بيانات الصور الوصفية: ماذا يكشف موقع الإعلانات المبوبة فعليًا عن مكان إقامة معلنيه

عند إنشاء إعلان جديد، يقوم المعلن بالخطوة البديهية: يفتح تطبيق الكاميرا، يصوّر بضع صور في إضاءة جيدة، يرفعها إلى حسابه، ثم ينشر الإعلان. لا شيء في هذه العملية يبدو كقرار أمني. الأمر يبدو أسرع طريقة لنشر الصفحة، وعلى معظم المواقع هذا فعلاً ما يحدث بهذه السرعة، دون أي حاجز بين الصورة التي التُقطت منذ خمس دقائق والصورة التي يراها شخص غريب على الصفحة.

وما يراه ذلك الغريب لا يقتصر على ما هو ظاهر في الصورة نفسها. فكاميرات الهواتف الذكية التي لديها إذن باستخدام الموقع الجغرافي، وهذا ينطبق على معظمها في معظم الأحيان، تكتب خط العرض وخط الطول الدقيقين لمكان التصوير داخل كتلة بيانات موجودة في الملف نفسه، تُعرف ببيانات EXIF الوصفية. وتبقى هذه الإحداثيات مرافقة للملف خلال الرفع والتخزين والنشر، إلا إذا تدخّل شيء في هذه السلسلة لحذفها عمدًا. فالصورة التي تُلتقط في غرفة نوم المعلن نفسها، لإعلان الغرض منه عرض غرفة النوم، تحمل بداخلها عنوان تلك الغرفة بشكل تلقائي.

وهذا ليس عيبًا نظريًا اكتشفه باحث أمني. إنه نفس القرار التصميمي الذي اتخذته كل شركة صناعة هواتف من أجل المصورين الذين يريدون تنظيم صور عطلاتهم بحسب الموقع، لكنه يُطبَّق دون استثناء على صورة موجّهة لجمهور مختلف تمامًا. فالكاميرا لا تعرف، ولا يمكنها أن تعرف، أن هذه الصورة بالذات ستذهب إلى مكان لا يريد صاحبها إطلاقًا أن يظهر فيه عنوان منزله.

ما يكتبه الهاتف بصمت داخل كل صورة

التفصيل التقني المهم فهمه، لأنه يحدد ما يجب أن يفعله الحل فعليًا، هو أن بيانات EXIF موجودة داخل ملف الصورة نفسه، في قسم لا تراه العين مطلقًا ولا تعرضه معظم برامج عرض الصور إلا عند الطلب. فهي ليست تعليقًا نصيًا ولا اسم ملف ولا أي شيء يكتبه المعلن بنفسه. تظهر هذه البيانات لحظة إغلاق الغالق، ويضيفها نظام التشغيل تلقائيًا، وتبقى موجودة حتى بعد تغيير اسم الملف أو نقله أو إرساله كمرفق بالبريد الإلكتروني. أما ما يحذفها بشكل موثوق فهو إعادة ترميز الصورة: أي تفكيك بيانات البكسل وكتابة ملف جديد، وهذا يحذف البيانات الوصفية القديمة إلا إذا طُلب من الأداة صراحةً الاحتفاظ بها.

والحالة الوحيدة التي مرّ بها الجميع تقريبًا، دون أن يعرفوا سبب نجاحها، هي أن لقطة الشاشة لصورة ما لا تحمل أي بيانات موقع، لأن لقطة الشاشة هي صورة جديدة تمامًا لما ظهر على الشاشة، ولا ترافقها أي من البيانات الخفية للملف الأصلي. وهذا أيضًا سبب عدم قدرة المعلن حسن النية على حماية نفسه بشكل موثوق عبر إيقاف خدمات الموقع الجغرافي بعد فوات الأمر: فأي صورة سبق تصويرها بهذا الإعداد مفعّلاً تحمل الإحداثيات بداخلها فعلاً، وإيقاف الإعداد لا يغيّر إلا مصير الصورة التالية، لا الصور الموجودة أصلاً في معرض الهاتف بانتظار الرفع.

ولا شيء من هذا جديد أو غامض. فقد فحص بحث أُجري عام 2012 في جامعة كولورادو بولدر تسعين موقع تعارف، وتبيّن أن إحدى وعشرين منها، يديرها في معظمها شركة واحدة، تنشر صور المستخدمين دون حذف بيانات الموقع المضمّنة فيها. وهذه ليست نتيجة هامشية لفاعل واحد سيئ. إنها ما يقارب ربع صناعة كاملة، منذ أكثر من عقد، تسرّب عناوين المنازل بصمت من خلال ميزة لم يطلبها أحد من مستخدمي الموقع ولم يكن يعرف بوجودها.

