وسطاء بيانات تحديد المواقع الجغرافية: ماذا يفعلون وماذا يحدث عند تسريب بياناتهم

تجمع هواتفنا الذكية وأجهزتنا الأخرى ثم ترسل كميات هائلة من البيانات عنا إلى العشرات، وربما المئات، من الشركات الخارجية كل يوم. ويتضمن ذلك معلومات مواقعنا، وسوق هذه المعلومات ضخم للغاية. ومن الطبيعي أن تجري عمليات البيع والشراء هذه دون علمنا، مما يتسبب في مخاطر غير واضحة على خصوصيتنا.

توضح عملية الاختراق الأخيرة لشركة Gravy Analytics المتخصصة في بيانات الموقع بوضوح المخاطر المحتملة لمثل هذه الممارسات. ويحلل هذا المنشور كيفية عمل وسطاء البيانات، وما يمكن أن يحدث إذا تسربت المعلومات التي يجمعونها. ونقدم لك أيضًا نصائح حول ما يمكنك فعله لحماية بيانات موقعك.

ماذا يعني وسطاء بيانات المواقع؟

وسطاء البيانات هم شركات تجمع معلومات عن المستخدمين وتعالجها وتبيعها. ويحصلون على هذه المعلومات من تطبيقات الهاتف المحمول، وشبكات الإعلانات عبر الإنترنت، وأنظمة التحليل عبر الإنترنت، وشركات الاتصالات، ومجموعة كبيرة من المصادر الأخرى من الأجهزة المنزلية الذكية إلى السيارات.

من الناحية النظرية، تُجمع هذه البيانات لأغراض التحليلات والإعلانات المستهدفة فقط. وعمليًا، لا توجد في كثير من الأحيان قيود على كيفية استخدام هذه البيانات، ويبدو أن أي شخص قادر على شرائها. ولذا، في العالم الحقيقي، يمكن استخدام بياناتك لأي غرض تقريبًا. على سبيل المثال، كشف تحقيق أجري العام الماضي أن وسطاء البيانات التجاريين – بشكل مباشر أو من خلال وسطاء – ربما يخدمون حتى وكالات الاستخبارات الحكومية.

يجمع وسطاء البيانات كل أنواع معلومات المستخدم، والتي تعد بيانات الموقع واحدة من أهم فئاتها وأكثرها حساسية. ويوجد طلب كبير عليها، لدرجة أنه بالإضافة إلى شركات جمع البيانات ذات الطابع العام، توجد شركات متخصصة فيها تحديدًا.

هؤلاء هم وسطاء بيانات المواقع – الشركات التي تتخصص في جمع المعلومات عن موقع المستخدم وبيعها. ومن بين الشركات الرئيسية في هذا القطاع شركة Gravy Analytics الأمريكية لتتبع المواقع، التي اندمجت مع شركة Unacast النرويجية في عام 2023.

تسرب بيانات Gravy Analytics

في يناير 2025، انتشرت أخبار عن تسرب بيانات في Gravy Analytics. وفي البداية، كان الأمر يقتصر على تقارير غير رسمية استندت إلى منشور ظهر على منتدى خاص للقراصنة باللغة الروسية. وادعى صاحب المنشور أنه اخترق Gravy Analytics وسرق بيانات مواقع ملايين المستخدمين، وقدم لقطات شاشة لمجموعة البيانات كدليل.

لم يمض وقت طويل قبل أن يأتي التأكيد الرسمي. وبموجب القانون النرويجي، كانت شركة Unacast، الشركة الأم لشركة Gravy Analytics، ملزمة قانونًا بإخطار الهيئة التنظيمية الوطنية.

وجاء في بيان الشركة أنه في الرابع من يناير، تمكن فرد غير مصرح له من الوصول إلى بيئة تخزين AWS السحابية الخاصة بشركة Gravy Analytics “من خلال مفتاح وصول تم استغلاله بشكل غير صحيح”. تمكن المخترق من الوصول إلى “بعض الملفات التي يُحتمل أن تحتوي على بيانات شخصية”.

تحليل البيانات التي تسربت من Gravy Analytics

لم تكن شركتا Unacast وGravy Analytics في عجلة من أمرهما لتحديد البيانات التي ربما تعرضت للاختراق. ومع ذلك، في غضون أيام قليلة، نشر باحث أمني مستقل تحليله المتعمق للمعلومات المسربة استنادًا إلى عينة من البيانات المسروقة التي تمكن من الحصول عليها.

تتضمن تسريبات Gravy Analytics بيانات مواقع مستخدمين من جميع أنحاء العالم.المصدر

تبيّن أن اختراق Gravy Analytics قد سرّب بالفعل مجموعة هائلة من بيانات مواقع المستخدمين في جميع أنحاء العالم – من روسيا إلى الولايات المتحدة. وبلغ حجم الجزء الذي حلله الباحث 1.4 جيجابايت، وتكون من حوالي 30 مليون سجل – تم جمعها في الغالب في الأيام الأولى من يناير 2025. وفي الوقت نفسه، زعم المخترق أن قاعدة البيانات المسروقة تبلغ 10 تيرابايت، مما يعني أنها قد تحتوي على أكثر من 200 مليار سجل.

جُمعت هذه البيانات من خلال تطبيقات الهاتف المحمول وحصلت عليها شركة Gravy Analytics بهدف تجميعها ثم بيعها للعملاء. ووفقًا لما أظهره تحليل التسريب، فإن قائمة التطبيقات المستخدمة لجمع بيانات المواقع تصل إلى الآلاف. على سبيل المثال، تحتوي العينة المدروسة على بيانات تم جمعها من 3455 تطبيقًا يعمل بنظام Android – بما في ذلك تطبيقات المواعدة.

