دیتابیس فیلترشکن جامپ‌جامپ با جزئیات کارت‌های بانکی و تراکنش‌ها به بیرون درز کرد

آسیانیوز ایران؛ سرویس علم و تکنولوژی:

شبکه‌های مجازی، این روزها پر از اخبار نگران‌کننده درباره امنیت اطلاعات کاربران است، اما شاید هیچ خبری به اندازه نشت ادعایی دیتابیس یک فیلترشکن پرمخاطب، نتواند حس وحشت را در دل کاربران اینترنتی ایران زنده کند. این بار نوبت به «جامپ‌جامپ» رسیده؛ اپلیکیشنی که بسیاری از کاربران برای عبور از محدودیت‌های اینترنتی به آن اعتماد کرده بودند و حالا به نظر می‌رسد که همین اعتماد، ممکن است به بزرگترین کابوس دیجیتال آنها تبدیل شود. بر اساس گزارش‌های اولیه، حجم عظیمی از اطلاعات کاربران این فیلترشکن، در یکی از انجمن‌های زیرزمینی دارک‌وب توسط هکری با شناسه «leakhunter» به معرض فروش و انتشار گذاشته شده است.

آنچه در این دیتابیس ادعایی وجود دارد، صرفاً نام کاربری و رمزعبور یا آدرس ایمیل نیست؛ موضوع بسیار فراتر و هولناک‌تر از تصورات اولیه است. به گفته منتشرکننده، این مجموعه شامل اطلاعات شخصی و نسبتاً حساسی مانند اطلاعات کارت‌های بانکی، تاریخچه تراکنش‌های مالی، موجودی حساب، لاگ کامل فعالیت کاربران در اپلیکیشن و حتی مشخصات فنی دستگاه‌هایی است که از جامپ‌جامپ استفاده می‌کرده‌اند. یعنی عملاً هر آنچه که یک کاربر در طول فعالیت خود در این اپلیکیشن بر جای گذاشته، حالا در اختیار هر کسی در دارک‌وب قرار گرفته است.

اما پیش از اینکه فاجعه را کامل باور کنیم، باید با کمی تأمل و دقت به این خبر نگاه کرد. در حال حاضر، هیچ مرجع مستقل یا شرکت امنیتی معتبری، صحت و سقم این دیتابیس را به‌طور قطعی تأیید نکرده است و ممکن است بخشی از اطلاعات جعلی یا ترکیبی از دیتابیس‌های مختلف باشد. با این حال، آنچه این ادعا را نگران‌کننده می‌کند، نه فقط حجم و جزئیات آن، بلکه تکرار نام «جامپ‌جامپ» در فهرست اپلیکیشن‌های ناامن و مشکوک است. کارشناسان امنیتی بارها در گزارش‌های پیشین، نسبت به عملکرد مبهم این فیلترشکن و شیوه نگهداری از اطلاعات کاربران هشدار داده بودند و حالا این نشت ادعایی، انگار دارد همان هشدارها را به شکلی تلخ و ملموس به اثبات می‌رساند.

بیایید صادق باشیم؛ در دنیای امروز که هر کدام از ما گاه به ناچار به فیلترشکن‌ها پناه می‌بریم، انتخاب یک اپلیکیشن معتمد، دغدغه‌ای جدی است. اما آیا واقعاً می‌دانستیم که این اپلیکیشن‌ها تا چه حد از ما اطلاعات جمع‌آوری می‌کنند؟ جامپ‌جامپ، مانند بسیاری از فیلترشکن‌های رایگان یا نیمه‌رایگان، برای تأمین هزینه‌های خود ناگزیر به کسب درآمد است و یکی از راه‌های متداول، جمع‌آوری و حتی فروش اطلاعات کاربران به شرکت‌های تبلیغاتی یا تحلیلگر داده است. اما نگهداری اطلاعات پرداخت و کارت‌های بانکی، یک سرخط قرمز آشکار در حریم خصوصی است که کمتر اپلیکیشن معتبری به خود اجازه عبور از آن را می‌دهد.

