چقدر امن است واتساپ؟ آیا در برابر نفوذ و جاسوسی ایمن است؟
سوال اینکه آیا واتساپ در زمره برنامه‌های امن قرار دارد یا خیر، تنها نگرانی متخصصان امنیت سایبری نیست، بلکه ذهن والدین، دانشجویان، کارآفرینان، فعالان و حتی چهره‌های مشهور را نیز به خود مشغول کرده است. با توجه به پروسه‌های بحران‌زا که شرکت مادر آن یعنی متا با آن دست و پنجه نرم کرده و همچنین نظارت‌های دولتی فزاینده و جرایم سایبری پیچیده، بسیاری از کاربران به این فکر افتاده‌اند که آیا در دوران کنونی که حفظ حریم خصوصی اهمیت بیشتر از پیش پیدا کرده، استفاده از واتساپ امن می‌باشد یا خیر.
طبق گزارشات ارائه‌شده توسط بخش امنیت رسانه فناوری تکنا، واتساپ با دارا بودن بیش از ۲ میلیارد کاربر، به‌عنوان یک بنگاه ارتباطی جهانی شناخته می‌شود و در عین حال هدفی جذاب برای حملات سایبری نیز به شمار می‌آید. خطراتی که در این راستا وجود دارد قابل توجه و جدی هستند؛ یک اشتباه کوچک می‌تواند موجب فاش شدن یک عکس شخصی، یک قرارداد محرمانه یا حتی یک تشخیص پزشکی گردد. واقعیت این است که بسیاری از کاربران به اشتباه تصور می‌کنند که چت‌های آنها در امان هستند، به دلیل آن‌که نماد قفل را مشاهده کرده و عبارت «رمزنگاری سرتاسری» را می‌خوانند. اما این عبارت دقیقاً به چه معناست؟ آیا واتساپ واقعاً امن است یا ما تنها در توهمی از امنیت ساکن شده‌ایم؟
در پاسخ باید گفت که واتساپ از فناوری رمزنگاری سرتاسری بهره‌مند است که به لحاظ تکنیکی بسیار امن تلقی می‌شود. این پروتکل به‌طور مشترک با همکاری Open Whisper Systems، طراحان پروتکل Signal، توسعه یافته است و بدین معناست که پیام‌های شما از لحظه‌ای که از دستگاه شما خارج می‌شوند تا زمان رسیدن به گیرنده، به شکلی نامفهوم و درهم درمی‌آیند. این ساختار طوری طراحی شده که از خواندن محتوای پیام‌ها یا شنیدن تماس‌ها توسط واتساپ، شرکت متا، یا هر شخص ثالث دیگری که ممکن است داده‌ها را در حین انتقال تحت نظر داشته باشد، جلوگیری کند. پس آیا استفاده از واتساپ امن است؟ به‌طور تئوری، بله؛ اما در عمل، وضعیت بسیار پیچیده‌تر است.
محدودیت‌های واتساپ در رمزنگاری
رمزنگاری سرتاسری واتساپ شامل تمام پیام‌های متنی، فایل‌های رسانه‌ای به اشتراک گذاشته‌شده (مانند عکس‌ها، ویدیوها و اسناد)، پیام‌های صوتی و تماس‌های تصویری‌ست، و همچنین وضعیت‌ها را در بر می‌گیرد. هر ارتباط دارای یک سیستم قفل و کلید منحصر به فرد است که به شکلی مداوم تولید می‌شود. این سیستم مشابه ارسال نامه‌ای است که فقط با یک اثر انگشت خاص گشوده می‌شود. اما با وجود اینکه این سیستم به نظر می‌رسد بسیار قابلیت اطمینان دارد، کاربران اغلب آن‌چه را که رمزنگاری سرتاسری محافظت نمی‌کند نادیده می‌گیرند. اگر پیام‌های شما رمزنگاری‌شده‌اند، پس مشکل کجاست؟ اینجا جاست که اوضاع پیچیده می‌شود.
واتساپ پیام‌ها را در حین ارسال رمزنگاری می‌کند اما ابرداده‌ها تحت پوشش رمزنگاری قرار نمی‌گیرند. این داده‌ها شامل اطلاعاتی از جمله اینکه شما با چه کسی، در چه زمانی و به چه مدت صحبت می‌کنید می‌باشد. این همانند آن است که کسی نتواند محتوای نامه شما را ببیند ولی دقیقاً بداند آن را برای چه کسی، به چه میزان و در چه زمانی ارسال کرده‌اید. همچنین، پشتیبان‌گیری‌های ابری از امنیت کافی برخوردار نیستند. اگر چت‌های شما روی Google Drive یا iCloud ذخیره شوند، دیگر از محافظت رمزنگاری سرتاسری برخوردار نخواهند بود، مگر اینکه به‌طور صریح گزینه جستجوی رمزنگاری‌شده را فعال کرده باشید.
