پژوهشگران امنیتی نقصی را در افزونه مرورگر «ادوبی آکروبات» (Adobe Acrobat) روی مرورگر کروم شناسایی کردهاند که میتوانست به یک سایت مخرب اجازه دهد بخشی از پیامها و اطلاعات نمایشدادهشده در واتساپ وب را استخراج کند. این افزونه بیش از ۳۰۰ میلیون کاربر دارد و با وجود اینکه ادوبی اکنون مشکل را برطرف کرده، این ماجرا یادآوری میکند که چرا باید مراقب افزونههای نصبشده روی مرورگرمان باشیم.
سرقت در سکوت؛ این نفوذ چگونه انجام میشد؟
سناریوی این حمله بسیار ساده و روزمره است.
برای اینکه هکرها بتوانند به پیامهای واتساپ شما دسترسی پیدا کنند، تنها کافی بود در حالی که افزونهی ادوبی روی مرورگرتان فعال است، وارد یک سایت مخرب شوید؛ سایتی که ممکن بود ظاهر کاملاً عادی و فریبندهای داشته باشد و از طریق نتایج جستوجو یا یک ایمیل تبلیغاتی به آن رسیده باشید. سپس افزونه میتوانست متنهای نمایشدادهشده در صفحه، مانند فهرست چتها، پیشنمایش پیامها و گفتوگوی باز را برای سرور مهاجم ارسال کند.
نکته
این نقص رمزنگاری سرتاسری واتساپ را نشکست. حمله به محتوایی دسترسی پیدا میکرد که پس از رمزگشایی، داخل مرورگر کاربر نمایش داده شده بود.
سه نکته مهم درباره دامنه این خطر
با خواندن این خبر ممکن است نگران امنیت حساب واتساپ خود شوید، اما چند نکتهی مهم وجود دارد که دامنهی این خطر را محدود میکند:
- نخست اینکه این آسیبپذیری اکنون برطرف شده است. شرکت ادوبی پس از دریافت گزارش، نسخهی جدید افزونه را منتشر کرد و این حفره را بست.
- دوم اینکه این حمله بهطور خودکار رخ نمیداد. مهاجم حتماً باید کاربر را فریب میداد تا روی یک لینک خاص کلیک کند یا وارد یک سایت دستکاریشده بشود.
- سوم اینکه این مشکل ارتباطی به امنیت خود اپلیکیشن واتساپ روی گوشیهای موبایل نداشت و فقط کاربرانی را تهدید میکرد که از نسخهی وب واتساپ روی مرورگر کروم (همراه با افزونهی آسیبپذیر ادوبی) استفاده میکردند.
اگر از این افزونه استفاده میکنیم، چه کار کنیم؟
اگر از افزونهی ادوبی آکروبات روی مرورگر کروم استفاده میکنید:
- افزونه را بهروزرسانی کنید: به بخش مدیریت افزونهها (Extensions) بروید و مطمئن شوید که مرورگر و افزونههایتان بهروز هستند. این مشکل نسخهی ۲۶.۵.۲.۲ و نسخههای قدیمیتر را تحتتأثیر قرار میداد و در نسخهی ۲۶.۵.۲.۳ برطرف شد.
- مراقب لینکهای ناشناس باشید: حتی با وجود تمام لایههای امنیتی، کلیک نکردن روی لینکهای مشکوک و باز نکردن سایتهای نامعتبر، همچنان بهترین خط دفاعی شماست.
- مرورگر خود را آپدیت نگه دارید: همیشه از جدیدترین نسخهی مرورگر کروم استفاده کنید تا وصلههای امنیتی را بهموقع دریافت کنید.
این اتفاق یادآوری خوبی برای یک قاعدهی امنیتی مهم است: مرورگر خود را خلوت نگه دارید. هر افزونهای که روی مرورگر نصب میکنید، دسترسیهای گستردهای به اطلاعات شما دارد. اگر به افزونهای نیاز مبرم ندارید، آن را غیرفعال یا حذف کنید تا سطح تماس شما با خطرات احتمالی کاهش یابد.