حالا اگر این دیتابیس واقعی باشد، عواقب آن می‌تواند برای کاربران بسیار سنگین باشد. اطلاعات کارت بانکی به همراه تراکنش‌ها و موجودی، یعنی کلید ورود به حساب‌های مالی و احتمالاً سوءاستفاده‌های گسترده. لاگ فعالیت کاربران نیز یعنی آگاهی از عادات اینترنتی، علایق، ساعات فعالیت و حتی محتوای مصرفی که می‌تواند برای باج‌گیری، هتک حیثیت یا حملات هدفمند فیشینگ مورد استفاده قرار گیرد. اطلاعات دستگاه‌ها هم به هکرها امکان می‌دهد تا با شناسایی دقیق مدل گوشی، سیستم‌عامل و آی‌پی‌ها، حملات دقیق‌تری را علیه کاربران ترتیب دهند. در یک کلام، این دیتابیس یک بمب ساعتی است که روی میزِ هر کلاهبرداری در دارک‌وب قرار گرفته است. از سوی دیگر، نباید نقش خود کاربران را نیز در این ماجرا نادیده گرفت. بسیاری از ما، برای راحتی کار، از یک فیلترشکن واحد برای تمام فعالیت‌های آنلاین خود استفاده می‌کنیم؛ از ورود به شبکه‌های اجتماعی و ایمیل گرفته تا خرید اینترنتی و افتتاح حساب بانکی. این یعنی ما به‌صورت ناخواسته، یک «هویت دیجیتال کامل» را در اختیار یک اپلیکیشن قرار می‌دهیم و امیدواریم که هرگز به حریم ما تجاوز نشود. اما واقعیت تلخ این است که در دنیای بدون نظارت کافی بر اپلیکیشن‌های فیلترشکن، این اعتماد، گاه به خوش‌باوری خطرناکی تبدیل می‌شود که قیمتی گزاف دارد.

در سوی دیگر ماجرا، شرکت سازنده جامپ‌جامپ تاکنون واکنش رسمی به این ادعا نشان نداده و سکوت سنگینی را پیشه کرده است. این سکوت، خود می‌تواند به عنوان یک نشانه منفی تلقی شود؛ چراکه در شرایط بحرانی، هرچه شرکت سریع‌تر شفاف‌سازی کند و کاربران را از وضعیت آگاه سازد، اعتماد بیشتری جلب می‌شود. اما گویی مدیران این اپلیکیشن یا خود را در معرض خطر نمی‌بینند یا ترجیح می‌دهند با انکار یا بی‌توجهی، از دامنه بحران بکاهند. با این حال، کاربران نباید منتظر پاسخ رسمی باشند و باید هرچه سریع‌تر تدابیر لازم را برای حفاظت از خود بیندیشند و حالا، یک سؤال بزرگ و نگران‌کننده در ذهن هر کاربری که حتی یک بار هم از جامپ‌جامپ استفاده کرده، نقش بسته است: «آیا اطلاعات من هم در این دیتابیس است؟ آیا کارت بانکی من خالی خواهد شد؟ آیا باید نگران باج‌خواهی یا انتشار عکس‌ها و اطلاعات شخصی‌ام باشم؟» پاسخ به این سؤال، شاید تا انتشار گزارش نهایی کارشناسان امنیتی مشخص نشود، اما یک نکته روشن است: اگر از جامپ‌جامپ استفاده می‌کنید، همین حالا وقت آن است که حساب‌های مالی خود را کنترل کنید، رمزهای عبورتان را تغییر دهید و دیگر هرگز به یک اپلیکیشن غیرمعتبر، چنین دسترسی گسترده‌ای به حریم شخصی خود ندهید.

