هكذا استغل القراصنة «إنستاباي» لسرقة أموال من حسابات المستخدمين في مصر

في مطلع فبراير، تعرض عدد من المستخدمين في مصر لسرقة أموال من حساباتهم البنكية عبر هجوم سيبراني ذكي استغل تطبيق payment app تطبيق الدفع الشهير "إنستاباي". وبحسب تقرير نشرته صحيفة "الوطن"، لم يكن التطبيق نفسه هو المخترق، بل تم استغلال ثقة المستخدمين في design تصميم التنبيهات الرسمية له، حيث نشر القراصنة تنبيهات مزيفة تشبه تلك الصادرة من التطبيق، مما أوحى للمستخدمين بأن message الرسالة تأتي من مصدر موثوق.

أحد الضحايا، أحمد فؤاد سعد، كشف عبر منصات التواصل الاجتماعي أنه خسر أكثر من 80 ألف جنيه مصري (نحو 1500 دولار) جراء attack الهجوم. ووفق تقرير صادر عن شركة الأمن السيبراني الأمريكية "راسبيري" (Raspire)، فإن الهجوم لم يستهدف "إنستاباي" فقط، بل استغل ميزة موجودة في هواتف أندرويد تُعرف بـ"مراقبة الشاشة"، مما مكّن المهاجمين من السيطرة على أجهزة الضحايا عن بعد، ومراقبة كل ما يفعلونه على شاشاتهم، بما في ذلك إدخال password كلمات المرور.

بدأ الهجوم عندما قام القراصنة بالترويج لتطبيق "آي بي تي في" (IPTV) مجاني يتيح مشاهدة الأفلام والمسلسلات. بمجرد تثبيته، يطلب التطبيق من المستخدم منحه صلاحيات access وصول خاصة، مثل القدرة على عرض نوافذ فوق التطبيقات أو إرسال إشعارات، دون أن يُدرك المستخدم حجم risk الخطر. وبمجرد تفعيل هذه الصلاحيات، يحصل القراصنة على قدرة مراقبة مباشرة، وتُستخدم لسرقة بيانات تسجيل الدخول إلى التطبيقات البنكية، في عملية تجمع بين الهندسة الاجتماعية والتصيد الاحتيالي.

الميزة التي استُغلت موجودة أساسًا لدعم وظائف مفيدة مثل النوافذ العائمة أو مساعدات الإعاقة البصرية التي تقرأ محتوى الشاشة تلقائيًا، لكنها أصبحت نقطة ضعف أمنية خطيرة. ورغم أهميتها، فإن استخدامها من قبل تطبيقات غير موثوقة يفتح الباب أمام انتهاكات جسيمة. ولهذا السبب، فإن هواتف iPhone آيفون، التي تمنع هذه الصلاحيات الواسعة، لم تتأثر بهذا type النوع من الهجمات، ما يبرز الفرق في security الأمان بين النظامين.

الواقعة تثير قلقًا واسعًا حول trust الثقة في التطبيقات الرقمية، خصوصًا عندما تكون مرتبطة بالمال. وتكشف أيضًا عن ضرورة توعية المستخدمين بخطورة منح الصلاحيات الكبيرة لأي تطبيق، حتى لو بدا بريئًا. ففي عالم رقمي سريع التغير، قد تكون decision القرارات الصغيرة، مثل تثبيت تطبيق ترفيهي، كفيلة بوضع entire account الحساب بأكمله في خطر داهم.