خبير أمني يكشف عن أبرز الثغرات والتهديدات الأمنية في انظمة "اتصالات مصر"
حذر “محمد عبد الباسط” الخبيرالامني ومؤسس شركة "Seekurity" من اكتشاف عدة ثغرات فى انظمة شركة الاتصالات المصرية Etisalat Misr (@EtisalatMisr @Etisalat_Care @etisalat) تضر المشتركين فيها بأشكال ودرجات خطر مختلفة
اول هذه الثغرات المكتشفه كانت بعنوان "Etisalat Misr is leaking valid user’s sessions on Google search and via unencrypted communications" بمعنى ان جلسات العمل او ال Session الخاصة بحسابات العملاء كانت متسربة او cached على محرك البحث جوجل ، حيث ان يمكن لاي مستخدم الدخول لحساب اى شخص من خلال بعض كلمات البحث فى جوجل او ""Google dorks لان الرابط المسرب فى نتائج البحث كان بيحتوى على ال authentication token" "الخاص بحساب المستخدمين على الموقع والذي يستطيع الشخص استخدامه للقيام بإجراء اى عمليات متاحه على الحساب ، اخطرها تحويل الرصيد او الاشتراك فى باقات جديده وهذا يفسر احيانا سؤال "هوا انا رصيدى بيروح فين؟" و "الشركات دى بتسرقنا!" و "رصيدى بيخلص بسرعة" و "انا كنت على خطة مكالمات او انترنت س ولقيت نفسى على ص! "للتفاصيل علي هذه الروابط : https://youtu.be/v9Mp8EfUY3Y وهنا: https://youtu.be/hvudADbDsu8
- الثغرة الثانية بعنوان "Etisalat Misr Mobile App is maintaining access of recycled SIM cards" وهذه ببساطة فشلت فيها اتصالات مصر بسبب ال "Security design" الفقير التي تستخدمه فى بناء منتجاتها، الثغرة ملخصها (المشترك الاول) لو اشتري شريحة لكي يستخدمها بشكل مؤقت وقام بفتح حساب جديد لها على تطبيق موبايل "Etisalat Misr" وبفرض انه لم يقم باستخدام الشريحة لمدة ٣ شهور فبيتم اعادة تدويرها او "بتتسحب منه وتعود لمنافذ البيع من جديد لكي تباع لمستخدم اخرويستخدمها (المشترك الثانى) يستطيع (المشترك الاول) الوصول ليها من خلال التطبيق الخاص بالموبايل
- الثغرة الثالثة بعنوان "Etisalat Misr is Leaking subscriber phone number to ANY Third-Party Website violating subscriber’s privacy" كانت مرتبطة اكتر بالخصوصية، "رقم تليفونك هذه الايام مثل رقم البطاقه ، اصبح مربوط بالشخص واصبح هو وسيلة الدخول لحساب البنك ووسيلة لإسترداد حساباته على مواقع التواصل الاجتماعى فى حالة سرقتها او ان واجه مشاكل فيها، هذه المشكلة دى بتتمثل فى ان المستخدم في حاله اتصاله بالانترنت سواء من خلال ""Etisalat Hotspot او" "Etisalat ADSL يستطيع اى شخص بكون جافا سكريبت بسيط انه يسرق رقم التليفون المسجل به لو قام بشكل ما بالدخول الى الموقع الخبيث اللى هيستضيف كود الجافا سكريبت https://youtu.be/iLRoUU0gXtA
- الثغرة الرابعة بعنوان "Etisalat Misr is Injecting its "Etisalat Widget" in ANY unencrypted communications" وهذه تكلمناعنها فى حادثة حصلت فى تطبيق بنك كبير ومعروف كانوا يقوموا بحقن ما يسمى "Etisalat Widget" ودى عبارة عن مربع صغير يظهر والمستخدم يتصفح مواقع الانترنت التي لا تستخدم "HTTPS" ويظهر معلومات اساسية عن رصيدك ورقم تليفونك وكام ميجا باقية فى الباقة، الخ…، وهذا غيرقانونى على الاطلاق وكما حدث فى مشكلة بنك معين فى مصر، اتصالات مصر كانت بقوم بحقن ال Etisalat Widget داخل تطبيق البنك نفسه مما يعرض سلامة وخصوصية وامن مستخدمى تطبيق البنك نفسه حتى وإن اعتبرنا إن "شركة اتصالات مصر" شركة لا تبحث عن ضرر للمستخدم، تطبيق البنك هو التطبيق الذي يلام عليه لانه لو كل اتصالاته امنه شركة اتصالات لن تستطيع حقن ال ""Widget داخل التطبيق!
- الثغرة الخامسة بعنوان "Etisalat Misr User Portal over Unencrypted Communications on Etisalat.eg domain" حتى وإن لم تكن درجة خطورتها بنفس درجة خطورة الثغرات السابقة الا انها ثغرة كان واجب علينا اننا نبلغ عنها، ما يسمى بدومين ""etisalat.eg لا بيستخدم شهادة لحماية خصوصية الاتصال مابين المستخدم وخوادم خدمات شركة اتصالات، للاسف دى واحده من ال basics الخاصة بالسكيوريتى ومش هنتكلم فيها كتير هنا لانى اتكلمت عن النقطة دى بشكل كافى يخليك تفهمها.
وقدم عبد الباسط بعض النصائح للمستخدمين للحفاظ علي أمن معلوماتهم
1. عند شراء شريحة اتصالات جديدة يجب تسجلها على تطبيق موبايل اتصالات لمنع اى اساءة لاستخدام الشريحه من قبل اى مشترك سابق، لان هذه الشريحة ليست جديدة، بل معاد تدويرها.
2. لا تستخدم اى خدمات اونلاين لشركة اتصالات مصرحتي يقوموا باصلاح الثغرات المذكورة.
3. حاول تسجل خروجك من كل جلسات العمل النشطة الخاصة بخدمات الانترنت الخاصة بشركة اتصالات لانه من الجائز ان تكون جلسات العمل دى او حسابك تم تسريبة مثلما ذكرنا فى الثغرة رقم ١
4. محاولة استخدام VPN للمحافظه على خصوصيتك اونلاين خصوصا لوكانت المواقع التي يتم زيارتها غيرامنه، هذا سيوفر جزء من الامان.
واضاف “عبد الباسط” ان الثغرات اللى تم اكتشفناها تم اكتشافها بدون تدخلنا او بحثنا عن ثغرات فى مواقع او حتى طلب اى resources او لمس مخدمات خدمات اتصالات او ما يعرف بال passive testing
رابط التدوينة الرسمية موجود هنا "Security Vulnerabilities affects Online Services of Egyptian Telecommunications Company Etisalat Misr" هنا: https://skty.cc/ay
