحتية للإنترنت، وأن حتى الكيانات الموثوقة سابقًا يمكن أن تفقد هذه الثقة إذا فشلت في الحفاظ على المعايير المطلوبة.
نصائح للحماية
في ظل هذه التطورات، يُنصح المستخدمون بـ:
- مراجعة أذونات التطبيقات بانتظام وإزالة الأذونات غير الضرورية
- استخدام VPN موثوق لتشفير حركة البيانات
- تجنب تسجيل الدخول إلى حسابات وسائل التواصل الاجتماعي من متصفحات مختلفة
- استخدام متصفحات تركز على الخصوصية
- تحديث التطبيقات والأنظمة بانتظام
المصدر:
تحويل تتبع الويب إلى التطبيق عبر Localhost على Android