بررسی ماهیت دیتابیس ادعایی و سطح حساسیت اطلاعات

نکته نخستی که در این افشای ادعایی به چشم می‌خورد، دامنه گسترده و عمق اطلاعاتی است که منتشرکننده مدعی مالکیت آن است. بر خلاف بسیاری از نشت‌های اطلاعاتی که عمدتاً شامل ایمیل، رمزعبور و نام کاربری می‌شوند، این دیتابیس ادعایی به لایه‌های بسیار عمیق‌تری از هویت دیجیتال کاربران نفوذ کرده است. اطلاعات کارت بانکی به همراه تراکنش‌ها و موجودی، یعنی نقشه‌ای کامل از وضعیت مالی و عادات خرید هر کاربر؛ موضوعی که فراتر از یک نقض حریم خصوصی ساده است و می‌تواند به سرقت مستقیم وجه، کلاهبرداری‌های هدفمند و حتی باج‌خواهی منجر شود. همچنین وجود لاگ فعالیت (که نشان‌دهنده زمان دقیق، آی‌پی مبدأ و مقصد و نوع محتوای دسترسی‌یافته است)، یک پروفایل رفتاری کامل از کاربر ترسیم می‌کند که می‌تواند برای هکرها، دولت‌ها یا شرکت‌های رقیب بسیار ارزشمند باشد.

اما سؤال اینجاست که چرا یک اپلیکیشن فیلترشکن، باید این حجم از اطلاعات حساس را نگهداری کند؟ از نظر فنی، یک فیلترشکن برای عملکرد صحیح خود، تنها نیاز به لاگ‌های موقت و محدودی از اتصالات دارد و هیچ ضرورت مهندسی برای ذخیره‌سازی اطلاعات کارت بانکی یا تراکنش‌ها وجود ندارد. بنابراین، اگر این ادعا صحت داشته باشد، یعنی جامپ‌جامپ به‌صورت عمدی و با اهداف مشخص (مانند تحلیل داده برای فروش به شرکت‌های تبلیغاتی، یا حتی سوءاستفاده مستقیم)، این اطلاعات را گردآوری و ذخیره کرده است. این رفتار، به شدت با استانداردهای بین‌المللی حفظ حریم خصوصی (مانند آیین‌نامه عمومی حفاظت از داده جی‌دی‌پی‌آر) در تضاد است و می‌تواند مصداق جرم علیه امنیت اطلاعات کاربران محسوب شود.

همچنین، وجود اطلاعات دستگاه‌ها در دیتابیس (مدل گوشی، سیستم‌عامل، شناسه یکتای دستگاه و نسخه برنامه)، به هکرها امکان می‌دهد تا حملات بسیار دقیق و هدفمندی را علیه کاربران طراحی کنند. برای مثال، با دانستن مدل گوشی و نسخه سیستم‌عامل، می‌توانند آسیب‌پذیری‌های شناخته‌شده آن دستگاه را هدف قرار دهند یا با شناسه دستگاه، حملات فیشینگ و جعل هویت را شخصی‌سازی کنند. بنابراین، حتی اگر اطلاعات مالی کاربران سالم بماند، این داده‌های فنی می‌توانند برای نفوذ به دیگر حساب‌ها و دستگاه‌های متصل کاربر استفاده شوند. در مجموع، این دیتابیس ادعایی، یک ابرسلاح اطلاعاتی است که در دستان افراد نادرست، می‌تواند آسیب‌های جبران‌ناپذیری ایجاد کند.

صحت‌سنجی ادعا و نشانه‌های فنی نشت اطلاعات

با وجود تمام هشدارها، هنوز یک قدم اساسی باقی مانده است: راستی‌آزمایی مستقل این دیتابیس. در فضای دارک‌وب و فروم‌های زیرزمینی، ادعاهای جعلی و فریب‌آمیز بسیار رایج است و گاه هکرها یا کلاهبرداران، با ترکیب اطلاعات قدیمی از نشت‌های پیشین و داده‌های ساختگی، دیتابیس‌های جعلی تولید می‌کنند تا اعتبار کسب کنند و کاربران را به دام بیندازند. بنابراین، تا زمانی که یک تیم امنیتی معتبر، نمونه‌هایی از این داده‌ها را با اطلاعات واقعی کاربران (با رضایت آنها) تطبیق ندهد، نمی‌توان با قطعیت گفت که دیتابیس جامپ‌جامپ به‌طور کامل به بیرون درز کرده است. با این حال، نشانه‌هایی وجود دارد که این ادعا را جدی‌تر می‌کند؛ از جمله سابقه ضعیف امنیتی جامپ‌جامپ، هشدارهای قبلی کارشناسان و همچنین روش فنی انتشار که شامل نمونه‌های آزمایشی از داده‌ها برای اثبات ادعا بوده است.

