أسرار الخرق الكبير في "واتسآب"...لماذا طاول سوريا ولبنان؟

ظهرت موجة مختلفة من استهداف حسابات "واتساب" منذ 14 آب/أغسطس الجاري، تمثلت في وصول أعداد كبيرة من طلبات وأكواد التحقق إلى المستخدمين، بالتزامن مع حالات تسجيل خروج إجباري وفقدان مؤقت للقدرة على استعادة الحساب.

وفي عدد من الحالات، لم يسبق تسجيل الخروج ضغط المستخدم على أي رابط أو فتح ملف أو تنفيذ خطوة واضحة يمكن ربطها بالحادثة، وكانت سوريا ولبنان من بين الدول المتضررة بالهجمات.

وجاء النمط بعد مرحلة سابقة ظهرت منذ 8 آب/أغسطس، وارتبطت بمحاولات "Ghost Pairing" وربط الأجهزة. أما الموجة التي بدأت في 14 آب/أغسطس، فتميزت بإغراق مسار التحقق نفسه بطلبات متكررة، ثم انتقال بعض الحالات إلى تسجيل خروج إجباري (Forced Logout)، مع فرض فترات انتظار طويلة قبل السماح للمستخدم بطلب رمز تفعيل جديد عبر الرسائل النصية أو الاتصال الهاتفي.

كيف يحدث الهجوم؟

يمكن تشبيه ما يحدث، من حيث المبدأ، بهجمات حجب الخدمة الموزعة (DDoS). ففي الهجوم التقليدي، لا يعتمد المهاجم على جهاز واحد، بل يستخدم عدداً كبيراً من الأجهزة أو البوتات لإرسال كم هائل من الطلبات إلى خادم واحد، بهدف الضغط على موارده وتعطيل قدرته على خدمة المستخدمين بصورة طبيعية.

أما في النمط المرصود هنا، فتنتقل فكرة الإغراق من الخادم إلى حساب المستخدم نفسه، وتحديداً إلى مسارات التحقق والاسترداد المرتبطة به. فبدلاً من إغراق موقع إلكتروني بطلبات الشبكة، يتعرض رقم الهاتف والحساب لطلبات تسجيل وأكواد تفعيل متكررة ومتزامنة. والنتيجة العملية هي زيادة الضغط على آلية التحقق، وظهور قيود زمنية على طلب الرموز، وتعقيد عملية استرداد الحساب بالنسبة إلى صاحبه.

ومن هنا يمكن استخدام مصطلحات مثل "Account-Level Flooding" أو "User-Level DDoS" بوصفها مقارنة تفسيرية، لا توصيفاً تقنياً رسمياً للهجوم. فالهدف المباشر ليس إسقاط خوادم "واتساب"، بل إغراق مسار التحقق المرتبط بمستخدم محدد ووضع الحساب تحت ضغط متواصل.

وتوحي السرعة والتزامن وكثافة طلبات التحقق، إلى جانب تكرار النمط نفسه لدى عدد كبير من المستخدمين، باستخدام بنية آلية قادرة على تنفيذ العمليات على نطاق واسع. ويمكن تصور هذه البنية من خلال عدة مستويات مترابطة، تشمل السكريبتات (Scripts)، والبوتات (Bots)، وأنظمة الأتمتة وتنسيق العمليات (Automation Orchestrators)، وربما وكلاء الذكاء الاصطناعي (AI Agents).

والسكريبت هو مجموعة من التعليمات البرمجية التي تحدد ما يجب تنفيذه وبأي ترتيب. ويمكن أن يحدد المهمة، والتوقيت، وإعادة المحاولة، وقراءة النتائج، وفترات الانتظار، والانتقال من مرحلة إلى أخرى، من دون الحاجة إلى تنفيذ كل خطوة يدوياً مع كل حساب.

