اپلیکیشن TM SGNL که نسخه‌ای سازمانی از پیام‌رسان امن Signal محسوب می‌شود، تنها در عرض ۲۰ دقیقه توسط یک هکر ناشناس مورد نفوذ قرار گرفت. این اپ که توسط شرکت TeleMessage ساخته شده بود، نه‌تنها پیام‌ها را رمزگذاری نمی‌کرد بلکه اطلاعات حساسی مانند رمز عبور، ایمیل و لاگ چت‌ها را در دسترس عموم گذاشته بود. جالب‌تر اینکه یکی از کاربران این اپ، مایک والتز، مشاور امنیت ملی وقت دولت ترامپ بود.
ماجرا از کجا شروع شد؟
در جریان یک جلسه کابینه، تصویری منتشر شد که مایک والتز در حال بررسی پیام‌های خود با اپلیکیشن Signal زیر میز بود. اما بررسی‌ها نشان داد که او از اپ اصلی Signal استفاده نمی‌کرد، بلکه از نسخه‌ای به نام TM SGNL بهره می‌برد؛ نسخه‌ای که به‌جای رمزگذاری سرتاسری، پیام‌ها را روی سرورهای TeleMessage ذخیره می‌کرد.
چگونه این اپلیکیشن هک شد؟
یک هکر ناشناس تنها در ۲۰ دقیقه توانست به سامانه‌های TeleMessage
نفوذ کند. دلایل این نفوذ سریع شامل استفاده از الگوریتم ضعیف MD5
برای هش کردن رمزها در سمت کلاینت، فعال بودن آدرس خطرناک
/heapdump
بدون نیاز به احراز هویت، استفاده از فناوری قدیمی JSP و نبود
تنظیمات ایمن در Spring Boot Actuator بود. هکر با دانلود فایل
Heap Dump توانست به اطلاعاتی مانند رمز عبور، نام کاربری،
پیام‌های چت و حتی کلیدهای رمزنگاری دسترسی پیدا کند.
اطلاعات چه کسانی لو رفت؟
یک کاربر با ایمیل مرتبط با سازمان گمرک و حفاظت مرزی آمریکا (CBP)، چت‌های داخلی صرافی بزرگ Coinbase و داده‌های دیگر کاربران که از TM SGNL استفاده می‌کردند در معرض دید قرار گرفتند. در واقع، اگر کسی درست زمانی که والتز در حال پیام دادن با TM SGNL بود به آن URL دسترسی پیدا می‌کرد، می‌توانست پیام‌های رمز نشده او را نیز بخواند.
دروغی به نام رمزنگاری سرتاسری
شرکت TeleMessage ادعا کرده بود که پیام‌ها از ابتدا تا پایان مسیر رمزگذاری می‌شوند. اما کدهای اپلیکیشن نشان دادند که پیام‌ها به‌صورت رمز نشده به سرور آرشیو منتقل می‌شوند. این خلاف تمام وعده‌های امنیتی این شرکت بود.
ضعف‌های شناخته‌شده اما مرگبار
هشدار درباره خطرات
/heapdump
بارها در مقالات فنی شرکت‌هایی مانند Wiz و Walmart داده شده بود.
اما TeleMessage یا از نسخه‌ای قدیمی از Spring Boot استفاده کرده
یا به‌صورت دستی این آدرس را در حالت فعال باقی گذاشته بود؛
اشتباهی فاجعه‌بار که باعث افشای اطلاعات حیاتی شد.
تحلیل iTrends: وقتی یک اشتباه ساده امنیت یک دولت را تهدید می‌کند
این ماجرا فقط یک خبر هکری نیست؛ بلکه یک نمونه‌ی هشداردهنده برای تمام سازمان‌ها، دولت‌ها و حتی کاربران عادی است:
- ۱. ادعای امنیت کافی نیست: اپلیکیشنی که ادعای امنیت دارد، باید با شواهد فنی اثبات کند که این امنیت واقعی است.
- ۲. امنیت در جزئیات است: هش ضعیف، endpoint باز، و کدنویسی قدیمی می‌توانند امنیت کل سیستم را نابود کنند.
- ۳. نظارت نباید جایگزین رمزنگاری شود: اپ‌هایی مثل TM SGNL برای کنترل بیشتر ساخته می‌شوند اما این کنترل نباید به قیمت از بین رفتن حریم خصوصی باشد.
- ۴. این ماجرا فقط آمریکایی نیست: اپ‌های سازمانی در ایران هم ممکن است با همین مشکلات توسعه یافته باشند. امنیت سایبری باید جدی گرفته شود.