كشف فريق من الباحثين في جامعة فيينا النمساوية عن ثغرة أمنية مثيرة للقلق في تطبيق “واتساب“، والتي أدت إلى تعريض أرقام هواتف ما يقارب ثلاثة مليار وخمسمائة مليون مستخدم حول العالم للخطر. هذه الثغرة، التي قد تبدو في ظاهرها بسيطة وغير معقدة، أثبتت أنها تمثل واحدة من أكبر الاختراقات المحتملة في تاريخ التطبيق الشهير. وربما يكون رقم هاتفك من بين الأرقام التي تم كشفها نتيجة هذه الثغرة، مما يجعل الأمر أكثر جدية وأهمية للمستخدمين حول العالم.
وأظهرت الدراسة أن الباحثين تمكنوا من استغلال آلية شائعة يستخدمها تطبيق “واتساب” للتأكد مما إذا كان رقم هاتف معين مسجلاً على المنصة أم لا. وتعتمد هذه الآلية على وظيفة البحث عن أرقام الهواتف، التي تُستخدم عادةً لإيجاد الأصدقاء والمعارف على التطبيق. لكن الباحثين وجدوا أنه من الممكن توظيف هذه الوظيفة بطريقة تسمح لهم بالكشف عن أرقام الهواتف دون علم أصحابها، وهو ما يشكل تهديداً كبيراً للخصوصية.
النتيجة المقلقة لهذه الثغرة أنها لا تتطلب تقنيات معقدة أو معرفة عميقة بالبرمجة، إذ يمكن لأي شخص يمتلك المهارات الأساسية استغلالها للوصول إلى بيانات حساسة. وبحسب التقرير المنشور على موقع “فون أرينا”، فإن الثغرة تمنح المهاجم إمكانية الوصول إلى قاعدة بيانات ضخمة تحتوي على أرقام الهواتف، وهو ما قد يؤدي إلى استخدام هذه المعلومات في أنشطة خبيثة مثل إرسال رسائل مزعجة أو محاولات الاحتيال أو حتى سرقة الهوية الرقمية للأشخاص المتضررين.
تجدر الإشارة إلى أن “واتساب” هو أحد أكثر التطبيقات شعبية في العالم، ويستخدمه ملايين الأشخاص يومياً للتواصل الشخصي والمهني. لذلك، فإن أي تهديد يطال بيانات المستخدمين على هذا المستوى يعتبر أمراً بالغ الخطورة. وقد أشار الباحثون إلى أن الشركة المطورة للتطبيق لم تكن على دراية بهذه الثغرة قبل اكتشافها، مما يعكس الحاجة المستمرة لمراجعة وتعزيز أنظمة الأمان الرقمية بشكل دوري.
من الناحية التقنية، تقوم الثغرة على استغلال ضعف في طريقة تعامل التطبيق مع طلبات البحث عن الأرقام. فعند إرسال طلب للتحقق مما إذا كان الرقم مسجلاً على المنصة، يمكن للمهاجم الحصول على تأكيد بشكل غير مباشر حول وجود الرقم أم لا، ومن ثم جمع هذه المعلومات لأعداد ضخمة من الأرقام بسهولة كبيرة. ما يجعل الأمر أكثر خطورة هو أن هذه العملية يمكن تنفيذها بسرعة وبدون ترك أي أثر واضح للمستخدم، مما يزيد من صعوبة اكتشاف أي محاولات اختراق أو استغلال.
كما حذر الباحثون من أن هذه الثغرة قد تُستغل ليس فقط للكشف عن الأرقام، بل قد تكون خطوة أولى في سلسلة من الهجمات الأكثر تعقيداً التي تستهدف الخصوصية الرقمية للمستخدمين. ويعتبر هذا التحذير دعوة لكل مستخدمي التطبيق للبقاء يقظين وعدم الإفصاح عن معلوماتهم الشخصية بشكل عشوائي، خاصة عند التعامل مع الرسائل أو الروابط المشبوهة.
في النهاية، تؤكد هذه الدراسة على أهمية الأمن الرقمي وحماية المعلومات الشخصية في عصر أصبحت فيه التطبيقات الرقمية جزءاً أساسياً من حياتنا اليومية. وكما بين الباحثون في جامعة فيينا، فإن أي خلل حتى لو بدا بسيطاً يمكن أن يكون له تأثير واسع النطاق على الملايين من الأشخاص حول العالم. وبالتالي، فإن اليقظة المستمرة والتحديثات الأمنية المنتظمة تظل من أهم الوسائل لحماية البيانات الشخصية والحد من مخاطر التعرض للاختراق أو التسريب.
في غياب أي نظام لتحديد معدل المحاولات (Rate Limiting)
تمكّن باحثون خلال نصف ساعة فقط من جمع ثلاثين مليون رقم داخل الولايات المتحدة، قبل أن تتسع العملية لاحقًا لتصل إلى ثلاثة مليارات ونصف رقم حول العالم.
اعتمدوا ببساطة على تغيير تسلسل الأرقام آليًا، ليكشف تطبيق واتساب ما إذا كان الرقم مرتبطًا بحساب فعال.
الأخطر أن ما يقارب سبعة وخمسين بالمئة من المستخدمين يتيحون صورهم للعموم، مما جعل الحصول على الصور الشخصية أمرًا سهلًا.
كما استطاع الباحثون الوصول إلى النص التعريفي لحوالي تسعة وعشرين بالمئة من الحسابات.
ثغرة معروفة منذ 2017 بلا معالجة
كانت شركة ميتا على علم بهذه الثغرة منذ عام 2017 بعد بلاغ سابق، لكنها لم تتخذ أي خطوة جادة لمعالجتها.
وفي أبريل الماضي، جدد الباحثون النمساويون التحذير، مؤكدين خطورتها وسهولة استغلالها لجمع بيانات المستخدمين على نطاق واسع.
وفي أكتوبر 2025، فرضت ميتا آلية جديدة لتحديد معدل المحاولات، مما يمنع تكرار عمليات الاستخراج الضخمة التي كانت ممكنة سابقًا.
كما أعلن الباحثون أنهم حذفوا قاعدة البيانات التي احتوت على تلك الأرقام.
مقارنة مع المنافسين
تطبيقات أخرى مثل سيغنال كانت توفر حماية مشابهة منذ البداية، بحيث لا يمكن تنفيذ عمليات فحص جهات الاتصال بشكل جماعي.
ويُعد ذلك من الأسباب التي تدفع العديد من المستخدمين لتفضيل سيغنال بفضل مزاياه المتقدمة في مجال الخصوصية، مثل إخفاء عنوان IP أثناء المكالمات، ومنع التقاط الشاشة داخل المحادثات، والاعتماد شبه المعدوم على جمع البيانات الشخصية.
ورغم أن واتساب يقدم مجموعة واسعة من الميزات ويستخدم التشفير التام بين الطرفين، فإن بقاء هذه الثغرة دون معالجة لسنوات يثير تساؤلات حول سياسات الخصوصية فيه ومدى قدرته على حماية مستخدميه.
