- Apl pemesejan mengumpul kelemahan teknikal, metadata yang berlebihan dan ralat manusia yang boleh membawa kepada kebocoran dan skandal besar-besaran.
- WhatsApp, Signal dan penyelesaian pengguna lain tidak menawarkan kawalan atau pematuhan yang diperlukan untuk sektor kritikal, penjagaan kesihatan, undang-undang atau kerajaan.
- Organisasi mesti berhijrah ke platform pemesejan perusahaan dengan penyulitan teguh, kawalan kunci, pengauditan dan kedaulatan data.
- Gabungan alatan yang sesuai, kemas kini, latihan dan amalan terbaik individu secara drastik mengurangkan risiko dalam komunikasi digital.
Aplikasi pesanan telah menjadi penting dalam kehidupan digital kita : kita menyelaras kerja, membuat perancangan dengan rakan-rakan, menghantar dokumen sensitif, malah berkongsi butiran perubatan dan kewangan. Walau bagaimanapun, penggunaan besar-besaran ini telah mendedahkan kebenaran yang tidak menyenangkan: semakin kita bergantung pada alat ini, semakin menariknya kepada penjenayah siber, dan semakin serius sebarang kecacatan reka bentuk atau kesilapan manusia.
Dalam beberapa tahun kebelakangan ini, kelemahan serius telah didedahkan dalam WhatsApp , Signal, Telegram dan platform lain , berserta insiden berprofil tinggi yang melibatkan kerajaan, perniagaan dan organisasi penjagaan kesihatan, menunjukkan bahawa "sembang mudah" boleh menyebabkan denda berjuta-juta dolar, kebocoran data besar-besaran atau skandal politik yang tulen. Sepanjang artikel ini, kita akan dengan tenang tetapi terus terang mengkaji mengapa alat ini tidak berbahaya, apakah risiko sebenar yang ditimbulkannya, dan alternatif serta amalan terbaik yang wujud untuk meminimumkan potensi bencana.
Kerentanan besar dalam WhatsApp dan kerapuhan nombor telefon
Salah satu kes terbaru yang paling menarik telah ditemui oleh sekumpulan penyelidik dari Universiti Vienna dan SBA Research , yang menemui kelemahan berskala besar dalam mekanisme pengesanan kenalan WhatsApp. Ciri ini, yang direka untuk menyemak nombor dalam buku alamat anda yang menggunakan aplikasi tersebut, menjadi titik masuk yang ideal untuk pengikisan akaun secara besar-besaran.
Disebabkan kelemahan ini, para penyelidik menunjukkan bahawa adalah mungkin untuk membuat pertanyaan tentang lebih daripada 100 juta nombor telefon sejam melalui infrastruktur WhatsApp, yang akhirnya menyenaraikan kira-kira 3.500 bilion akaun aktif di 245 negara. Sistem ini bertindak balas terhadap sejumlah besar permintaan daripada satu sumber, sedangkan tindakan yang munasabah adalah menolak atau mengehadkannya. Tingkah laku inilah yang mendedahkan kelemahan tersebut.
Daripada setiap nombor yang disahkan, penyerang boleh mengekstrak data awam yang berkaitan dengan profil WhatsApp : kunci awam, cap waktu, mesej status, gambar profil dan, dengan merujuk silang maklumat ini, malah sistem pengendalian, umur akaun dan bilangan peranti yang dipautkan. Walaupun Meta mendakwa telah menampal kerentanan tersebut dan ia tidak memberi kesan kepada pengguna, adalah sangat sukar untuk membuktikan bahawa tiada sesiapa yang mengeksploitasinya secara senyap sebelum kajian itu diterbitkan.
Seperti yang ditunjukkan oleh pakar keselamatan Luis Corrons, penyerang yang berhati-hati akan melakukan imbasan secara perlahan-lahan dan merentasi banyak alamat IP , bercampur dengan trafik biasa dan mengelak pengesanan. Penemuan itu juga mendedahkan bahawa kira-kira separuh daripada nombor yang bocor dalam pengikisan Facebook besar-besaran pada tahun 2021 masih aktif di WhatsApp, menunjukkan bahawa nombor telefon, dalam praktiknya, berfungsi sebagai pengecam hampir kekal.
