آسیانیوز ایران؛ سرویس علم و تکنولوژی:
فضای مجازی در سال جدید میلادی، با یک شوک امنیتی بزرگ آغاز شده است. اینستاگرام، یکی از پرطرفدارترین پلتفرمهای جهان، صحنه یکی از بزرگترین نشتهای اطلاعاتی سال است که حریم خصوصی میلیونها نفر را به خطر انداخته است. بر اساس گزارشهای کارشناسان امنیتی، یک پایگاه داده غولآسا حاوی اطلاعات شخصی حدود ۱۷.۵ میلیون کاربر اینستاگرام از سراسر جهان، در انجمنهای تخصصی دارکوب کشف و در حال خرید و فروش است. این نشت، اطلاعاتی فراتر از نام کاربری ساده را شامل میشود. هکر یا گروهی با نام مستعار «سولونیک» مسئولیت این نشت را بر عهده گرفته و دادهها را با عنوان «نشت دادههای API سال ۲۰۲۴» در فرومهای شناختهشده جرایم سایبری عرضه کرده است. این نشاندهنده یک آسیبپذیری جدی در مکانیزمهای دسترسی برنامهنویسی (API) اینستاگرام است. مهاجمان سایبری با استفاده از تکنیکهای پیشرفته استخراج خودکار دادهها، موفق شدهاند محدودیتهای امنیتی پروفایلهای عمومی را دور بزنند و حجم عظیمی از اطلاعات حساس را جمعآوری کنند. این دادهها در قالب فایلهای متنی و نرمافزاری سازماندهی شدهاند.
نکته نگرانکننده، عمق اطلاعات به سرقت رفته است. این پایگاه داده تنها شامل نام کاربری نیست، بلکه اطلاعاتی مانند نام کامل، آدرس ایمیل تأییدشده، شماره تلفن، شناسههای اختصاصی کاربران و حتی موقعیت مکانی آنها را نیز در بر میگیرد. هرچند طبق بررسی اولیه، رمزهای عبور کاربران در این مجموعه نشت نکرده است، اما ترکیب ایمیل و شماره تلفن، سلاح خطرناکی در دست کلاهبرداران است. این اطلاعات، زمینه را برای حملات فیشینگ هدفمند، سرقت سیمکارت (SIM Swap) و پروفایلسازی دقیق برای فریب کاربران فراهم میکند. بررسیهای اولیه نشان میدهد که از میان این ۱۷.۵ میلیون کاربر، حداقل ۲۱ هزار کاربر با شماره تلفن ایرانی شناسایی شدهاند. این به معنای آن است که هزاران هموطن نیز در معرض تهدیدات ناشی از این نشت اطلاعاتی قرار دارند. این گزارش، به تحلیل دقیق این فاجعه امنیتی، خطرات احتمالی برای کاربران و مهمتر از همه، راهکارهای فوری و عملی برای محافظت از حسابهای کاربری در برابر سوءاستفاده مجرمان سایبری میپردازد.
آناتومی حمله؛ چگونه API اینستاگرام دور زده شد؟
این نشت اطلاعاتی، یک نمونه کلاسیک از سوءاستفاده از رابط برنامهنویسی نرمافزار (API) است. APIها درگاههای استانداردی هستند که به برنامههای خارجی اجازه میدهند با یک سرویس (مثل اینستاگرام) ارتباط برقرار کرده و دادههای خاصی را دریافت کنند. اینستاگرام نیز مانند بسیاری از پلتفرمها، APIهایی برای توسعهدهندگان دارد. به نظر میرسد مهاجمان با استفاده از تکنیکهایی مانند اسکرپینگ (Web Scraping) پیشرفته یا سوءاستفاده از یک آسیبپذیری یا باگ در API عمومی، موفق شدهاند به صورت خودکار و در حجم انبوه، به دادههای پروفایلهای عمومی—که دسترسی به آنها برای عموم آزاد است—دسترسی یابند. نکته کلیدی، جمعآوری و ترکیب اطلاعات پراکنده در یک پایگاه داده متمرکز و غنی است. این حمله لزوماً به معنای هک سرورهای متا نیست، بلکه نشاندهنده نقص در مکانیزمهای نرخمحدودسازی (Rate Limiting) یا احراز هویت API است که اجازه داده یک نهاد، حجم غیرعادی و سریعی از درخواستهای داده را ارسال و پردازش کند. این روش، گاهی «کیسهزدن از API» یا «Data Scraping» نامیده میشود و مبارزه با آن دشوار است.
عمق فاجعه؛ چرا این اطلاعات اینقدر خطرناک هستند؟
اگرچه رمزهای عبور نشت نکردهاند، اما مجموعه اطلاعات منتشرشده، سلاح کامل یک مهاجم سایبری است. داشتن نام کامل، ایمیل و شماره تلفن یک فرد، امکان حملات فیشینگ فوقهدفمند (Spear Phishing) را فراهم میکند. مهاجم میتواند ایمیلی شخصیسازیشده ارسال کند که به طور مثال ادعا میکند از پشتیبانی اینستاگرام است و از شما میخواهد برای "احراز هویت اضطراری" روی لینکی کلیک کنید. ترکیب شماره تلفن و نام، خطر سرقت سیمکارت (SIM Swapping) را افزایش میدهد. در این روش، کلاهبردار با فریب اپراتور تلفن همراه، مالکیت شماره شما را به سیمکارت خود منتقل میکند. سپس با دریافت کدهای تأیید دو مرحلهای پیامکی، به همه حسابهای متصل به آن شماره—از جمله اینستاگرام، ایمیل و حتی حساب بانکی—دسترسی پیدا میکند. علاوه بر این، شناسههای اختصاصی و موقعیت مکانی، امکان پروفایلسازی دیجیتال عمیق را فراهم میکنند. مجرمان میتوانند الگوی زندگی، علایق، ارتباطات و عادات شما را تحلیل کرده و حملات خود را با دقت بیشتری طراحی کنند یا این اطلاعات را به سایر باندهای مجرم—مانند اخاذی، کلاهبرداری عاطفی یا تبلیغات آزاردهنده—بفروشند.