یکی از روش‌های رایج برای صحت‌سنجی، بررسی «هش» یا «چک‌سام» دیتابیس با دیتابیس‌های قبلی نشت‌شده است. اگر بخشی از اطلاعات منتشرشده، با اطلاعات کاربران واقعی در نشت‌های قدیمی‌تر (مثل نشت اطلاعات همراه اول یا سایر اپلیکیشن‌ها) مطابقت داشته باشد، احتمال صحت آن بیشتر می‌شود. همچنین، کارشناسان می‌توانند با بررسی ساختار جدول‌ها، نام ستون‌ها و نحوه رمزنگاری پسوردها، تشخیص دهند که آیا این دیتابیس به‌صورت حرفه‌ای و مطابق با معماری فنی جامپ‌جامپ طراحی شده است یا خیر. تاکنون هیچ گزارش رسمی از طرف شرکت‌های امنیتی داخلی یا بین‌المللی درباره صحت این دیتابیس منتشر نشده است، اما نباید فراموش کرد که گاهی تأیید رسمی، روزها یا حتی هفته‌ها پس از انتشار اولیه صورت می‌گیرد و در این فاصله، کاربران در معرض خطر هستند.

در نهایت، حتی اگر ۵۰ درصد از اطلاعات این دیتابیس صحیح باشد، باز هم می‌تواند فاجعه‌ای بزرگ باشد. فرض کنید که اطلاعات کارت بانکی همه کاربران در این دیتابیس نباشد، اما ایمیل‌ها، رمزهای عبور و لاگ فعالیت‌ها واقعی باشند. همین اطلاعات متوسط نیز برای انجام حملات فیشینگ، مهندسی اجتماعی و سرقت هویت کاملاً کافی است. بنابراین، رویکرد محتاطانه این است که تا روشن شدن کامل ابعاد ماجرا، تمام کاربران جامپ‌جامپ خود را در معرض خطر بدانند و اقدامات پیشگیرانه را بدون معطلی آغاز کنند.

پیشینه ناامنی جامپ‌جامپ و هشدارهای قبلی کارشناسان

شاید یکی از مهم‌ترین عواملی که این نشت ادعایی را قابل‌باورتر می‌کند، پیشینه تاریک و پرسابقه این اپلیکیشن در گزارش‌های امنیتی است. جامپ‌جامپ، پیش از این نیز چندین بار توسط کارشناسان امنیت اطلاعات و فعالان حوزه حریم خصوصی به عنوان یک اپلیکیشن پرخطر و مشکوک معرفی شده بود. این اپلیکیشن که در ظاهر یک فیلترشکن ساده و سریع است، از همان ابتدا با ابهاماتی در مورد نحوه کسب درآمد، مالکیت شرکتی و سرورهای میانی روبرو بود. برخلاف فیلترشکن‌های معروف جهان که معمولاً مدل درآمدی شفافی دارند (یا اشتراک پولی یا تبلیغات محدود)، جامپ‌جامپ با ارائه خدمات کاملاً رایگان، سؤال‌های زیادی را درباره منبع تأمین هزینه‌های سنگین پهنای باند و سرورهایش ایجاد کرده بود.

یکی از رایج‌ترین تئوری‌ها درباره اپلیکیشن‌های رایگان این است که آنها اطلاعات کاربران را به عنوان «محصول» به شرکت‌های داده‌فروشی یا تبلیغاتی می‌فروشند. در مورد جامپ‌جامپ، برخی گزارش‌ها حاکی از آن بود که این اپلیکیشن، ترافیک اینترنتی کاربران را به‌سمت سرورهای خاصی هدایت می‌کرد که احتمالاً برای رهگیری و تحلیل داده‌ها طراحی شده بودند. همچنین، برخی کاربران از دریافت پیام‌های تبلیغاتی هدفمند و عجیب پس از استفاده از این فیلترشکن شکایت داشتند که نشان‌دهنده نشت اطلاعات به شبکه‌های تبلیغاتی بود. این الگوهای رفتاری، به مرور زمان، جامپ‌جامپ را به یکی از بدنام‌ترین اپلیکیشن‌های حوزه فیلترشکن در ایران تبدیل کرده بود.

