ثغرات خطيرة في آلاف تطبيقات أندرويد وتسريب بيانات هائل للمستخدمين

كشف تقرير أمني حديث عن وجود ثغرات واسعة النطاق في آلاف تطبيقات أندرويد، تسببت في تسريب كميات ضخمة من بيانات المستخدمين، إلى جانب مفاتيح وأسرار تقنية حساسة مرتبطة بالبنية السحابية لشركة جوجل.

وبحسب تحقيق أجرته منصة Cybernews، جرى تحليل نحو 1.8 مليون تطبيق متاح على متجر “جوجل بلاي”، مع التركيز على التطبيقات التي تروّج لاعتمادها على تقنيات الذكاء الاصطناعي.

وأظهرت النتائج، التي نقلها موقع TechRadar، إخفاقات أمنية ممنهجة تتجاوز مجرد أخطاء فردية من المطورين، ما يشير إلى أزمة أوسع في ممارسات تطوير التطبيقات.

أسرار مدمجة داخل الشيفرة البرمجية
 

وحدد الباحثون 38,630 تطبيقًا يعتمد على الذكاء الاصطناعي، خضعت لفحص معمّق للشيفرة البرمجية الخاصة بها، ليتضح أن قرابة 72% منها يحتوي على أسرار تقنية مدمجة مباشرة داخل الكود، بمتوسط يزيد على خمسة أسرار لكل تطبيق.

وبشكل إجمالي، تم رصد 197 ألف سر فريد، ما يعكس استمرار استخدام أساليب برمجية غير آمنة رغم التحذيرات المتكررة خلال السنوات الماضية.

«جوجل كلاود» في بؤرة التسريب

وأشار التقرير إلى أن أكثر من 81% من البيانات الحساسة المسرّبة ترتبط بخدمات “غوغل كلاود”، وتشمل معرفات المشاريع، ومفاتيح واجهات البرمجة (API)، وقواعد بيانات Firebase، ومستودعات التخزين السحابي.

كما تم اكتشاف 26,424 نقطة وصول لخدمات غوغل السحابية، تبيّن أن نحو ثلثيها يعود لبنية لم تعد مستخدمة، بينما لا تزال 8,545 حاوية تخزين نشطة وتتطلب مصادقة، في حين كانت مئات الحاويات الأخرى مضبوطة بشكل خاطئ ومتاحة للعامة.

730 تيرابايت من البيانات المكشوفة
 

ووفق التقرير، قد يكون هذا الخلل أدى إلى تعريض أكثر من 200 مليون ملف للخطر، بإجمالي بيانات يُقدّر بنحو 730 تيرابايت من معلومات المستخدمين.

كما رُصدت 285 قاعدة بيانات Firebase من دون أي إجراءات تحقق، ما تسبب في تسريب ما لا يقل عن 1.1 غيغابايت من البيانات.

وفي نحو 42% من قواعد البيانات المكشوفة، ظهرت جداول تحمل تسمية “Proof of Concept”، وهو ما يرجّح تعرضها لاختراقات سابقة، بينما احتوت قواعد أخرى على حسابات إدارية بعناوين بريد إلكتروني ذات طابع هجومي، في مؤشر على أن الاستغلال كان فعليًا وليس افتراضيًا.
 

 أشار التقرير إلى أن تسريب مفاتيح نماذج اللغة الكبيرة كان محدودًا نسبيًا، حيث جرى رصد عدد قليل فقط من المفاتيح المرتبطة بخدمات مثل OpenAI وGemini وClaude، وهي غالبًا تسمح بإرسال طلبات جديدة دون الوصول إلى المحادثات أو السجلات السابقة.