كشف باحثون أمنيون في جامعة غراتس للتكنولوجيا بالنمسا وجود ثغرة جديدة في أجهزة آيفون وهواتف أندرويد، تتيح سرقة البيانات من خلال منفذ الشحن، دون الحاجة إلى تدخل من المستخدم، وذلك وفق تقرير نشره موقع «أندرويد آثورتي».
وتعتمد الثغرة على تجاوز القيود الأمنية التي تحمي الهاتف أثناء الشحن، حيث استطاع الفريق البحثي تقليد سلوك المستخدم، وخداع النظام للتحول من وضع الشحن إلى وضع نقل البيانات، ثم تنفيذ أوامر خفية تتيح الوصول إلى البيانات وسرقتها.
وتختلف آلية عمل الثغرة بحسب نوع النظام. ففي هواتف أندرويد، تعتمد على صلاحيات الاتصال بالأجهزة الخارجية، وهي صلاحيات مفعّلة بشكل افتراضي. أما في آيفون، فالثغرة تستغل إمكانية إنشاء اتصال بلوتوث مع ملحق خارجي، حيث يتعرف الهاتف على الجهاز كأنه سماعة، بينما يكون في الواقع جهازًا خبيثًا يحاول التسلل إلى البيانات.
وأكد الباحثون أن الثغرة تعمل على ثمانية من أشهر أنواع الهواتف المتوفرة في الأسواق، تشمل أجهزة من شاومي، وسامسونغ، وقوقل، وآبل. وقد تواصل الفريق مع الشركات المصنعة، وأشار إلى أن ستًا من هذه الشركات بادرت بإصلاح الثغرة، أو تعمل حاليًا على تحديثات أمنية لإغلاقها.
وتعيد هذه الثغرة إلى الأذهان واحدة مشابهة قديمة، كانت تعتمد على استغلال منافذ الشحن العامة للوصول إلى بيانات الهاتف، لكنها أغلقت لاحقًا من قبل الشركات الكبرى.
وينصح الخبراء بعدم استخدام أي ملحقات عامة لشحن الهواتف أو توصيلها بمنافذ غير موثوقة، حتى بعد صدور التحديثات الأمنية، مؤكدين أن الوقاية تظل الخيار الأفضل لحماية الخصوصية والبيانات الشخصية.
Security researchers at Graz University of Technology in Austria have discovered a new vulnerability in iPhones and Android phones that allows data theft through the charging port, without the need for user intervention, according to a report published by "Android Authority".
The vulnerability relies on bypassing the security restrictions that protect the phone while charging. The research team was able to mimic user behavior and trick the system into switching from charging mode to data transfer mode, then execute hidden commands that allow access to and theft of data.
The mechanism of the vulnerability varies depending on the type of system. In Android phones, it relies on permissions for connecting to external devices, which are enabled by default. In the case of iPhones, the vulnerability exploits the ability to establish a Bluetooth connection with an external accessory, where the phone recognizes the device as if it were a headset, while it is actually a malicious device attempting to infiltrate the data.
The researchers confirmed that the vulnerability affects eight of the most popular types of phones available on the market, including devices from Xiaomi, Samsung, Google, and Apple. The team has contacted the manufacturers and noted that six of these companies have initiated fixes for the vulnerability or are currently working on security updates to close it.
This vulnerability recalls a similar old one that relied on exploiting public charging ports to access phone data, but it was later closed by major companies.
Experts advise against using any public accessories for charging phones or connecting them to untrusted ports, even after security updates have been released, emphasizing that prevention remains the best option for protecting privacy and personal data.
