ضرورت بازنگری در اعتماد به پیام رسان واتس اپ

واتس اپ به عنوان یکی از پرکاربردترین پیام رسان های جهان، ابزاری فراگیر برای ارتباطات شخصی، حرفه ای و کسب وکاری محسوب می شود. نقطه اتکای اصلی این پلتفرم در جلب اعتماد کاربران، ادعای استفاده از رمزنگاری سرتاسری و تضمین حفظ حریم خصوصی در ارتباطات است. تجربه های متعدد سال های اخیر نشان داده اند که ادعاهای رسمی شرکت متا درباره امنیت داده ها، همواره با واقعیت های فنی و سیاسی منطبق نبوده اند. در کنار سوابق مستند از نقض حریم خصوصی توسط واتس اپ و شرکت مادر آن، گزارش هایی نیز از بهره گیری اطلاعاتی از داده های این پلتفرم در جریان درگیری های نظامی منتشر شده است. از این رو بررسی شکاف میان ادعاهای رسمی واتس اپ درباره امنیت ارتباطات و واقعیت های فنی و حقوقی عملکرد آن الزامی است.

ضرورت و اهداف پژوهش

نرم افزار واتس اپ با بیش از سه میلیارد کاربر فعال ماهانه یکی از پرکاربردترین پیام رسان های جهان است. با توجه به سوابق مستند در مورد نقض حریم خصوصی توسط واتس اپ و نشت اطلاعات و همچنین گمانه زنی هایی مبنی بر احتمال بهره برداری نهادهای امنیتی اسرائیل از متادیتای پیام رسان هایی چون واتس اپ برای شناسایی و هدف گیری فرماندهان ایرانی در خصوص جنگ جاری میان ایران و اسرائیل؛ این گزارش می کوشد با بررسی ابعاد فنی، حقوقی و سیاسی عملکرد واتس اپ، تصویری روشن تر از کارکرد واقعی این ابزار در شرایط بحرانی ارائه دهد.

ادعای حفظ حریم خصوصی و امنیت اطلاعات واتس اپ با اسفاده از رمزنگاری

اصلی ترین شعار تبلیغاتی واتس اپ، استفاده از رمزنگاری سرتاسری برای محافظت از محتوای پیام ها است. بر اساس ادعای رسمی این شرکت پیام ها، تماس های صوتی و تصویری تنها توسط فرستنده و گیرنده قابل مشاهده هستند، به گونه ای که حتی خود واتس اپ، متا یا اشخاص ثالث به این داده ها دسترسی ندارند. با این حال، این ادعای امنیت مطلق، با چند واقعیت فنی و اجرایی مهم در تضاد است:

• بر اساس ادعای واتس اپ، رمزنگاری شامل همه داده ها نمی شود و تنها محتوای پیام ها (متن، تصویر، ویدئو و …) به صورت سرتاسری رمزنگاری می شوند. در مقابل، داده های جانبی یا متادیتا از جمله شماره تلفن ها، زمان ارسال پیام، مدل گوشی، موقعیت مکانی، شناسه های دستگاه و حتی روابط ارتباطی کاربر بدون رمزنگاری ذخیره شده و در اختیار شرکت باقی می مانند.
• بسیاری از کاربران از ویژگی پشتیبان گیری خودکار در فضای ابری گوگل یا اپل استفاده می کنند. این پشتیبان ها معمولا خارج از چارچوب رمزنگاری سرتاسری ذخیره می شوند و در نتیجه می توانند توسط خود شرکت های میزبان یا از طریق درخواست قانونی در اختیار نهادهای ثالث قرار گیرند. هرچند واتس اپ اخیرا امکان رمزنگاری بک آپ را ارائه کرده، اما این قابلیت به صورت پیش فرض فعال نیست و بسیاری از کاربران از وجود آن بی خبرند.

با در نظر گرفتن این موارد، روشن است که رمزنگاری سرتاسری تنها بخشی از امنیت ارتباطات را تضمین می کند و نمی تواند به تنهایی مانع از سوءاستفاده اطلاعاتی شود. این تصور که رمزنگاری واتس اپ کاربران را در برابر همه تهدیدات محافظت می کند، ساده انگاری و غلط است.