أما البوت فهو الأداة التنفيذية التي تتلقى مهمة محددة وتنفذها آلياً ثم تعيد النتيجة. وعندما تعمل أعداد كبيرة من البوتات بالتوازي، يمكن تنفيذ عدد ضخم من العمليات خلال فترة قصيرة، بدلاً من الاعتماد على تدخل بشري مباشر في كل محاولة.

من جهتها، تسمح الأتمتة ومنسق العمليات بتحويل مجموعة من البوتات والسكريبتات إلى منظومة واحدة، عبر توزيع الأهداف وتشغيل المهام بالتوازي وضبط التوقيت وإدارة إعادة المحاولات وتسجيل النتائج، ثم نقل كل حالة إلى المرحلة التالية وفقاً لما يحدث معها. وتمنح هذه البنية العملية قابلية للتوسع، بحيث يمكن استهداف عدد كبير من المستخدمين في الوقت نفسه.

وكلاء الذكاء الاصطناعي

إلى ذلك، يمكن لوكيل الذكاء الاصطناعي، في حال استخدامه ضمن مثل هذه المنظومات، أن يعمل كطبقة لاتخاذ القرار فوق الأتمتة، عبر قراءة النتائج الواردة من البوتات، وتصنيف الحالات، وتحديد الأولويات، واختيار الإجراء التالي، وإعادة توجيه المهام إلى مجموعات أخرى من البوتات أو السكريبتات.

وفي هذا السيناريو، لا تقتصر العملية على برنامج يكرر أمراً ثابتاً، بل تصبح منظومة قادرة على إدارة عدد كبير من الحالات المتزامنة والمتغيرة. ويمكن تلخيص الصورة التشغيلية المفترضة على النحو الآتي: تدخل الأهداف إلى النظام، وتدير طبقة القرار الخطوات التالية، بينما يوزع منسق العمليات المهام، وتحدد السكريبتات منطق التنفيذ، فيما تنفذ مجموعات البوتات العمليات بالتوازي وتعيد النتائج إلى مركز التحكم.

تحليل تقني للهجمات

ولعل أبرز ما ظهر في الحالات المرصودة أن إغراق طلبات التحقق لا يحدث دائماً كحادثة منفصلة، بل يتزامن أحياناً مع انتقال الحساب لاحقاً إلى تسجيل خروج إجباري. وربما يشير ذلك إلى تشغيل أكثر من مسار في الوقت نفسه: أحدها يركز على توليد طلبات التسجيل والتحقق بكثافة، بينما تستهدف عمليات آلية أخرى مسارات التسجيل أو التحقق أو إدارة الجلسات.

وبحسب الرصد التقني للحالات، تعمل مجموعات من العمليات الآلية بالتوازي أثناء موجة طلبات التفعيل، مع محاولات متكررة مرتبطة بأكواد التحقق. وفي بعض الحالات، تنتهي العملية بتسجيل ناجح من جهاز آخر، لتظهر بعدها حالة تسجيل الخروج الإجباري على جهاز الضحية. وهذا ما يجعل التعامل مع وصول أعداد كبيرة من أكواد التحقق باعتبارها مجرد إزعاج أمراً غير كاف، بل يمكن أن تكون جزءاً من عملية أوسع ومتعددة المراحل.

وعندما يفقد المستخدم جلسته، تبدأ مرحلة ثانية أكثر حساسية. ففي بعض الحالات، تظهر فترات انتظار طويلة قبل السماح بطلب رسالة نصية جديدة أو مكالمة تحقق، وربما تصل هذه الفترات إلى 24 أو 48 ساعة. وخلال هذه المدة، يصبح صاحب الرقم أمام نافذة استرداد محدودة، وتصبح الأولوية لاستعادة السيطرة على الحساب، ثم مراجعة جميع الجلسات والأجهزة المرتبطة به.

وظهرت اختلافات في مكالمات التحقق لدى بعض الحالات المرصودة، حيث أبلغ مستخدمون عن مسارات صوتية مختلفة عند محاولة الحصول على رمز التفعيل. ولهذا، يفيد توثيق وقت الاتصال، وشركة الاتصالات، والتعليمات الصوتية التي ظهرت خلال المكالمة، ونتيجتها، من دون مشاركة رمز التحقق نفسه.