Pengajaran utama daripada episod ini ialah kita harus menganggap nombor telefon kita seperti kata laluan, bukan maklumat remeh . Mengkonfigurasi WhatsApp supaya hanya kenalan yang melihat gambar profil dan teks maklumat anda, mengelakkan penyiaran nombor telefon utama anda di laman web awam dan menggunakan nombor tertentu untuk iklan atau pertanyaan perniagaan adalah langkah kecil yang dapat mengurangkan pendedahan anda dengan ketara.
Privasi dan metadata: sisi gelap bilik sembang "percuma".
Selain kelemahan tertentu, aplikasi pemesejan mengalami masalah struktur: ia mengumpul sejumlah besar data peribadi dan metadata . Walaupun kandungan disulitkan dari hujung ke hujung, maklumat tentang siapa yang bercakap dengan siapa, bila, dari mana dan pada peranti apa boleh menjadi sumber manfaat untuk penyerang dan sesiapa sahaja yang ingin melakukan pemprofilan besar-besaran.
Dalam kes WhatsApp, nombor telefon semua kenalan, data peranti, corak penggunaan, keahlian kumpulan , gambar profil, mesej status, alamat IP, data lokasi dan juga maklumat pembayaran (jika ada) dikumpulkan secara sistematik. Data ini boleh digunakan untuk membina semula rangkaian sosial dan profesional, peta hubungan dalaman dalam syarikat, tabiat perjalanan dan juga hierarki organisasi.
Banyak organisasi, didorong oleh keperluan segera atau penjimatan kos, telah mencari perlindungan dalam aplikasi pengguna seperti WhatsApp, Telegram atau Signal untuk menyelaras tugas sensitif dalam sektor kritikal, kerajaan atau perniagaan. Walau bagaimanapun, apa yang pada pandangan pertama kedengaran seperti penyelesaian yang murah dan biasa sering menyembunyikan kos tersembunyi: kehilangan kawalan ke atas data, ketidakpatuhan peraturan , pelanggaran kerahsiaan dan, dalam kes terburuk, pelanggaran dengan kesan reputasi yang dahsyat.
Satu lagi isu sensitif ialah sandaran awan . Walaupun mesej disulitkan semasa penghantaran, banyak aplikasi menggalakkan sandaran kepada perkhidmatan pihak ketiga, yang tidak selalunya mengekalkan tahap penyulitan yang sama dan boleh menjadi penghubung yang lemah. Sandaran awan yang tidak selamat sepenuhnya boleh menafikan manfaat penyulitan hujung ke hujung.
Risiko keselamatan siber desktop: Elektron, kunci dan perisian hasad
Apabila kita beralih daripada versi mudah alih kepada versi desktop, keadaan menjadi lebih rumit. Kebanyakan klien pemesejan desktop dibina pada Electron, rangka kerja yang merangkumi aplikasi web dalam pelayar Chromium . Ini sangat mudah untuk pembangun kerana ia membolehkan mereka mencipta aplikasi "asli" untuk berbilang sistem pengendalian secara serentak, tetapi ia juga bermakna mewarisi kerentanan Chromium yang sedia ada.
Chrome dan Chromium, secara literalnya, merupakan sasaran utama penjenayah siber . Kerentanan mereka dikaji dan dieksploitasi dengan cepat, dan Google biasanya bertindak balas dengan tampalan yang kerap. Masalahnya ialah program berasaskan Elektron tidak selalu mengemas kini enjin terbenam mereka pada kadar yang sama, jadi kerentanan yang telah dibaiki dalam pelayar boleh kekal aktif selama berbulan-bulan dalam klien pemesejan desktop.
Tambahan pula, terdapat risiko yang sangat serius: kunci penyulitan untuk perbualan disimpan pada cakera keras komputer . Jika seseorang berjaya menjejaskan peranti tersebut dengan perisian hasad, adalah lebih mudah untuk mencuri kunci ini pada komputer desktop berbanding pada peranti mudah alih, di mana seni bina sistem dan mekanisme keselamatan menjadikan akses jauh kepada maklumat jenis ini lebih sukar.