نقش فراموش شده فراداده ها در حفظ حریم خصوصی

امروزه در حالی که توجه عمومی و حتی بسیاری از گزارش های رسانه ای بر رمزنگاری محتوای پیام ها متمرکز شده است، آنچه در سایه بی توجهی قرار گرفته، اما از نظر اطلاعاتی بسیار ارزشمند بوده، متادیتا یا فراداده ها هستند. متادیتا شامل اطلاعاتی است که به طور مستقیم در متن پیام قرار ندارد، اما می تواند الگوهای رفتاری و ارتباطی کاربران را به دقت آشکار کند.

در مورد واتس اپ، طبق سیاست حفظ حریم خصوصی خود شرکت، مجموعه ای از متادیتاها ذخیره و تحلیل می شود. این اطلاعات می تواند شامل موارد زیر باشد:

• شماره تلفن کاربر و تمام مخاطبین
• زمان و تاریخ ارسال هر پیام
• فرکانس تماس ها و پیام ها با افراد مختلف
• موقعیت مکانی تقریبی از طریق IP یا GPS
• مدل و شناسه دستگاه، نوع سیستم عامل، نسخه نرم افزار
• اطلاعات مربوط به تعامل با دیگر محصولات متا (مثلا اتصال واتس اپ با فیسبوک یا اینستاگرام)

بر خلاف دیتاهای رمزنگاری شده، این متادیتاها به طور کامل در اختیار واتس اپ (متا) قرار دارند و می توانند بنا به درخواست نهادهای دولتی یا قضایی در کشورهای مختلف، در اختیار آن ها قرار گیرند.

کارشناسان امنیت سایبری معتقدند که متادیتا اغلب از محتوای پیام ها برای اهداف اطلاعاتی مهم تر است. برای مثال، حتی اگر محتوای پیام مشخص نباشد، صرف دانستن اینکه فردی خاص در چه ساعاتی، با چه کسانی و از چه موقعیت هایی در تماس بوده، می تواند برای تحلیل ارتباطات شبکه ای، الگوهای رفت وآمد و حتی شناسایی موقعیت هدف ها کافی باشد.

در میدان های نبرد مدرن، نظیر آنچه در جنگ غزه یا جنگ ایران و اسرائیل دیده ایم، تحلیل چنین متادیتاهایی می تواند نقش تعیین کننده ای در شناسایی فرماندهان نظامی، محل اختفا، زمان جابجایی یا حتی روابط بین یگان ها و افراد کلیدی ایفا کند. این موضوع به ویژه در مواردی اهمیت پیدا می کند که دشمن به صورت مستقیم به محتوای پیام ها دسترسی ندارد، اما با بهره گیری از همین فراداده ها، تصویر دقیقی از ساختار و عملکرد ارتباطی دشمن به دست می آورد.

مصادیق ناامنی و نقض حریم خصوصی

با وجود ادعاهای مکرر واتس اپ درباره تعهد به حریم خصوصی کاربران، این شرکت در سال های اخیر بارها توسط نهادهای ناظر به دلیل جمع آوری، استفاده یا اشتراک گذاری غیرشفاف داده ها جریمه شده است. مهم ترین این موارد به شرح زیر است:

جریمه ۲۲۵ میلیون یورویی اتحادیه اروپا (ایرلند)

کمیسیون حفاظت از داده ها در ایرلند واتس اپ را به دلیل عدم شفافیت در نحوه پردازش داده های کاربران و عدم اطلاع رسانی مناسب به آن ها درباره چگونگی به اشتراک گذاری اطلاعات با شرکت مادر (متا)، به پرداخت سنگین ترین جریمه تاریخ خود ملزم کرد. این جریمه بر اساس مقررات عمومی حفاظت از داده های اتحادیه اروپا وضع شد.

