اكتشفت خلال الآونة الأخيرة ثغرة خطيرة في نظام الاتصالاتSS7 أو Signaling System 7 وهو عبارة عن مجموعة من البروتوكولات الخاصة بالهواتف تم تطويرها عام 1975، هذه البروتوكولات هي المسؤولة عن تنصيب كافة الخدمات الخاصة بالمكالمات الهاتفية وتنصيب وتكوين خدمات اخرى عديدة مثل الرسائل النصية القصيرة ونظام الفواتير المسبقة الدفع.

ويقوم الباحث الأمني بحسب فيديوهات عرضتها مواقع إلكترونية باستغلال ثغرة خطيرة فى SS7، وبمساعدتها يقوم بخداع برج الاتصالات BTS بأن يخبره أن الرقم المطلوب إرسال الرسالة له هو رقم آخر مغاير للرقم المفترض أن تصله الرسالة، وهذا بمساعدة أدوات وهاردويرز معينة بالإضافة إلى تطبيق Wireshark المشهور جدا فى اعتراض وقراءة كل المعلومات المارة فى الشبكة.

وباستغلال الثغرة التي اكتشفها عام 2014 الباحث الأمنى الألماني «كارستن نوهل»، يمكن اعتراض كل البيانات المارة بين هاتف معين وأقرب برج اتصال متصل به الهاتف بل وتعديلها ليقوم بالحصول على أي رسالة قصيرة أو مكالمة هاتفية على هاتف آخر.

وذكرت الثغرة فى وسائل الإعلام بكونها ثغرة خطيرة يمكن استخدامها على نطاق واسع جدا من قبل الحكومات والمؤسسات الحكومية وغير الحكومية، إلّا أن تأثيرها انحصر فى تتبع أي مالك هاتف فى الوقت الفعلي من أي مكان فى العالم بنسبة نجاح تتعدى %70، وأيضا القدرة على التصنت على المكالمات الهاتفية عن طريق عمل تحويل للمكالمات من هاتف لآخر وأيضا الحصول على مفتاح التشفير الخاص بأى رقم هاتفي بواسطة طلبه من مقدم الخدمة بشكل مباشر.

وجرى استخدام هذه الثغرة من طرف بعض الشركات التي وردت أسماؤها عند التسريب الذي تعرّضت له إحدى أشهر شركات الحماية، وذلك عندما اعتبر موقع ويكيلكيس أن هذه الشركة الأخيرة تقوم ببيع برمجيات خبيثة لشركات أخرى تستخدمها للتجسس.

ومن حوالى 3 أسابيع تقريباً، قدم الباحث الأمني «توماس فوكس بريوستر»، الذي يعمل في مؤسسة فوربس ثلاثة ڤيديوهات تقريباً منهم فيديو لاختراق شبكات اجتماعية عديدة على سبيل المثال واتس آب وتلغرام وفيسبوك، كل هذا بغض النظر عن كمية التشفير وكمية الحماية التي تقدمها هذه الخدمات لمستخدميها، وتقريبا على نفس شاكلة السيناريو، يمكن  اختراق أي خدمة تعتمد إجراءات إعادة ضبط كلمة المرور الخاصة بها على خدمة الرسائل القصيرة. شاهد الفيديوهات من هنا: الرابط الأول، الرابط الثاني، الرابط الثالث.

وعن كيفية الحماية من هذه الثغرة، نصح الباحث الأمني بألا يقوم أي شخص باستخدام رقما هاتفيا معروفا من قبل الأصدقاء أو من قبل أي شخص، وتربطه وربطها بحساباتك الشخصية على الإنترنت. من الأحسن  شراء رقم  هاتفي مخصص لحساباتك على الانترنت.

القيام بتفعيل خاصية التحقق بخطوتين (أي كلمة حساب على الانترنت وكود التحقق على الهاتف الشخصي) على كل حساباتك بالإنترنت.

القيام بتثبيت تطبيق Snoop Snitch  الذي تمت برمجته من قبل باحثين أمنيين. ويقوم هذا التطبيق بتحذير المستخدم من إمكانية وجود هجوم على SS7.