Akhir sekali, adalah penting untuk tidak melupakan peranan aplikasi pemesejan sebagai saluran pengedaran fail berniat jahat . Walaupun lampiran e-mel dan muat turun web biasanya disambut dengan sedikit syak wasangka, ramai pengguna memuat turun fail yang diterima melalui sembang tanpa berfikir panjang, terutamanya jika dihantar oleh rakan sekerja yang dikatakan menggunakan alat yang dipasarkan sebagai "selamat." Keyakinan berlebihan inilah yang dicari oleh penyerang.
Kesilapan manusia peringkat tinggi: daripada kumpulan yang salah kepada skandal politik
Selain isu teknikal, terdapat satu faktor yang tidak dapat diperbaiki oleh perisian: ralat manusia dalam penggunaan aplikasi . Kita semua pernah menghantar mesej kepada kumpulan yang salah pada satu ketika, daripada komen yang tidak sesuai kepada emoji hati yang tersilap ditujukan kepada bos. Ia biasanya kekal sebagai anekdot yang memalukan, tetapi apabila mesej dan perkara sensitif dicampuradukkan, kekusutan itu boleh meningkat kepada perkadaran sejarah.
Satu contoh utama ialah sembang Signal antara pegawai tinggi dalam pentadbiran Trump , di mana operasi ketenteraan terhadap Houthi di Yaman diselaraskan. Penasihat Keselamatan Negara Mike Waltz secara tersilap menambah Jeffrey Goldberg, editor majalah The Atlantic, kepada sebuah kumpulan yang dipanggil "Kumpulan Kenalan Kecil Houthi," yang memberikannya akses kepada maklumat tentang masa serangan yang tepat dan persenjataan yang akan digunakan.
Perbualan itu melibatkan nama-nama seperti Naib Presiden JD Vance, Setiausaha Pertahanan Pete Hegseth, Pengarah Perisikan Negara Tulsi Gabbard, Setiausaha Negara Marco Rubio dan Pengarah CIA John Ratcliffe, antara lain. Ungkapan terkenal "Saya menyertai sembang yang salah" bertukar daripada jenaka kepada contoh global tentang kecuaian membincangkan rahsia ketenteraan dalam sembang yang disulitkan tanpa kawalan formal.
Pada mulanya, Trump cuba memperkecilkan insiden itu, mendakwa bahawa tiada maklumat sulit atau berkaitan keselamatan negara dikongsi, dan pasukannya menuduh majalah itu mempunyai agenda politik. Walau bagaimanapun, di bawah tekanan, The Atlantic memutuskan untuk menerbitkan kandungan penuh kumpulan itu supaya orang ramai dapat menilai keseriusan perkara itu, turut mendedahkan kenyataan yang menghina tentang sekutu Eropah yang telah pun muncul di sidang kemuncak lain.
Insiden itu telah dibandingkan dengan penggunaan e-mel peribadi Hillary Clinton dan mencetuskan semula perdebatan tentang kesesuaian alat pesanan segera untuk mengendalikan maklumat rahsia , tidak kira betapa disulitkannya alat tersebut. Moral cerita ini jelas: penyulitan melindungi daripada pengintipan luaran, tetapi ia tidak membetulkan keputusan yang cuai atau kesilapan penerima.
Pancingan data, penyamaran dan rampasan akaun WhatsApp
Satu lagi bidang di mana aplikasi pemesejan telah menjadi tempat pemburuan penjenayah ialah kecurian identiti dan pancingan data . Kempen yang sebelum ini terhad kepada e-mel kini juga diedarkan melalui SMS, WhatsApp dan saluran lain, dengan mesej yang berpura-pura menjadi pemberitahuan yang sah untuk memperdaya pengguna agar mengklik di tempat yang tidak sepatutnya.
Satu contoh biasa ialah e-mel yang kelihatan seperti dari WhatsApp dan menjemput anda untuk "membuat sandaran mesej dan sejarah panggilan anda" melalui pautan. Mengkliknya, bukannya sandaran, akan memuat turun perisian berniat jahat yang boleh mencuri data, mengawal akaun atau menjangkiti peranti secara berterusan.