هشدار نهادهای ناظر آلمان و فرانسه

در آلمان و فرانسه، سازمان های حامی حقوق دیجیتال بارها به سیاست های ترکیبی متا در زمینه تبادل اطلاعات بین واتس اپ، فیسبوک و اینستاگرام اعتراض کرده اند. نگرانی اصلی آن ها، پروفایل سازی کاربران از طریق هم پوشانی داده های چندین سرویس بوده است.

فشار حقوقی در هند

دولت هند نیز بارها از واتس اپ خواسته است که مکانیزم های اشتراک گذاری داده با شرکت مادر و نیز قابلیت شناسایی فرستنده پیام های خاص را روشن کند. واتس اپ در مواردی در برابر درخواست های شناسایی کاربران مقاومت کرده، اما در موارد دیگر نیز داده هایی در اختیار دولت قرار داده است. این موضوع نشان دهنده ی عملکرد دوگانه و وابسته به منافع شرکت در برابر فشارهای حکومتی است.

ممنوعیت استفاده از واتس اپ در مجلس نمایندگان آمریکا

در ژوئن ۲۰۲۵، دفتر امنیت سایبری مجلس نمایندگان ایالات متحده استفاده از پیام رسان واتس اپ را بر روی تلفن های کاری کارکنان ممنوع اعلام کرد. این تصمیم با استناد به احتمال دسترسی غیرمجاز به داده های حساس کاری از طریق این پلتفرم اتخاذ شد. به رغم بهره گیری واتس اپ از رمزنگاری سرتاسری، ساختار فنی این پیام رسان و نحوه مدیریت متادیتا، ذخیره سازی داده ها بر روی زیرساخت های خارجی و عدم شفافیت در فرآیندهای امنیتی، نگرانی های جدی درباره سطح محافظت از اطلاعات حساس ایجاد کرده است. کارشناسان امنیت سایبری هشدار داده اند که وابستگی به پلتفرم هایی که کنترل حاکمیتی مستقیم بر زیرساخت و داده های آن ها وجود ندارد، می تواند زمینه ساز نشت یا بهره برداری اطلاعاتی از ارتباطات سازمانی باشد. ممنوعیت استفاده از واتس اپ، بخشی از رویکرد پیش دستانه دولت آمریکا برای کاهش تهدیدات سایبری در نهادهای حکومتی و جلوگیری از افشای ناخواسته اطلاعات طبقه بندی نشده اما حساس تلقی می شود.

نقش داده های واتس اپ در شناسایی فرماندهان غزه

یکی دیگر از نمونه های برجسته که ناامنی پیام رسان هایی نظیر واتس اپ را در زمینه درگیری های نظامی آشکار می سازد، پروژه موسوم به لوندر است که در جریان جنگ غزه توسط رژیم اسرائیل مورد استفاده قرار گرفت. بنابر گزارش هایی از منابع معتبر حقوق بشری، در این پروژه ارتش اسرائیل با بهره گیری از سامانه های هوش مصنوعی و تحلیل کلان داده، اقدام به شناسایی و فهرست سازی افراد مظنون در نوار غزه نمود. تحلیل های انجام شده در این چارچوب مبتنی بر متادیتا، الگوهای رفتاری و داده های ارتباطی بوده که به صورت بالقوه می تواند شامل اطلاعات گردآوری شده از پیام رسان هایی چون واتس اپ باشد. اگرچه متا به طور رسمی مشارکت مستقیم در این پروژه را رد نکرده یا تایید نکرده است، اما نحوه پردازش و دسترسی پذیری متادیتا در زیرساخت های این پلتفرم، چنین سناریویی را از نظر فنی و عملیاتی قابل وقوع می سازد. این تجربه، بار دیگر نشان می دهد که حتی در غیاب نفوذ مستقیم به محتوای پیام ها، متادیتا می تواند در شناسایی و هدف گیری نظامی مورد استفاده قرار گیرد.

