Для слежки за сотрудниками израильских служб безопасности, работающими на секретных объектах в Израиле использовали поддельные аккаунты в популярном приложении «Strava exercise» (сервис для отслеживания активности спортсменов с помощью мобильных устройств), говорится в новом отчете израильской НКО «FakeReporter», опубликованном 21 июня, пишет журналист «The Jerusalem Post» Цви Джоффре.

О рисках безопасности, связанных с приложением «Strava», впервые сообщалось в 2018 году, когда «New York Times» сообщила, что аналитики предупреждали, что функция «Тепловая карта» в «Strava», которая показывает перемещения всех пользователей «Strava», опубликовавших свои сообщения, может быть использована для идентификации отдельных пользователей путем данных других социальных сетей.

Проблемы безопасности

Нарушения безопасности, возможные с помощью приложения, усугубились с помощью функции «Сегментация». Уже в 2018 году пользователи и аналитики социальных сетей указывали на то, что она может быть использована для создания списка людей, которые путешествовали по определенному маршруту, в том числе в «чувствительных» местах. Злоумышленники могут использовать «Тепловую карту» для поиска часто используемых маршрутов, а затем с помощью «Сегментации» выявить людей, использующих эти маршруты. Можно скрыть упражнение, чтобы оно не отображалось в функции «Сегментация», но для этого пользователям необходимо установить каждое упражнение как «приватное», даже если их профиль уже обозначен как «приватный».

«FakeReporter», которая использует краудсорсинг для выявления, разоблачения и пресечения атак и мошеннических действий, начала расследование этой проблемы после того, как получила сообщение о подозрительной активности в приложении «Strava». Был обнаружен анонимный аккаунт, который загружал данные GPS с баз ЦАХАЛа и важных объектов из сферы безопасности. Анонимный аккаунт с именем пользователя «Ez Shl» создавал «сегменты» с данными GPS, используя «Тепловую карту» для определения маршрутов с наибольшими шансами найти большое количество пользователей.

Согласно отчету «FakeReporter», уникальный характер активности профиля указывает на то, что пользователь намеревался создавать «сегменты» в важных для безопасности Израиля районах, чтобы собирать информацию о людях, служащих в этих засекреченных местах. Эти «сегменты» были расположены вблизи таких объектов, как штаб-квартира «Моссада», база ВВС Израиля «Канаф-2», база рядом с ядерным реактором в Димоне, база «Бахад-1» и база «Пальмахим» и т.д. С помощью приложения поддельный аккаунт смог раскрыть их личности, места, которые они посещали по всему миру, их родственников и коллег, их домашние адреса и многое другое. Он смог собрать данные, которые могли угрожать государству Израиль, в том числе сведения о секретных базах, а также имена и личные данные солдат, офицеров и чиновников Министерства обороны.

«FakeReporter» предупредила, что это нарушение также может быть использовано злоумышленниками для сбора личной информации от пользователей по всему миру, подвергая риску разоблачения сотрудников спецслужб и важные для безопасности объекты. Организация добавила, что необходимы дальнейшие исследования, чтобы определить, было ли это нарушение уже использовано против других стран. «Мы связались с израильскими силами безопасности, как только нам стало известно об этом нарушении безопасности», – рассказала исполнительный директор «FakeReporter» Ахия Шатц. «Получив разрешение от сил безопасности на продолжение, «FakeReporter» связался со «Strava», и они сформировали группу для решения этой проблемы». «Несмотря на прошлые разоблачения, не похоже, что израильские службы безопасности что-то поняли. Несмотря на то, что «Strava» внесла значительные обновления в свои настройки конфиденциальности, данные пользователи все равно могут быть выставлены на всеобщее обозрение, даже если их аккаунты обозначены как «приватные»», – добавила Шатц. «Используя возможность загружать сконструированные файлы, раскрывая данные пользователей в любой точке мира, враждебные элементы сделали еще один тревожный шаг к использованию популярного приложения с целью нанести ущерб безопасности как граждан, так и стран».

«ЦАХАЛ в целом, со своими различными органами, осведомлен об угрозах, которые развиваются в мире Интернета», – заявило подразделение пресс-секретаря ЦАХАЛа в ответ на отчет. «Для того, чтобы справиться с ними, и после предыдущих инцидентов, таких как рассматриваемый инцидент, предложения об этом периодически передаются служащим, занимающим ответственные должности».

После публикации отчета «FakeReporter» депутат Кнессета Михаль Розин, председатель фракции «Мерец», связалась с председателем комитета Кнессета по иностранным делам и обороне Рамом Бен-Бараком с просьбой провести срочное обсуждение этого вопроса. «Такой провал представляет ощутимую опасность для сотрудников службы безопасности, которые были раскрыты, и может нанести огромный вред Израилю и его гражданам», – заявил Розин. «Согласно отчетам, еще в 2018 году было выявлено, что приложение «Strava» раскрывает много информации, но процедуры в органах безопасности Израиля остаются прежними. Это продолжающееся бездействие, которое ставит под угрозу сотрудников органов безопасности и граждан Израиля, может и должно быть прекращено». «Реальность такова, что одним нажатием кнопки «социальное» приложение может стать оружием. Мы живем в эпоху, когда мощь и размер сетей усиливаются с каждым днем, а прав и защит, которых мы заслуживаем, – нет», – добавил депутат от «Мерец».