حالا با ادعای نشت دیتابیس، به نظر می‌رسد که آن تئوری‌ها و هشدارها رنگ واقعیت به خود گرفته‌اند. اگر این اپلیکیشن تا این حد از کاربران اطلاعات حساس جمع‌آوری می‌کرده، یعنی مدل کسب‌وکار آن نه فقط فروش داده‌های غیرحساس، بلکه گردآوری یک دیتابیس جامع از هویت دیجیتال و مالی کاربران برای مقاصد پنهان بوده است. این موضوع، زنگ خطری جدی برای تمام کاربران اینترنتی است که به‌سادگی و صرفاً به دلیل رایگان بودن یا سهولت استفاده، حریم خصوصی خود را فدای ناشناخته‌ها می‌کنند. شاید این رویداد، تلخ‌ترین درس را درباره اهمیت «انتخاب آگاهانه» ابزارهای دیجیتال به ما بدهد.

عواقب و آسیب‌های احتمالی برای کاربران و راهکارهای مقابله

با فرض صحت این نشت، کاربران جامپ‌جامپ با چه تهدیدات واقعی روبرو هستند؟

1. نخستین و مهم‌ترین خطر، سرقت مالی مستقیم است. در صورتی که اطلاعات کارت بانکی به همراه سی‌وی‌وی و تاریخ انقضا در دیتابیس موجود باشد، هکرها می‌توانند به‌راحتی از آنها برای خریدهای اینترنتی یا حتی برداشت غیرمجاز استفاده کنند. به همین دلیل، اولین توصیه به تمام کاربران احتمالی جامپ‌جامپ، تماس فوری با بانک خود و درخواست مسدودسازی کارت‌های مشکوک و صدور کارت جدید است. همچنین، باید تاریخچه تراکنش‌های اخیر خود را به دقت بررسی کنند تا از هرگونه برداشت غیرمجاز مطلع شوند. حتی اگر اطلاعات کارت در دیتابیس نباشد، تراکنش‌ها و موجودی‌ها می‌توانند برای هکرها سرنخ‌هایی درباره وضعیت مالی کاربران فراهم کنند که در حملات مهندسی اجتماعی به کار می‌آید.
2. دومین خطر جدی، سوءاستفاده از لاگ فعالیت‌ها و اطلاعات دستگاه‌هاست. با داشتن لاگ کامل، هکرها می‌توانند عادات اینترنتی، ساعات فعالیت، سایت‌های بازدیدشده و حتی محتوای ردوبدل‌شده کاربران را شناسایی کنند. این اطلاعات، برای باج‌خواهی، هتک حیثیت، یا فروش به رقبا و دولت‌ها بسیار ارزشمند است. به عنوان مثال، اگر کاربری از جامپ‌جامپ برای ورود به شبکه‌های اجتماعی یا سرویس‌های پیام‌رسان استفاده می‌کرده، هکرها می‌توانند با استفاده از آی‌پی‌ها و زمان‌ها، به حساب‌های او نفوذ کنند یا حتی هویت جعلی برایش بسازند. توصیه می‌شود که کاربران هرچه سریع‌تر رمز عبور تمام حساب‌های مهم خود (ایمیل، شبکه‌های اجتماعی، بانکداری آنلاین) را تغییر دهند و در صورت امکان، احراز هویت دو مرحله‌ای را فعال کنند تا از نفوذهای احتمالی جلوگیری شود.
3. سومین آسیب، تأثیرات بلندمدت روانی و اجتماعی است. وقتی کاربر بداند که تمام فعالیت‌های آنلاین او در اختیار افراد ناشناس قرار دارد، ممکن است دچار اضطراب، پارانویا و کاهش اعتماد به نفس در تعاملات دیجیتال شود. علاوه بر این، امکان انتشار اطلاعات شخصی توسط هکرها یا باج‌گیران، می‌تواند روابط خانوادگی، شغلی و اجتماعی کاربران را تحت تأثیر قرار دهد. بنابراین، فراتر از اقدامات فنی، کاربران باید از نظر روانی نیز خود را برای مواجهه با این بحران آماده کنند و در صورت نیاز، از مشاوران امنیت سایبری یا روانشناسان کمک بگیرند. در نهایت، این رویداد یک درس بزرگ برای همه ماست: هیچ چیز در اینترنت رایگان نیست و اگر سرویسی پولی دریافت نمی‌کند، به احتمال زیاد خودِ ما، «محصول» آن سرویس هستیم.

