وقتی هوش مصنوعی کلید گاوصندوق دیجیتال اپلبیز را لو داد!

رمز عبوری که در تاریکی کدها جا ماند

در دنیای توسعه نرم‌افزار، کاشتن رمز عبور یا کلیدهای خصوصی در دل کدهای منبع که به آن هاردکد کردن اعتبارنامه (Hardcoded Credentials) می‌گویند، یکی از مهلک‌ترین خطاهایی است که تیم‌های فنی می‌توانند مرتکب شوند. این خطای کلاسیک، مثل این است که کلید اصلی گاوصندوق یک بانک بزرگ را زیر پادری ورودی ساختمان رها کنید. ماجرا از آنجا شروع شد که اپلیکیشن موبایل رستوران‌های زنجیره‌ای اپلبیز (Applebee's) روی سیستم‌عامل اندروید (Android)، میزبان یک رمز عبور فوق‌العاده حساس برای یک پایگاه داده داخلی بود. این اپلیکیشن که بیش از یک میلیون بار از گوگل‌پلی (Google Play) دانلود شده است، به راحتی به هکرها اجازه می‌داد تا با استخراج این کلید، به سیستم‌های راه دور شرکت نفوذ کنند و درست مثل یک کاربر مجاز به داده‌ها دسترسی داشته باشند.

خطای یاد شده فراتر از یک سهل‌انگاری ساده است؛ این یک فاجعه ساختاری در لایه‌های امنیتی یک برند شناخته‌شده تجاری به شمار می‌رود. هنگامی که یک توسعه‌دهنده نرم‌افزار فراموش می‌کند کلیدهای دسترسی را پیش از انتشار نسخه نهایی از روی کدهای منبع پاک کند، در واقع درِ پشتی بزرگی را برای نفوذگران باز نگه داشته است. در این سناریو، مهاجمان سایبری نیازی به ابزارهای پیچیده هک یا حملات مهندسی اجتماعی ندارند؛ کافی است اپلیکیشن را بارگیری کرده و کدهای آن را وارسی کنند تا گنجینه‌ای از اطلاعات ارزشمند شرکت را روی سینی طلا تحویل بگیرند.

شکار دیجیتال با چاشنی هوش مصنوعی

اینجا بود که فناوری هوش مصنوعی (Artificial Intelligence) به کمک امنیت سایبری آمد و معادله را به کلی تغییر داد. رابرت ویگنز (Robert Wiggins)، محقق امنیت سایبری مستقر در بریتانیا و وابسته به شرکت وات سیکوریتی (What Security)، توانست با بهره‌گیری از مدل‌های هوش مصنوعی، این اعتبارنامه دفن‌شده را در میان هزاران خط کد پیچیده پیدا کند. بررسی کدهای منبع برنامه‌های بزرگ معمولاً برای انسان‌ها فرآیندی فرساینده، زمان‌بر و خسته‌کننده است. اما هوش مصنوعی با پردازش سریع حجم عظیمی از داده‌ها، توانست سوزنِ گم‌شده در انبار کاه کدهای اپلبیز را در کوتاه‌ترین زمان ممکن شناسایی کند.

استفاده از هوش مصنوعی برای تحلیل کدهای منبع (Source Code Analysis) نشان می‌دهد که تکنولوژی‌های نوین دو لبه مختلف شمشیر را به نمایش گذاشته‌اند. از یک سو، توسعه‌دهندگان بدخواه یا هکرهای کلاه‌سیاه می‌توانند از این ابزارها برای یافتن نقاط ضعف سیستم‌ها بهره ببرند و از سوی دیگر، پژوهشگران امنیتی مانند ویگنز از همین الگوها برای کشف آسیب‌پذیری‌های پنهان پیش از وقوع فجایع بزرگ‌تر استفاده می‌کنند. این کشف دقیق، پتانسیل بالای ابزارهای هوشمند را در شناسایی حفره‌های امنیتی اپلیکیشن‌های موبایلی که روزانه میلیون‌ها کاربر با آن‌ها سر و کار دارند، به رخ کشید.