ضعف واتساپ در برابر بدافزارها
علاوه بر این، اگر بدافزاری به گوشی شما نفوذ کند، حتی مستحکم‌ترین رمزنگاری نیز نمی‌تواند از شما حفاظت کند، زیرا هکرها می‌توانند قبل از اینکه پیام‌ها رمزنگاری شوند، از صفحه نمایش شما عکس بگیرند، کلیدهای فشرده شده را ضبط کنند یا پیام‌ها را در حین ارسال رهگیری نمایند. بنابراین هرچند که واتساپ از بابت رمزنگاری در تئوری اعتبار بالایی دارد، شرایط واقعی گاه شکاف‌هایی را به وجود می‌آورد که می‌توانند منجر به مشکلات حریم خصوصی شوند.
تلاش‌های واتساپ برای تقویت امنیت
واتساپ همچنین برخی ویژگی‌های امنیتی دیگر را معرفی کرده که از جمله آنها می‌توان به تأیید هویت دو مرحله‌ای اشاره کرد که با اضافه کردن یک پین شش رقمی به حساب شما، در زمان ثبت شماره تلفن دوباره ضروری می‌شود. این ویژگی از شما در برابر حملات تعویض سیم‌کارت محافظت می‌کند. همچنین هنگام تغییر کد امنیتی یک مخاطب، به شما اطلاع‌رسانی می‌شود. این معمولاً زمانی پیش می‌آید که مخاطب دوباره واتساپ را نصب کند یا تلفن خود را تغییر دهد. اگرچه اکثراً این تغییر بی‌خطر است، اما در موارد نادر می‌تواند نشانه‌ای از یک حمله MITM یا تلاش برای ثبت حساب شما باشد.
امکانات احراز هویت بیومتریک نیز در دستگاه‌های compatible این امکان را به شما می‌دهند تا برای باز کردن واتساپ حتی اگر گوشی شما قفل نباشد، نیاز به اثر انگشت یا احراز هویت چهره داشته باشید. این ویژگی یک لایه اضافی از امنیت را در برابر کسی که احتمالاً به‌طور موقت دسترسی فیزیکی به گوشی شما پیدا کرده، ارائه می‌دهد.
واتساپ نیز به تازگی گزینه‌های رمزنگاری سرتاسری اختیاری برای پشتیبان‌گیری‌های ابری را فراهم آورده، اما به علت اینکه به‌طور پیش‌فرض فعال نیست، بسیاری از کاربران همچنان پشتیبان‌گیری‌های ابری خود را آسیب‌پذیر رها می‌کنند. گزینه پیام‌های ناپدیدشونده به کاربران اجازه می‌دهد تا پس از پایان یک مدت زمان مشخص، پیام‌ها را خودکار حذف کنند، که با هدف کاهش نگهداری طولانی‌مدت داده‌های محتوایی طراحی شده است.
علاوه بر آن، گزینه “مشاهده یکبار” نیز برای اشتراک‌گذاری عکس‌ها و ویدیوها طراحی شده که محتوا را پس از یک بار مشاهده حذف می‌کند، اما این ویژگی اثربخشی محدودی دارد چرا که گیرندگان غالباً می‌توانند با استفاده از اسکرین‌شات یا دستگاه‌های دیگر محتویات را ذخیره کنند. این قابلیت‌ها به کاربران کنترل بیشتری بر داده‌ها و دستیابی به برنامه می‌دهد ولی باید محدودیت‌هایشان را در نظر گرفت. به عنوان مثال، پیام‌های زمان‌بندی شده نمی‌توانند مانع از کپی یا اسکرین‌شات‌گرفتن از محتوا قبل از حذف خودکار آن شوند.
واتساپ همچنین سری جدیدی از تنظیمات حریم خصوصی پیشرفته چت را برای چت‌های فردی و گروهی معرفی کرده است. این تنظیمات به منظور ارائه کنترل بیشتر به کاربران در نحوه مدیریت محتوای چت‌های خود از جانب دیگران طراحی شده و به آنها این امکان را می‌دهد که از انتقال چت‌ها جلوگیری کنند، دانلود خودکار رسانه‌ها را به گوشی خود مسدود کنند، و استفاده از پیام‌ها برای ایجاد قابلیت‌های هوش مصنوعی را محدود کنند. هدف این اقدام سخت‌تر کردن انتقال یا استفاده از محتوای چت در خارج از واتساپ است. اگرچه این افزودنی‌ها مزایای طبیعی دارند، ولی همچنین ممکن است پیچیدگی‌هایی نیز ایجاد کنند و به نگرانی‌های اساسی‌تر نظیر جمع‌آوری گسترده ابرداده‌ها نپردازند.