تُعد بيانات مواقع مستخدمي Tinder المقيمين في المملكة المتحدة مثالاً على ما يمكن العثور عليه في البيانات المسربة من Gravy Analytics.المصدر

تتبع المستخدمين وإعادة تحديد هوياتهم باستخدام بيانات التسريب من Gravy Analytics

كان الأمر الأكثر إزعاجًا في اختراق Gravy Analytics هو أن قاعدة البيانات المسربة مرتبطة بمعرّفات الإعلانات: IDFA لأجهزة iOS و AAID لأجهزة Android. وفي كثير من الحالات، يجعل هذا من الممكن تتبع تحركات المستخدمين بمرور الوقت. وإليك، على سبيل المثال، خريطة تُظهر هذه التحركات في محيط البيت الأبيض في واشنطن العاصمة، (تذكّر أن هذا التصوير المرئي يستخدم عينة صغيرة فقط من البيانات المسروقة؛ وتحتوي قاعدة البيانات الكاملة على أكثر من ذلك بكثير):

يمكن استخدام البيانات الموجودة في تسريبات Gravy Analytics المرتبطة بمعرفات الإعلانات لتتبع تحركات المستخدمين بمرور الوقت.المصدر

الأسوأ من ذلك، أن بعض البيانات يمكن إعادة تحديد هويتها. على سبيل المثال، تمكن الباحث من تتبع تحركات مستخدم زار منصة إطلاق Blue Origin:

مثال على تحديد هوية المستخدم باستخدام بيانات الموقع المسربة من Gravy Analytics.المصدر

مثال آخر: تمكن الباحث من تتبع تحركات مستخدم من معلم كولومبوس سيركل في مانهاتن، بمدينة نيويورك، إلى منزله في تينيسي، ثم إلى منزل والديه في اليوم التالي. وبناءً على بيانات المصادر المفتوحة فقط، عرف الباحث الكثير عن هذا الفرد، بما في ذلك اسم والدته وحقيقة أن والده المتوفى كان من قدامى المحاربين في سلاح الجو الأمريكي.

مثال آخر على تحديد هوية المستخدم باستخدام بيانات الموقع المسربة من Gravy Analytics.المصدر

يوضح اختراق بيانات Gravy Analytics المخاطر الجسيمة المرتبطة بصناعة وسطاء البيانات، خاصة وسطاء بيانات المواقع. ونتيجة للاختراق، تسرب حجم هائل من سجلات مواقع المستخدمين التي جمعتها تطبيقات الهاتف المحمول إلى المجال العام.

تتيح هذه البيانات إمكانية تتبع تحركات عدد كبير من الأشخاص بدقة عالية إلى حد ما. وعلى الرغم من أن قاعدة البيانات المسربة لا تحتوي على مُعرّفات شخصية مباشرة مثل الأسماء الأولى والأخيرة وأرقام الهوية والعناوين أو أرقام الهواتف، إلا أن الارتباط بمعرّفات الإعلانات يمكن أن يؤدي في كثير من الحالات إلى إعادة تحديد الهوية. ولذا، بناءً على مُعرّفات شبه شخصية مختلفة، من الممكن تحديد هوية المستخدم، ومعرفة مكان إقامته وعمله، بالإضافة إلى تتبع علاقاته الاجتماعية.

كيف تحمي بيانات موقعك؟

للأسف، أصبح جمع بيانات مواقع المستخدمين ممارسة واسعة الانتشار لدرجة أنه لا توجد إجابة سهلة لهذا السؤال. وللأسف، لا يوجد مفتاح يمكنك ببساطة الضغط عليه لإيقاف جميع شركات الإنترنت في جميع أنحاء العالم عن جمع بياناتك.

مع ذلك، يمكنك على الأقل تقليل كمية المعلومات عن موقعك التي تقع في أيدي وسطاء البيانات. وإليك كيفية ذلك:

• كن صارمًا مع التطبيقات التي تطلب الوصول إلى بيانات الموقع. وفي كثير من الأحيان، ستعمل بشكل جيد بدون هذه البيانات – لذا ما لم يكن هناك سبب مقنع لتطبيق لمعرفة موقعك، فقط ارفض.
• قم بتكوين الخصوصية بعناية في التطبيقات التي تحتاج حقًا إلى موقعك الجغرافي لتعمل. على سبيل المثال، راجع أدلتنا لتكوين جميع تطبيقات التشغيل الأكثر شيوعًا.
• لا تسمح للتطبيقات بتتبع موقعك في الخلفية. وعند منح الأذونات، حدد دائمًا خيار “أثناء استخدام التطبيق فقط”.
• قم بإلغاء تثبيت التطبيقات التي لم تعد تستخدمها. وبشكل عام، حاول تقليل عدد التطبيقات على هاتفك الذكي إلى الحد الأدنى – سيؤدي ذلك إلى تقليل عدد جامعي البيانات المحتملين على جهازك.
• إذا كنت تستخدم أجهزة Apple iOS أو iPadOS أو tvOS، فقم بإلغاء الاشتراك في تتبع التطبيق. وسيمنع ذلك إعادة تحديد هوية البيانات التي تم جمعها عنك.
• إذا كنت تستخدم جهاز Android، فاحذف معرف الإعلان الخاص بجهازك. وإذا لم يكن هذا الخيار متاحًا في إصدار نظام التشغيل لديك، فقم بإعادة تعيين معرف الإعلان بانتظام.
• قم بتثبيت حل أمان قوي قادر على منع تتبع الإعلانات على جميع أجهزتك.

للمزيد من النصائح عن كيفية الحد من جمع وسطاء البيانات العامين للمعلومات عنك، راجع منشورنا بعنوان المعلنون يشاركون بيانات عنك مع … وكالات الاستخبارات.