تأثیر بر کاربران ایرانی و نشانههای هشداردهنده
وجود حداقل ۲۱ هزار شماره تلفن ایرانی در این پایگاه داده، زنگ خطری جدی برای جامعه کاربری کشور است. این بدان معناست که هزاران هموطن باید منتظر افزایش ناگهانی پیامکها و تماسهای مخرب، درخواستهای دوستی مشکوک و ایمیلهای فیشینگ به زبان فارسی باشند که ادعا میکنند از طرف اینستاگرام یا شرکتهای مرتبط هستند. همانطور که در گزارش ذکر شده، بسیاری از کاربران همزمان با انتشار خبر، درخواستهای بازیابی رمز عبور ناخواسته دریافت کردهاند. این یک تاکتیک رایج برای تست اعتبار دادههای دزدیدهشده یا ایجاد حس اضطرار در کاربر است. اگر کدی برای بازیابی رمز دریافت کردید که خودتان درخواست نکردهاید، مطلقاً آن را در جایی وارد نکنید و بلافاصله آن را حذف کنید. کاربران ایرانی همچنین باید مراقب حسابهای جعلی پشتیبانی در خود اینستاگرام یا واتساپ باشند که با استفاده از اطلاعات واقعی شما (مثل نام کامل) برای فریب تلاش میکنند. هیچ نهاد رسمی متا هرگز از طریق دایرکت اینستاگرام یا واتساپ از شما رمز یا کد تأیید درخواست نمیکند.
راهکارهای فوری و بلندمدت برای محافظت از خود
اقدامات فوری (همین حالا):
۱. تغییر رمز عبور
یک رمز عبور منحصربهفرد، طولانی و پیچیده برای اینستاگرام انتخاب کنید که در هیچ جای دیگر استفاده نشده باشد.
۲. فعالسازی احراز هویت دومرحلهای (2FA)
این گزینه را از حالت پیامکی (SMS) خارج کرده و از اپلیکیشنهای تأیید هویت مانند Google Authenticator، Microsoft Authenticator یا Authy استفاده کنید. این اپها کدهای امنیتی را حتی در صورت سرقت سیمکارت نیز در اختیارتان میگذارند.
۳. بررسی فعالیت حساب
به بخش «تنظیمات و حریم خصوصی» > «حریم فعالیت و اطلاعات شما» > «دسترسی به اطلاعات شما» بروید و فعالیتهای ورود به حساب را در دستگاههای مختلف بررسی کنید. هر نشست مشکوکی را پایان دهید.
اقدامات بلندمدت و احتیاطی
۱. هوشیاری در برابر فیشینگ
نسبت به هر ایمیل، پیامک یا تماسی که اطلاعات شخصی یا کلیک روی لینک را درخواست میکند، حتی اگر فرستنده آشنا به نظر برسد، بدبین باشید. همیشه آدرس فرستنده و URL لینکها را با دقت بررسی کنید.
۲. کاهش ردپای دیجیتال
در تنظیمات حریم خصوصی اینستاگرام، اطلاعاتی مانند آدرس ایمیل و شماره تلفن را از نمایش عمومی پنهان کنید. مرور کنید که چه اطلاعاتی در پروفایل عمومی شما قابل مشاهده است.
۳. استفاده از ایمیل جداگانه
برای حسابهای مهم اجتماعی خود، یک آدرس ایمیل جداگانه و اختصاصی ایجاد کنید که آن را در هیچ جای دیگری به کار نبرید.
مسئولیت متا و آینده امنیت در پلتفرمهای اجتماعی
این حادثه، سؤالات جدی درباره مسئولیت شرکت متا به عنوان مالک اینستاگرام ایجاد میکند. چرا مکانیزمهای محافظتی API به اندازه کافی مقاوم نبودهاند؟ آیا متا کاربران آسیبدیده را به صورت فردی مطلع خواهد کرد؟ و چه اقداماتی برای جبران و جلوگیری از تکرار انجام میدهد؟ متا موظف است نه تنها با رفع آسیبپذیری، بلکه با افزایش شفافیت پاسخ دهد. شرکت باید به وضوح توضیح دهد که این نشت چگونه رخ داده، دامنه آن چقدر است و کاربران چگونه میتوانند از حساب خود محافظت کنند. سکوت یا پاسخهای کلی، اعتماد از دست رفته کاربران را بازنمیگرداند. از منظر کلان، این اتفاق بار دیگر نشان میدهد که امنیت سایبری یک مسئله پیوسته و در حال تکامل است. کاربران نمیتوانند تنها بر عهده پلتفرمها تکیه کنند. لازم است سواد امنیت سایبری به بخشی ضروری از مهارتهای زندگی دیجیتال همه تبدیل شود. آموزش مستمر درباره خطرات، تکنیکهای حمله و راهحلهای دفاعی، تنها راه کاهش آسیب در جهان به هم پیوسته امروز است.