آسیب‌پذیری‌های واتساپ
حتی با وجود رمزنگاری سرتاسری برای محتوای پیام‌ها، واتساپ همچنان در برابر مسائل امنیتی قابل آسیب‌پذیری است. در گذشته چندین حادثه امنیتی واقعی به این پلتفرم نسبت داده شده که نشان‌دهنده این است که مشکل فراتر از رمزنگاری پیام‌ها در حین ارسال است و شامل اپلیکیشن‌ها، دستگاه‌های پایانی، و فاکتور انسانی نیز می‌باشد. یک آسیب‌پذیری با شدت بالا در اپلیکیشن واتساپ برای ویندوز شناسایی شد که به مهاجمان اجازه می‌داد فایل‌های اجرایی مخرب را به عنوان فایل‌هایی بی‌ضرر (مانند تصاویر) پنهان کنند.
این مساله اگر کاربر چنین فایلی را در واتساپ باز می‌کرد، می‌توانست به اجرای کد مخرب روی سیستم کاربران منجر شود. در مارس ۲۰۲۵، شرکت امنیتی Check Point یک آسیب‌پذیری حیاتی در واتساپ را کشف کرد که به مهاجمان این اجازه را می‌داد تا با ارسال فایل‌های ویدیویی خاص که به‌طور ویژه طراحی شده بود، کدهای مخرب را اجرا کنند. براساس گزارشات، تنها با مشاهده ویدیوی مخرب، اسکریپت‌ها به صورت مخفیانه بر روی دستگاه هدف فعال می‌شدند و به مهاجمان امکان دسترسی به اطلاعات حساس مانند حافظه محلی، دوربین، میکروفون و حتی گزارش‌های چت واتساپ را می‌دادند.
تاریخچه حملات بزرگ سایبری به واتساپ
۱- پگاسوس اسرائیل
در سال ۲۰۱۹، واتساپ تأیید کرد که بر اساس یک آسیب‌پذیری در ویژگی تماس صوتی، بیش از ۱۴۰۰ کاربر شامل روزنامه‌نگاران، دیپلمات‌ها و فعالان حقوق بشر به هدف قرار گرفته‌اند. نیاز به پاسخ گفتن به این تماس‌ها نبود و تنها دریافت آن برای نفوذ Pegasus اسرائیلی به دستگاهشان کافی بود. جنگ‌های حقوقی و تحقیقی که تا اواخر سال ۲۰۲۴ و اوایل ۲۰۲۵ ادامه داشتند، نشان از پیوستگی و مداوم بودن این نوع حملات داشت.
۲- جاسوس‌افزار گرافیتی پاراگون
مدارک دادگاه در مه ۲۰۲۵ تأیید کرد که گروه NSO به هدف قرار دادن کاربران واتساپ ادامه می‌دهد. در اواخر سال ۲۰۲۴، واتساپ به یک حمله با تکنولوژی zero-click برای استقرار بدافزار جاسوسی Graphite به متعلق به Paragon واکنش نشان داد. گزارش‌های ابتدایی در اوایل ۲۰۲۵ تایید کردند که نزدیک به ۹۰ نفر، به‌ویژه روزنامه‌نگاران و اعضای جامعه مدنی، در چندین کشور هدف این حمله بودند.
جمع‌آوری داده‌ها: ناامنی
رمزنگاری سرتاسری تضمین می‌کند که محتوای واقعی پیام‌ها، عکس‌ها، ویدیوها و تماس‌ها از دسترس واتساپ و متا خارج می‌ماند. اما واتساپ مقدار چشمگیری ابرداده جمع‌آوری می‌کند؛ شامل اطلاعاتی درباره ارتباطات و کاربران. این ابرداده‌ها شامل اطلاعات حساب، اطلاعات استفاده، مشخصات دستگاه و ارتباطات، اطلاعات عمومی از موقعیت مکانی و همچنین مخاطبین می‌شود.