گستره تاریک داده‌های افشا شده کاربران

عمق این فاجعه امنیتی با بررسی دقیق پایگاه داده آسیب‌پذیر نمایان‌تر می‌شود. تک‌کرانچ (TechCrunch) پس از راستی‌آزمایی یافته‌های ویگنز با ساختن یک حساب کاربری آزمایشی و دیكامپایل کردن (Decompiling) اپلیکیشن اندروید اپلبیز، تأیید کرد که اطلاعات شخصی کاربران به راحتی در دسترس بوده است. این داده‌ها شامل نام کامل کاربران، آدرس‌های ایمیل، وضعیت تأیید ایمیل، تاریخ تولد، شماره تلفن‌ها و کدهای پستی (ZIP Codes) می‌شد. افزمون بر این موارد حساس، جزئیات دیگری نظیر وضعیت کهنه‌سربازی (Veteran Status)، تعداد دفعات ورود به سیستم، تاریخ ایجاد حساب کاربری و حتی آدرس‌های IP آخرین ورود افراد که می‌تواند برای تخمین موقعیت تقریبی آن‌ها استفاده شود، کاملاً عیان بود.

نکته نگران‌کننده اینجاست که مراجع و مسئولان شرکت داین برندز (Dine Brands)، شرکت مادر اپلبیز، هنوز ارقام دقیقی از تعداد کاربران تحت تأثیر این افشاگری ارائه نکرده‌اند. اگرچه برنامه وفاداری مشتریان این مجموعه سال گذشته دست‌کم ۸.۵ میلیون عضو فعال داشت، مشخص نیست چه تعداد از این افراد قربانی این سهل‌انگاری دیجیتال شده‌اند. ویگنز اذعان داشت که تلاش برای شمارش دقیق رکوردها با استفاده از مدل هوش مصنوعی، نیازمند دسترسی غیرضروری به تک‌تک پرونده‌های مشتریان بود که از نظر اخلاقی و امنیتی توجیه‌پذیر نبود؛ اما ابعاد ریسک به قدری بالا بود که هر کاربری را نسبت به امنیت داده‌های شخصی خود نگران می‌کند.

سکوت سنگین مدیریت و معماری معیوب پاسخگویی

یکی از ابعاد تکان‌دهنده این رویداد، نبود کانال ارتباطی امن یا صفحه گزارش باگ (Bug Bounty / Security Disclosure) در ساختار شرکتی اپلبیز و هلدینگ متبوع آن بود. پژوهشگر امنیتی پس از کشف این آسیب‌پذیری، راه ارتباطی مشخصی برای هشدار دادن به مدیران پیدا نکرد و ناچار شد از طریق رسانه تک‌کرانچ موضوع را به گوش مسئولان برساند. این رویکرد سنتی و بسته در قبال امنیت سایبری، نشان‌دهنده شکاف عمیق میان سرعت رشد تکنولوژی‌های دیجیتال و آمادگی مدیران اجرایی شرکت‌های سنتی برای مواجهه با بحران‌های دنیای فناوری است.

پس از رسانه‌ای شدن موضوع، سخنگوی داین برندز با ارسال بیانیه‌ای اعلام کرد که تیم امنیتی بلافاصله تحقیقات خود را آغاز کرده و تا این لحظه هیچ مدرکی دال بر دسترسی غیرمجاز به پایگاه داده پیدا نکرده است. با این حال، وقتی از آن‌ها پرسیده شد که آیا لاگ‌های سرور (Server Logs) برای بررسی دقیق‌تر وجود دارد یا خیر، از پاسخ دادن سر باز زدند. شرکت‌های بزرگ تجاری در اقتصاد دیجیتال امروز دیگر نمی‌توانند با پاسخ‌های کلی و مبهم از زیر بار مسئولیت حفاظت از حریم خصوصی مشتریان شانه خالی کنند؛ به ویژه وقتی خطاهای انسانی ساده، امنیت میلیون‌ها انسان را به بازی می‌گیرد.