Dalam beberapa bulan kebelakangan ini, terdapat juga peningkatan percubaan untuk merampas akaun WhatsApp menggunakan kejuruteraan sosial. Dengan memanfaatkan data peribadi yang dikumpul daripada pelanggaran atau media sosial sebelum ini, penyerang menyamar sebagai kenalan, sokongan teknikal atau entiti yang dipercayai, meyakinkan mangsa untuk memberikan kod pengesahan yang diterima melalui SMS.
Kod tersebut, yang digunakan oleh banyak aplikasi (termasuk perbankan, media sosial dan sistem pengesahan SMS-ID) sebagai lapisan keselamatan kedua , adalah kunci utama. Berkongsinya, walaupun "kerana rakan memintanya," adalah sama seperti menyerahkan kawalan akaun secara percuma. Sebaik sahaja berada di dalam, penjenayah boleh menyamar sebagai mangsa untuk meminta wang, mengakses perbualan sebelumnya atau melanjutkan serangan ke perkhidmatan lain yang dikaitkan dengan nombor yang sama.
Berhadapan dengan ancaman seperti ini, penyelesaiannya melibatkan pengukuhan kesedaran dan kebersihan keselamatan asas : berwaspada terhadap mesej yang tidak dijangka yang meminta kod atau kata laluan, mengaktifkan sistem pengesahan tambahan (seperti PIN pengesahan dua langkah WhatsApp) dan menyemak secara berkala peranti mana yang dilog masuk ke akaun kita.
Risiko dalam penjagaan kesihatan dan persekitaran korporat: mengapa "sebarang WhatsApp" tidak berkesan
Dalam organisasi seperti Perkhidmatan Kesihatan Kepulauan Balearic , pesanan segera telah menjadi alat penting untuk komunikasi pantas antara profesional, tetapi itu tidak bermakna anda boleh menggunakan sebarang aplikasi yang anda ada pada telefon peribadi anda. Pemilihan alat secara langsung memberi kesan kepada kerahsiaan data pesakit dan pematuhan undang-undang.
Atas sebab ini, Microsoft Teams telah dipilih sebagai aplikasi pesanan korporat dalam persekitaran ini , menjelaskan bahawa komunikasi segera antara kakitangan penjagaan kesihatan mesti dijalankan secara eksklusif melalui platform ini. Teams disepadukan ke dalam ekosistem Office 365, yang menawarkan penyelesaian keselamatan khusus untuk mengurangkan ransomware, kecurian identiti, pelanggaran data dan ancaman yang berkaitan dengan URL dan fail berniat jahat.
Pada masa yang sama, kepentingan memastikan semua aplikasi dikemas kini dan menggunakan kata laluan yang kukuh ditekankan untuk mengurangkan tempoh pendedahan kepada kelemahan yang diketahui. Latihan pengguna adalah kunci: memahami bahawa setiap kelewatan dalam pengemaskinian atau setiap kata laluan yang lemah membuka peluang untuk bakal penyerang.
Dalam sektor penjagaan kesihatan, dan dalam mana-mana organisasi lain yang tertakluk kepada peraturan ketat seperti HIPAA, GDPR, SOX atau keperluan pertahanan, aplikasi pemesejan yang direka untuk orang awam sering kekurangan kawalan perniagaan yang penting : pentadbiran pengguna berpusat, dasar pengekalan, kebolehkesanan akses penuh, pencegahan kebocoran data atau penyepaduan dengan sistem pengurusan identiti.
Banyak contoh kehidupan sebenar yang boleh didapati: daripada hospital yang didenda berjuta-juta kerana membenarkan penggunaan WhatsApp untuk menyelaras pesakit, kepada firma guaman di mana penggunaan Signal dengan pelanggan menimbulkan persoalan tentang keistimewaan peguam-pelanggan dan membawa kepada tuntutan mahkamah salah laku. Situasi ini menjelaskan bahawa, walau betapa menggodanya untuk memanfaatkan aplikasi popular, harga yang perlu dibayar boleh menjadi sangat besar.