واتساپ به‌روشنی اعلام می‌کند که به‌طور معمول برای اهداف نظارتی، گزارش‌هایی درباره اینکه چه کسی با چه کسی پیام می‌فرستد یا تماس می‌گیرد، ذخیره نمی‌کند و قابل دسترسی به موقعیت‌های دقیق به اشتراک گذاشته شده در چت‌های رمزنگاری شده نیست. با این حال، ابرداده‌هایی که جمع‌آوری می‌شوند می‌توانند بسیار افشاگر باشند. در نتیجه، آیا هنگامی که شرکت مادر آن یعنی متا به دلیل کسب درآمد از داده‌ها شناخته شده، استفاده از واتساپ امن است؟ اینجا جایی است که اوضاع به مبهمی می‌گراید.
به‌روزرسانی سیاست حریم خصوصی در سال ۲۰۲۱ واتساپ سعی داشت کاربران را وادار کند تا داده‌های بیشتری را با اکوسیستم گسترده‌تر متا برای اهداف تبلیغاتی و پیام‌رسانی تجاری به اشتراک بگذارند. این اقدام با واکنش‌های فوری روبرو گردید و سبب شد میلیون‌ها کاربر به سمت پلتفرم‌های متمرکزتری بر روی حفظ حریم خصوصی مانند سیگنال و تلگرام مهاجرت کنند. حتی در امروز، واتساپ داده‌ها را با متا برای مقاصد عملیاتی به اشتراک می‌گذارد که شامل همگام‌سازی با خدمات فیسبوک است. این مسائل مربوط به محتوای پیام‌های شما نیست، بلکه به زمینه مکالمات شما، که در دنیای داده‌ها یک گنجینه به شمار می‌آید، مربوط است. مرز بین امنیت و حریم خصوصی بسیار باریک است و واتساپ غالباً آن را مبهم می‌سازد.
نظارت دولت‌های غربی بر واتساپ
یکی دیگر از نگرانی‌های مهم، نظارت دولتی است و این موضوع کاملاً معتبر می‌باشد. اینکه آیا واتساپ در برابر چشم‌های کنجکاو آژانس‌های دولتی محافظت می‌شود، مسئله‌ای نیست که صرفاً در قالب نظری مطرح باشد، بلکه به واقعیت و چالشی پیچیده بدل شده است. واتساپ با افتخار از ایجاد درهای پشتی برای دولتها امتناع کرده‌است. در حقیقت، در برخی موارد حتی در برابر درخواست‌های قانونی مقاومت کرده است. اما یک تله وجود دارد. واتساپ قادر نیست پیام‌های رمزنگاری‌شده شما را بخواند، اما بر ابرداده‌ها دسترسی داشته و ممکن است آنها را با مقامات به اشتراک بگذارد.
تنها در سال ۲۰۲۴، متا در پاسخ به بیش از ۷۸ درصد از درخواست‌های قانونی مربوط به واتساپ، اطلاعات کاربران را فاش کرده است. علاوه بر این، هنگامی که داده‌ها در کلود پشتیبان‌گیری می‌شوند، به‌راحتی ممکن است از طریق احضاریه‌ها یا دسترسی‌های مستقیم تحت کنترل قرار بگیرند. مشروط بر اینکه کاربران به‌طور خاص گزینه پشتیبان‌گیری رمزنگاری‌شده را فعال نکنند، این داده‌ها می‌توانند به‌سادگی قابل دسترس باشند. بنابراین آیا واتساپ برای استفاده در محیط‌هایی که حساسیت سیاسی یا نظارت بیش‌ازحد یک مسئله بوده، امن است؟ پاسخ به خطرات بستگی دارد، اما برای بسیاری، ریسک‌ها بسیار بالا هستند.
اگرچه رمزنگاری سرتاسری محافظت‌هایی را ارائه می‌دهد، اما دسترسی دولت‌های غربی به ابرداده‌ها، فشاری برای مجبورکردن به پذیرش رمزنگاری و جاسوس‌افزارهای پیشرفته به این معناست که واتساپ ایمنی محدودی را در برابر نظارت شدید به ارمغان می‌آورد.
آیا واتساپ برای ارسال عکس‌های خصوصی و فایل‌های حساس ایمن است؟
به این سوال باید با وضوح پاسخ داده شود. بله، رسانه‌ها و پیام‌ها در حین ارسال، تحت پوشش رمزنگاری سرتاسری هستند. این به این معناست که تنها شما و گیرنده باید قادر به دیدن آنها باشید. اما نکته‌ای وجود دارد. زمانی که فایل به گوشی می‌رسد، فرآیند رمزنگاری پایان می‌یابد. عکس‌ها در گالری دستگاه ذخیره می‌شوند و اغلب این عمل به‌صورت خودکار رخ می‌دهد. اما از آن لحظه به بعد، این فایل در برابر بدافزارها یا نرم‌افزارهای جاسوسی در دستگاه مقصد، پشتیبان‌های ابری، اشتراک‌گذاری تصادفی و اسکرین‌شات‌ها آسیب‌پذیر خواهد بود.