إعدادات الحماية المشددة

من الإجراءات المستخدمة خلال متابعة الحالات تفعيل خيار "Strict Account Settings" داخل "واتساب"، وهو وضع يجمع مجموعة من إعدادات الحماية والخصوصية المشددة، ويحد من مساحة التفاعل مع جهات مجهولة، بما في ذلك بعض الاتصالات والمحتوى القادم من مرسلين غير معروفين. ويمكن الوصول إليه، وفق النسخ التي تتضمن الميزة، عبر المسار:

WhatsApp > Settings > Privacy > Advanced > Strict Account Settings

وخلال متابعة عدد من المستخدمين بعد تفعيل الوضع، لوحظ انخفاض في كثافة محاولات الاستهداف التي كانت تصل إليهم. لذلك جرى اعتماده كأحد الإجراءات المبكرة عند ظهور مؤشرات على استهداف الحساب.

ما الذي يجب فعله فوراً؟

عند بدء وصول أكواد تحقق لم يطلبها المستخدم، من الأفضل التعامل معها باعتبارها إشارة تحذير مبكرة، من دون انتظار حدوث تسجيل خروج فعلي. ويشمل ذلك مراجعة الأجهزة المرتبطة (Linked Devices) والجلسات النشطة، وتفعيل التحقق بخطوتين (Two-Step Verification)، واستخدام إعدادات الحماية المشددة عند توفرها، والتأكد من البريد الإلكتروني ووسائل الاسترداد المرتبطة بالحساب.

وبعد استعادة الحساب، ينبغي فحص الأجهزة المرتبطة فوراً وإخراج أي جهاز غير معروف، إلى جانب مراجعة إعدادات التحقق بخطوتين والبريد الإلكتروني المرتبط. أما مستخدمو "آيفون"، فمن المفيد أيضاً مراجعة حساب "Apple" ولائحة الأجهزة الموثوقة وتنبيهات تسجيل الدخول، وتغيير كلمة المرور في حال ظهور أي نشاط غير معروف.

تحديث مفاجئ لـ"واتساب بزنس" في "آيفون"

تزامناً مع هذه الموجة، ظهر تطور لافت لدى مستخدمي "آيفون". فبحسب صفحة "App Store" الخاصة بالتحديث الأخير لتطبيق "WhatsApp Business"، أصبحت النسخة المعروضة تحمل الرقم 26.32.75، وظهر عند توثيقها أنها صدرت قبل يوم واحد.

واكتفى وصف التحديث بالصياغة العامة المعتادة، التي تشير إلى تحديث التطبيق بصورة منتظمة لإصلاح الأخطاء (Bug Fixes) وتحسين الأداء وتجربة الاستخدام، من دون تقديم تفاصيل بشأن طبيعة الأخطاء التي عالجتها النسخة الجديدة. وأثار التوقيت تساؤلات بشأن وجود أي صلة بين موجة الاستهداف غير الاعتيادية التي طالت حسابات "واتساب" وصدور تحديث جديد لـ"واتساب بزنس" في "آيفون" يتضمن إصلاحات غير مفصلة.

ولا يتيح وصف التحديث معرفة ما إذا كانت الإصلاحات شملت أي جزء من منظومة التسجيل أو أكواد التحقق أو إدارة الجلسات والأجهزة المرتبطة أو آليات الحد من طلبات التفعيل المتكررة. ولا يكفي التزامن الزمني وحده لإثبات وجود علاقة مباشرة بين الأمرين، لكنه يجعل تفاصيل الإصلاحات المدرجة في النسخة 26.32.75 محل اهتمام ضمن التسلسل الزمني للموجة، وخصوصاً في ظل كثافة الحالات المرصودة على أجهزة "آيفون".

رين قزي - المدن