Salt Typhoon, infrastruktur kritikal dan had pemesejan pengguna
Serangan yang dikaitkan dengan kumpulan seperti Salt Typhoon terhadap penyedia telekomunikasi utama telah menonjolkan kerapuhan infrastruktur komunikasi yang menyokong kerajaan, perniagaan dan perkhidmatan kritikal. Berhadapan dengan rasa kelemahan ini, banyak organisasi telah beralih, hampir secara naluri, kepada aplikasi pemesejan pengguna sebagai penyelesaian cepat untuk "melindungi" komunikasi dalaman.
Masalahnya ialah alat-alat ini, walaupun menawarkan perlindungan yang lebih baik daripada SMS atau e-mel yang tidak disulitkan , tidak direka bentuk untuk tahap keselamatan yang diperlukan untuk komunikasi strategik bernilai tinggi. Ia cenderung untuk menumpukan infrastruktur di beberapa pusat data penyedia, mewujudkan titik kegagalan tunggal dan sasaran utama untuk penyerang dan tekanan undang-undang daripada kerajaan asing.
Dari sudut pengawalseliaan, banyak platform ini tidak selaras dengan keperluan khusus dalam sektor sensitif , seperti kewajipan pengarkiban dan pengauditan dalam kewangan, pemotongan undang-undang dalam litigasi atau sekatan kedaulatan data dalam kontrak kerajaan. Menggunakannya untuk memproses maklumat yang tertakluk kepada peraturan ini adalah satu pertaruhan bahawa, lambat laun, pemeriksaan atau insiden akan mendedahkan ketidakpatuhan tersebut.
Dalam bidang kedaulatan data, penggunaan perkhidmatan global juga bermakna maklumat boleh disimpan dalam bidang kuasa dengan undang-undang akses yang sangat berbeza , atau undang-undang yang bercanggah dengan peraturan tempatan. Ini membuka pintu kepada pengumpulan risikan oleh negara pihak ketiga dan kepada pertempuran undang-undang yang kompleks di mana perundangan terpakai untuk setiap maklumat.
Oleh itu, organisasi yang mengurus infrastruktur kritikal atau maklumat yang sangat sensitif memerlukan penyelesaian yang direka bentuk dari bawah ke atas untuk realiti mereka: seni bina pengetahuan sifar, kunci penyulitan di bawah kawalan pelanggan , penggunaan di premis atau hibrid yang menjamin kedaulatan data dan satu set lengkap ciri audit, pengekalan, integrasi dan pengesahan lanjutan.
Cellcrypt dan platform perusahaan: pendekatan berbeza terhadap keselamatan
Berdepan dengan batasan aplikasi tujuan umum, platform yang direka khusus untuk komunikasi perniagaan dan kerajaan yang selamat , seperti Cellcrypt, telah mendapat tempat. Penyelesaian ini adalah berdasarkan premis yang jelas: penyedia tidak boleh dapat membaca kandungan atau mengumpulkan lebih banyak metadata daripada yang diperlukan.
Cellcrypt menggunakan seni bina pengetahuan sifar dengan penyulitan hujung ke hujung dan kawalan kunci bahagian klien . Ini dilengkapi dengan penyulitan pasca-kuantum berlapis dua, berdasarkan algoritma piawai NIST, yang direka untuk menahan serangan semasa dan senario "tangkap sekarang, nyahsulit kemudian" pada masa hadapan apabila pengkomputeran kuantum menjadi ancaman yang realistik.
Dalam persekitaran di mana rahsia negara atau maklumat pertahanan dikendalikan, penyelesaian jenis ini mempunyai kelulusan daripada organisasi seperti NATO dan pensijilan kerajaan , serta audit luaran yang mengesahkan reka bentuk dan pelaksanaannya. Ia bukan sekadar soal teknologi, tetapi juga menunjukkan, dengan dokumentasi dan bukti, bahawa piawaian yang paling mencabar telah dipenuhi.
Dari sisi pentadbiran, platform gaya ini menawarkan pengurusan pengguna berpusat, kawalan akses berasaskan peranan, peruntukan jarak jauh dan penyingkiran peranti , penguatkuasaan dasar keselamatan dan alat pengauditan dan pelaporan yang membolehkan dokumentasi tentang siapa yang mengakses apa, bila dan dari mana—sesuatu yang penting dalam sektor yang dikawal selia.
