كشف تقرير لوكالة رويترز للأنباء، أن الآلاف من تطبيقات الهواتف الذكية فى متاجر أبل وجوجل بلاى تحتوى على كود كمبيوتر طورته شركة تقنية روسية تسمى: “بوشووش” Pushwoosh وتقدم نفسها على أن مقرها فى الولايات المتحدة، لكنها فى الواقع شركة روسية.
عناوين متضاربة
وفقا لوثائق الشركة المقدمة علنا فى روسيا، يقع المقر الرئيسى لشركة “بوشووش” فى مدينة “نوفوسيبيرسك” السيبيرية، حيث تم تسجيلها كشركة برمجيات تقوم أيضا بمعالجة البيانات. ويعمل بها حوالى 40 شخصا، وقد حققت عائدات بلغت حوالى 2.4 مليون دولار العام الماضى، وهى مسجلة لدى الحكومة الروسية لدفع الضرائب فى روسيا.
أما على وسائل التواصل الاجتماعى وفى الإيداعات التنظيمية الأمريكية، فإن الشركة تقدم نفسها كشركة أمريكية، يقع مقرها فى عناوين متضاربة، فمرة تدعى أن مقرها كاليفورنيا ومرة ماريلاند ومرة واشنطن العاصمة.
ويوفر تطبيق “بوشووش” دعما لمعالجة التعليمات البرمجية والبيانات لمطورى البرامج، مما يمكنهم من تحديد نشاط مستخدمى تطبيقات الهواتف الذكية عبر الإنترنت، وإرسال إشعارات دفع مخصصة من خوادم “بوشووش”.
وقالت مراكز السيطرة على الأمراض والوقاية منها The Centers for Disease Control and Prevention (CDC)، وهى الوكالة الأمريكية الرئيسية المتخصصة فى مكافحة التهديدات الصحية الرئيسية، إنها تعرضت للخداع للاعتقاد بأن مقر شركة “بوشووش” يقع فى العاصمة الأمريكية. ولكنها بعد أن علمت بجذورها الروسية من رويترز، أزالت برمجيات “بوشووش” من سبعة تطبيقات عامة بسبب مخاوف أمنية.
وتقول شركة “بوشووش” على موقعها الإلكترونى، إنها لا تجمع معلومات حساسة. ولم تجد رويترز أى دليل على أن “بوشووش” أساءت التعامل مع بيانات المستخدم.
فخور بكونى روسيا
وقال مؤسس “بوشووش”، ماكس كونيف، لوكالة رويترز فى رسالة بالبريد الإلكترونى فى سبتمبر الماضى، إن الشركة لم تحاول إخفاء أصولها الروسية. وأضاف: “أنا فخور بكونى روسيا ولن أخفى هذا أبدا”. وأوضح أن الشركة ليس لها صلة بالحكومة الروسية من أى نوع، وأنها تقوم بتخزين بياناتها فى أمريكا وألمانيا.
وقال خبراء فى الأمن السيبرانى، إن تخزين البيانات فى أمريكا أو ألمانيا لن يمنع وكالات الاستخبارات الروسية من إجبار الشركة الروسية على السماح لهم بالوصول إلى تلك البيانات.
ووفقا لمسئولين غربيين، تعتبر روسيا دولة رائدة على مستوى العالم فى مجالات القرصنة والتجسس الإلكترونى، والتجسس على الحكومات والصناعات الأجنبية للحصول على ميزة تنافسية.
قاعدة بيانات ضخمة
وقد تم تثبيت كود “بوشووش” فى تطبيقات مجموعة واسعة موزعة فى مختلف أنحاء العالم من الشركات والمؤسسات غير الربحية والوكالات الحكومية، من بينها حزب العمال البريطانى.
ووفقا لموقع Appfigures، وهو موقع متخصص فى التطبيقات الذكية، تم تضمين كود “بوشووش” فيما يقرب من 8000 تطبيق فى متاجر تطبيقات أبل وجوجل، بينما يشير موقع “بوشووش” على الإنترنت إلى أن لديه أكثر من 2.3 مليار جهاز مدرج فى قاعدة البيانات الخاصة به.