واتساپ به‌علاوه، فایل‌های رسانه‌ای را فشرده‌سازی می‌کند که این موضوع می‌تواند کیفیت تصویر را کاهش دهد. و مهم‌تر از همه، این فرآیند شرایطی را برای نشت ابرداده‌ها فراهم می‌آورد؛ شامل زمان گرفته شدن عکس، برچسب‌های موقعیتی و مشخصات دستگاه. این پلتفرم یک حالت اختیاری با نام «مشاهده یکبار» را فراهم کرده که عکاسی و ویدیوها را پس از یک بار نگریستن از بین می‌برد، اما حتی این راهکار نیز کامل نیست. اسکرین‌شات یا عکس گرفتن از محتوا با دستگاه‌های دیگر همچنان ممکن است. بنابراین به‌رغم اینکه واتساپ به دلیل دارا بودن رمزنگاری سرتاسری در حین ارسال، نسبت به ارسال از طریق ایمیل یا پیامک‌های فاقد امنیت امن‌تر است، اما ریسک‌های متعددی در نقاط پایانی، پشتیبان‌گیری‌ها و اعمال کاربران وجود دارد که موجب می‌شود این ابزار به عنوان یک خزانه ایمن شناخته نشود. برای محتواهای واقعا محرمانه، به‌ویژه مدارک حساس تجاری یا تصاویری شخصی، تکیه بر واتساپ یک ریسک معنادار است.
چه باید کرد؟
کارشناسان حریم خصوصی، محققان امنیتی و روزنامه‌نگاران در سراسر جهان به دلایل کاملاً موجه از پلتفرم‌های اصلی نظیر واتساپ فاصله‌ای جدی گرفته‌اند. جایگزین‌های قابل اعتماد شامل تلگرام، سیگنال است که بر ایمنی در هسته خود تمرکز دارد و از پروتکل مشابهی با نام Signal استفاده می‌کند، اما بدون هرگونه بار شرکتی. این برنامه هیچ گونه ابرداده‌ای ذخیره نمی‌کند، تبلیغاتی ارائه نمی‌دهد و هیچ موجبی برای ثبت اینکه شما با چه کسی گفتگو می‌کنید، ندارد و غالباً توسط فعالان، روزنامه‌نگاران و حتی دولتها مورد استفاده قرار می‌گیرد.
نرم‌افزار Threema که مقر آن در سوئیس است نیز یکی از معدود برنامه‌های پیام‌رسانی است که به شماره تلفن نیازی ندارد و ناشناس بودن را تضمین می‌کند. این برنامه تمامی اطلاعات را رمزنگاری کرده و داده‌ها را صرفاً بر روی دستگاه شما ذخیره می‌کند. برای تبادل اطلاعات تجاری، اسناد قانونی، اسکن کارت شناسایی، قراردادها یا اطلاعات کیف پول دیجیتال، Atomic Mail نه‌تنها یک گزینه ایمن‌تری است، بلکه به حتم گزینه‌ای بهتری به حساب می‌آید.
واتساپ برای چه کسانی مناسب نیست؟
در پایان، ایمنی واتساپ یک مسئله‌ای پیچیده است که برای پیمایش در آن باید نقاط قوت و ضعف آن را در یک بستر وسیع‌تر درک کرد. اگرچه واتساپ حفاظت قابل توجهی را از طریق رمزنگاری سرتاسری پیش‌فرض برای محتوای ارتباطات فراهم می‌آورد، اما این ویژگی به تنهایی نمی‌تواند آن را از تمامی تهدیدات یا نقض‌های حریم خصوصی کاملاً مصون بدارد.
اگر شما یک کاربر عادی هستید و اهمیتی نمی‌دهید و از محتوای حساسی رد و بدل نمی‌کنید، ممکن است واتساپ به اندازه‌ای امن باشد. اما اگر شما یک سیاستمدار، فرد نظامی، مؤسس، روزنامه‌نگار، وکیل یا به‌طور کلی کسی هستید که به حریم خصوصی دیجیتال واقعی اهمیت می‌دهید، بهتر است به دور از واتساپ بایستید.