درس‌های کلیدی برای کاربران و لزوم نظارت بر اپلیکیشن‌های فیلترشکن

ماجرای ادعایی نشت دیتابیس جامپ‌جامپ، می‌تواند نقطه عطفی در آگاهی کاربران ایرانی نسبت به خطرات اپلیکیشن‌های فیلترشکن باشد:

1. اولین و مهم‌ترین درس، این است که هرگز نباید به یک اپلیکیشن فیلترشکن رایگان و ناشناس، دسترسی کامل به اطلاعات شخصی و مالی خود بدهیم. حتی اگر مجبور به استفاده از چنین ابزارهایی هستیم، بهتر است از نسخه‌های پولی یا اپلیکیشن‌های منبع‌باز و معروف (مثل واری‌پی‌ان‌های شناخته‌شده) استفاده کنیم که حداقل سیاست حریم خصوصی شفافی دارند و توسط جامعه امنیتی به‌طور مداوم بررسی می‌شوند. همچنین، کاربران باید عادت کنند که هر چند وقت یک بار، اطلاعات حساب‌های خود را بررسی کنند و از ابزارهای تشخیص نشت اطلاعات (مثل وب‌سایت‌های هشداردهنده) برای کنترل ایمیل و رمزعبور خود استفاده کنند.
2. دومین درس، اهمیت «تفکیک اطلاعات» است. به این معنا که هر اپلیکیشنی را نباید برای تمام نیازها به کار برد. به عنوان مثال، بهتر است از یک فیلترشکن مجزا برای فعالیت‌های غیرحساس (مثل وبگردی معمولی) و از ابزارهای دیگر با امنیت بالاتر (مانند ارتباطات رمزنگاری‌شده سرتاسری) برای فعالیت‌های حساس (مانند خرید اینترنتی یا ورود به حساب بانکی) استفاده کنیم. همچنین، هرگز نباید اطلاعات کارت بانکی یا رمزهای مهم را درون اپلیکیشن‌ها یا مرورگرها ذخیره کنیم و بهتر است همیشه پرداخت‌های اینترنتی را با کارت‌های با موجودی محدود یا از طریق درگاه‌های واسط معتبر انجام دهیم. این تفکیک، حتی اگر یک اپلیکیشن دچار نشت شود، دامنه خسارت را به حداقل می‌رساند.
3. سومین و شاید مهم‌ترین درس، ضرورت ایجاد یک نهاد نظارتی قوی در حوزه اپلیکیشن‌های فیلترشکن در ایران است. متأسفانه، به دلیل ماهیت غیررسمی و بعضاً غیرقانونی این ابزارها، هیچ نظارت مؤثری بر عملکرد آنها وجود ندارد و هر کسی با چند سرور و یک رابط کاربری، می‌تواند به عنوان فیلترشکن فعالیت کند و اطلاعات کاربران را جمع‌آوری نماید. این خلأ نظارتی، یک تهدید جدی برای امنیت ملی و حریم خصوصی شهروندان است. دولت و نهادهای مرتبط باید با تدوین ضوابط شفاف، حداقل برای اپلیکیشن‌هایی که در کشور به‌طور گسترده استفاده می‌شوند، الزاماتی مانند عدم نگهداری اطلاعات حساس، رمزنگاری داده‌ها و پاسخگویی در قبال نشت‌ها را وضع کنند. تا آن زمان، تنها سلاح کاربران، «آگاهی» و «احتیاط» است؛ دو سپری که هیچ هکری نمی‌تواند آنها را بشکند.