مخاطر التسريب
قال جيروم دانجو، الشريك المؤسس لشركة Confiant، وهى شركة تتعقب إساءة استخدام البيانات التى يتم جمعها فى سلاسل التوريد الإعلانية عبر الإنترنت: “تقوم “بوشووش” بجمع بيانات المستخدم بما فى ذلك تحديد الموقع الجغرافى الدقيق، على التطبيقات الحساسة والحكومية، والتى يمكن أن تسمح بعمليات التتبع على نطاق واسع”. وأضاف: “لم نعثر على أى علامة واضحة على وجود نية خادعة أو خبيثة فى نشاط “بوشووش” ولكن ذلك لا يقلل من مخاطر تسريب بيانات التطبيق إلى روسيا”.
مخاوف أمنية
وبعد أن أثارت رويترز الروابط بين “بوشووش” الروسية مع مراكز السيطرة على الأمراض فى أمريكا، قالت المتحدثة كريستين نوردلوند باسم المراكز، إنه: “تمت إزالة التطبيق من تطبيقاتها باعتبار أن “الشركة تمثل مصدر قلق أمنى محتمل”.
وقالت نوردلوند: “تعتقد مراكز السيطرة على الأمراض أن “بوشووش” شركة مقرها فى واشنطن العاصمة، وأن هذا الاعتقاد يستند إلى تصريحات قدمتها الشركة.
وتضمنت تطبيقات مراكز السيطرة على الأمراض التى تحتوى على كود “بوشووش” التطبيق الرئيسى للوكالة، وغيرها من التطبيقات التى تم إعدادها لمشاركة المعلومات حول مجموعة واسعة من المخاوف الصحية. كان أحدهما تطبيقا للأطباء الذين يعالجون الأمراض المنقولة جنسيا.
التدريب القتالى
وقالت مصادر الجيش الأمريكى لرويترز، إنه تمت إزالة تطبيق يحتوى على أكواد “بوشووش” فى مارس الماضى، بسبب مخاوف من “قضايا أمنية”. ولم يذكر المتحدث مدى انتشار استخدام القوات الأمريكية للتطبيق، الذى كان بوابة معلومات للاستخدام فى مركز التدريب الوطنى للجيش الأمريكى فى كاليفورنيا.
يعد مركز التدريب الوطنى للجيش الأمريكى فى كاليفورنيا مركزا رئيسيا للتدريب القتالى، ويقع فى صحراء Mojave لتدريب الجنود قبل نشرهم، مما يعنى أن اختراق البيانات فى ذلك الموقع قد يكشف عن تحركات القوات الأمريكية الخارجية المقبلة.
وقال المتحدث باسم الجيش الأمريكى برايس دوبى، إن الجيش لم يتعرض لأى “خسارة تشغيلية للبيانات”، وإن: “التطبيق ليس متصلا بشبكة الجيش الأمريكى”.
ولم يرد حزب العمال البريطانى على طلبات وكالة رويترز للتعليق.
خوادم روسية
قال زاك إدواردز، وهو باحث أمن المعلومات الذى اكتشف لأول مرة انتشار كود “بوشووش” أثناء عمله فى Internet Safety Labs: “البيانات التى يجمعها “بوشووش” تشبه البيانات التى يمكن جمعها بواسطة فيسبوك أو جوجل أو أمازون، ولكن الفرق هو أن جميع بيانات “بوشووش” فى الولايات المتحدة يتم إرسالها إلى خوادم تسيطر عليها شركة “بوشووش” فى روسيا”. ولم ترد روسكومنادزور Roskomnadzor، الجهة المنظمة للاتصالات الحكومية فى روسيا، على طلب من رويترز للتعليق.
عنوان مزيف وملفات تعريف مزيفة
وفى الإيداعات التنظيمية الأمريكية وعلى وسائل التواصل الاجتماعى، لم تذكر شركة “بوشووش” أبدا روابطها الروسية. حيث تقول الشركة فى ملفها على موقع تويتر مكتبها يقع فى واشنطن العاصمة. أما على فيسبوك ولينكدإن، فتزعم أن عنوان مكتبها أحد المنازل فى ضاحية كينسينجتون فى ولاية ماريلاند، ونفس المعلومات مذكورة فى أحدث ملفات الشركات الأمريكية التى تم تقديمها إلى وزير خارجية ولاية ديلاوير الأمريكية.