Dari segi penggunaan, pilihannya sangat fleksibel: daripada pemasangan di premis untuk kawalan data yang lengkap, kepada model berasaskan awan atau hibrid yang mengimbangi penerimaan pantas, kebolehskalaan dan kedaulatan . Dari segi fungsi, ciri-cirinya termasuk panggilan suara dan video yang disulitkan, pemesejan dan sembang kumpulan, perkongsian fail dan skrin yang dilindungi serta langkah tambahan seperti penyekatan tangkapan, pemadaman jauh dan geofencing untuk menyekat akses ke lokasi tertentu.
Agar peralihan ini dapat dilaksanakan, strategi berfasa biasanya dilaksanakan: audit penggunaan pesanan semasa, definisi dasar, program rintis terkawal, pelancaran secara beransur-ansur dan pelaksanaan yang berkesan yang merangkumi larangan eksplisit terhadap aplikasi pengguna untuk komunikasi sensitif. Tanpa komponen kawal selia dan pendidikan ini, teknologi sahaja tidak mencukupi.
Amalan terbaik untuk pengguna dan sumber untuk pembelajaran selanjutnya
Pada peringkat individu, terdapat beberapa garis panduan yang boleh diikuti oleh sesiapa sahaja untuk mengurangkan pendedahan mereka semasa menggunakan aplikasi pemesejan. Yang pertama adalah menganggap nombor telefon dan kod yang diterima melalui SMS sebagai bukti kelayakan sensitif yang tidak boleh dikongsi , walaupun orang yang memintanya kelihatan seperti rakan, juruteknik atau aplikasi itu sendiri.
Adalah idea yang baik untuk menyemak tetapan privasi setiap aplikasi untuk mengehadkan siapa yang boleh melihat gambar profil, perihalan, masa terakhir dilihat atau profil awam anda. Semakin sedikit maklumat yang tersedia secara umum, semakin sukar bagi penyerang untuk mencipta penipuan yang meyakinkan atau menghubungkan nombor anda dengan data bocor yang lain.
Dari segi teknikal, adalah penting untuk memastikan peranti anda dilindungi dengan perisian antivirus dan sistem pengendalian yang terkini , dan berwaspada terhadap sebarang pautan atau fail yang tidak dijangka, walaupun ia datang daripada kenalan yang diketahui (akaun mereka mungkin juga telah dicerobohi). Berfikir dua kali sebelum mengklik boleh menjimatkan banyak masalah.
Terdapat banyak sumber berguna yang tersedia daripada organisasi seperti INCIBE: infografik untuk mencipta kata laluan yang kukuh, catatan blog tentang kesilapan pengguna yang biasa , panduan untuk mengenal pasti percubaan pancingan data dan surat berita khusus pada e-mel, pengurus kata laluan dan cara melaporkan penipuan dalam talian dengan betul. Bahan-bahan yang jelas ini, yang direka untuk orang awam, membantu mengintegrasikan keselamatan siber ke dalam kehidupan seharian.
Pada peringkat organisasi, menggabungkan alat korporat yang sesuai (Pasukan, penyelesaian perusahaan yang disulitkan seperti Cellcrypt, dll.) dengan latihan tetap dalam amalan terbaik dan pemantauan alat akses jauh tanpa kebenaran dan perkhidmatan awan dapat mengurangkan skop penyerang dan kecuaian dalaman dengan ketara. Ia bukan tentang hidup dalam ketakutan, tetapi tentang kesedaran bahawa, dengan beberapa langkah yang munasabah, kebanyakan bencana dapat dielakkan.
Semua yang telah kita lihat menunjukkan bahawa aplikasi pemesejan sama hebatnya dengan aplikasi yang sensitif: ia memudahkan hidup, tetapi sebarang kesilapan teknikal atau manusia boleh membawa akibat yang sangat serius dari segi privasi, pematuhan dan keselamatan. Menilai alat yang kita gunakan untuk setiap jenis perbualan, meminimumkan pendedahan data kita dan memilih penyelesaian perusahaan apabila maklumat memerlukannya adalah cara terbaik untuk terus menikmati kepantasan sembang tanpa menjadikannya penghalang digital kita.