بررسی این سوابق نشان می دهند که در پشت تصویر ظاهرا امن و رمزنگاری شده ی واتس اپ، سامانه ای فعال برای جمع آوری داده و تحلیل اطلاعات کاربران وجود دارد. سامانه ای که در بسیاری از موارد به دلیل نبود شفافیت، توسط نهادهای ناظر هدف انتقاد و جریمه قرار گرفته است. در نتیجه، اعتماد کاربران به حفاظت از داده های خود در واتس اپ، صرفا بر مبنای شعارهای تجاری استوار است و نه واقعیت های عملی. این موضوع، زمانی که پای امنیت ملی یا درگیری های نظامی در میان باشد، اهمیتی دوچندان پیدا می کند.

رد ادعای امنیت واتس اپ و راهبردهای پیشنهادی

در مورد واتس اپ، اگرچه رمزنگاری سرتاسری تا حدی امنیت محتوا را تضمین می کند، اما آسیب پذیری در برابر تحلیل متادیتا، سیاست های اشتراک گذاری داده و سوابق متعدد نقض حریم خصوصی نشان می دهند که این پلتفرم نمی تواند گزینه ای قابل اتکا برای ارتباطات حساس، به ویژه در شرایط درگیری نظامی یا تهدیدات سایبری، محسوب شود.

در شرایطی که کشور با تهدیدهای امنیتی آشکار و جنگ ترکیبی روبه رو است، هرگونه غفلت در انتخاب ابزارهای ارتباطی می تواند پیامدهای جبران ناپذیری در پی داشته باشد. دشمنان بالقوه ممکن است از کوچک ترین داده ها، حتی صرفا داده های رفتاری و متادیتاها، برای تحلیل و هدف گیری فرماندهان، یگان ها یا زیرساخت های حیاتی کشور بهره برداری کنند. در چنین وضعیتی، استفاده گسترده و بدون چارچوب از پیام رسان هایی که ذیل حاکمیت داده ای کشورهای متخاصم قرار دارند، نوعی ضعف راهبردی در حکمرانی اطلاعاتی کشور است. از این رو، اجرای اقدامات زیر با اولویت بالا توصیه می شود:

• ممنوعیت استفاده از پیام رسان های خارجی در کلیه نهادهای حاکمیتی، نظامی و عمومی کشور حتی برای مکاتبات به ظاهر غیرحساس
• افزایش آگاهی عمومی و نهادی درباره اهمیت متادیتا، محدودیت های رمزنگاری، و مخاطرات حکمرانی داده وابسته
• توسعه زیرساخت های امن بومی برای پیام رسانی، با اولویت امنیت، کارآمدی و اعتمادپذیری

در نهایت، مسئله صرفا مربوط به یک اپلیکیشن یا یک شرکت نیست؛ بلکه به امنیت ملی، استقلال سایبری و حاکمیت داده ای کشور گره خورده است. غفلت و سهل انگاری در این زمینه می تواند پیامدهای سنگین و گاه غیرقابل جبرانی به دنبال داشته باشد، به ویژه در شرایطی که تهدید هدف گیری زیرساخت های صنعتی و نظامی در آینده ای نزدیک به طور فزاینده ای افزایش می یابد.

جمع بندی

واتس اپ یکی از پرکاربردترین پیام رسان های جهان است که به پشتوانه ادعای استفاده از رمزنگاری سرتاسری و تضمین حفظ امنیت اطلاعات و حریم خصوصی توانسته است کاربران زیادی را جذب کند. با این حال با توجه به این که حجم بالایی از داده های جمع آوری شده واتس اپ فاقد رمزنگاری هستند و نظر به سوابق متعدد نقض حریم خصوصی؛ مشخص است که این پلتفرم نمی تواند گزینه ای قابل اتکا برای ارتباطات حساس، به ویژه در شرایط درگیری نظامی یا تهدیدات سایبری، محسوب شود. از این رو پیشنهاد می شود تا استفاده از پیام رسان های خارجی در کلیه نهادهای حاکمیتی، نظامی و عمومی کشور به کلی ممنوع شده و نسبت به توسعه زیرساخت های امن بومی اقدام شود.

این مطالعه در اندیشکده حنان در سال 1404 انجام شده است.