بالنسبة للمنزل الواقع فى ضاحية كينسينجتون فى ولاية ماريلاند، فقد تم اكتشاف أنه منزل صديق روسى لمؤسس شركة “بوشووش”، ماكس كونيف. وقد تحدث إلى صحفى من رويترز بشرط عدم الكشف عن هويته. وقال إنه لا علاقة له بـ “بوشووش” وكل ما فعله أنه وافق فقط على السماح لكونيف باستخدام عنوانه لتلقى البريد.
وقال ماكس كونيف، إن “بوشووش” بدأ فى استخدام عنوان ماريلاند لتلقى مراسلات تجارية” خلال جائحة فيروس كورونا. وأوضح أنه يدير الآن “بوشووش” من تايلاند لكنه لم يقدم أى دليل على أنه مسجل فى تايلاند. ولم تتمكن رويترز من العثور على شركة بهذا الاسم فى سجل الشركات التايلاندى. لم تذكر شركة “بوشووش” أبدا أنها كانت مقرها روسيا فى ثمانية ملفات سنوية فى ولاية ديلاوير الأمريكية، حيث تم تسجيلها، وهو إغفال قد ينتهك قانون الولاية. كما أدرجت “بوشووش” عنوانا فى Union City، بكاليفورنيا كمقر عمل رئيسى من 2014 إلى 2016. واتضح أن هذا العنوان غير موجود، وفقا لمسئولى Union City.
وفى وقت آخر استخدمت شركة “بوشووش” حسابين على موقع “لينكدإن” قالت فيه، إن لديها اثنين من المديرين التنفيذيين للمبيعات فى واشنطن العاصمة، وهما مارى براون، ونوح أوشى. لكن وكالة رويترز وجدت أنه لا مارى براون ولا نوح أوشى، شخصان حقيقيان. واتضح أن الحساب التابع لمارى براون كان فى الواقع لمعلمة رقص مقيمة فى النمسا، والصورة الموجودة لها التقطها لها مصور فى موسكو، وقالت لوكالة رويترز، إنها لا تعرف كيف انتهى الأمر بها على موقع “لينكدإن”.
ولكن ماكس كونيف قال إن “بوشووش” استأجرت وكالة تسويق فى 2018 لإنشاء تلك الحسابات فى محاولة لاستخدام وسائل التواصل الاجتماعى لبيع التطبيق، وليس لإخفاء الأصول الروسية للشركة.
كيف تعمل أكواد Pushwoosh؟
يقدم برنامج “بوشووش” الأكواد (الرموز) لمطورى البرامج لإنشاء الملفات التعريفية لمستخدمي تطبيقات الهواتف الذكية بناء على نشاطهم عبر الإنترنت، مما يسمح لهم بإرسال إشعارات مخصصة.
يحتوي هاتفك الذكى على العشرات من التطبيقات التى أنشأتها مجموعة متنوعة من الشركات.
توظف هذه الشركات مجموعات من مطوري البرامج لإنشاء التطبيقات التي تستخدمها. يقوم المطورون بتصميم هذه التطبيقات لمساعدة عملائهم على بناء علاقة مع المستهلكين.
فى بعض الأحيان يكون ترميز تطبيقات الهاتف المحمول مكلفا ويتطلب الكثير من الوقت، لذلك يشترى المطورون أحيانا أكوادا جاهزة من أطراف ثالثة لتقليل التكاليف وإطلاق التطبيقات بسرعة.
“بوشووش” عبارة عن أكواد لتطوير التطبيقات تم وضع رموزه وأكواده فى حوالى 8000 تطبيق. ومع وجود هذه الرموز (الأكواد البرمجية)، يمكن أن ينشأ اتصال افتراضى بين جميع هذه التطبيقات والبنية التحتية لقواعد المعلومات فى شركة “بوشووش”.
التعليقات متوقفه