لماذا يمثّل هذا الخلل مشكلة مختلفة هنا

على موقع إعلانات مبوبة عام، هذا النوع من التسريب مُحرج فقط. أما على موقع يكون الشخص في الصورة مقدّم خدمة مستقل يعتمد دخله على إمكانية الوصول إليه، بينما تعتمد سلامته على عدم إمكانية تحديد مكانه، فإن نفس التسريب يصبح فئة مختلفة تمامًا من المشكلة. فالعنوان هنا ليس معلومة عرضية عن بائع أريكة مستعملة. إنه المعلومة الوحيدة التي صُمم الإعلان أساسًا لكي لا تُكشف مطلقًا، وهي كامنة بصمت داخل الملف تحت الصورة التي اختار المعلن نفسه إظهارها.

وقد تجسّد حجم ما قد يحمله تسريب واحد في يوليو 2025، عندما أعلن تطبيق السلامة في التعارف Tea أن قراصنة تمكّنوا من الوصول إلى نحو 72 ألف صورة من قاعدة بيانات مكشوفة: حوالي 13 ألف صورة سيلفي وصورة هوية أُرسلت للتحقق من الحساب، ونحو 59 ألف صورة مأخوذة من المنشورات والتعليقات والرسائل المباشرة. وذكرت الشركة أنه لم يتم كشف أي رسائل بريد إلكتروني أو أرقام هواتف، وأن الحسابات المتأثرة هي فقط تلك التي أُنشئت قبل فبراير 2024. لم يزعم أحد أن المهاجمين كانوا يبحثون تحديدًا عن بيانات الموقع المضمّنة في هذه الصور، وهذا المقال لا يزعم ذلك أيضًا.

ما يوضّحه اختراق Tea فعليًا هو أمر أضيق نطاقًا وأكثر فائدة: فحين تخزّن المنصة وتعرض الملف الخام غير المعالَج الذي رفعه التطبيق أو المتصفح في الأصل، فإن كل ما يحتويه هذا الملف يرافقه إلى أي مكان يصل إليه بعد ذلك، حصل اختراق أم لا. وإعلان مبوّب لا يحتاج إلى قرصان لكي يحدث هذا. فالمنصة نفسها هي التي تسلّم الملف للعامة، عن قصد، في كل مرة تُنشر فيها صورة دون حذف بياناتها الوصفية أولاً.

مشكلة قديمة ومملة وسبق حلها

الجانب المطمئن هو أن هذه ليست مشكلة هندسية صعبة، ولم تكن كذلك منذ زمن طويل. ففيسبوك وإنستغرام يحذفان بيانات الموقع الوصفية من النسخة العلنية للصورة، ويقومان بذلك منذ سنوات، لأن منصة تستقبل مئات ملايين الرفعات يوميًا لا يمكنها أن تخوض هذا الحديث مع كل مستخدم على حدة. تتم معالجة الأمر مرة واحدة، بشكل مركزي، ضمن مسار الشيفرة الذي تمر عبره كل صورة في طريقها إلى النشر، دون أن يحتاج من يرفع صورة عيد ميلاد إلى التفكير في الأمر أبدًا.

ويظهر الخلل، كما هو متوقع، على المنصات الأصغر والأكثر تخصصًا التي لم تُدرج هذه الخطوة أساسًا، لأنه لم يُكلَّف أحد في فريق صغير بمتابعتها، ولأن لا مستخدم يفتح تذكرة دعم يطلب فيها ميزة لا يعرف أنها غائبة. وقد وجدت دراسة أكاديمية عام 2024 تناولت تطبيقات التعارف القائمة على الموقع الجغرافي أن أحد التطبيقات المدروسة، وهو MeetMe، ما زال ينشر الصور بكامل بياناتها الوصفية الأصلية، بينما حذفتها بقية التطبيقات في الدراسة نفسها بشكل صحيح. والفارق بين المنصات التي حلّت هذه المشكلة والمنصات التي لم تتفرغ لها لا علاقة له بمدى حساسية المحتوى. بل يتعلق بما إذا كان أحد في الجانب التقني قد وضع علامة صح أمام هذه المهمة أم لم يفعل.

وهذا الفارق مهم قانونيًا لا عمليًا فقط. تُعامَل بيانات الموقع الدقيقة من هذا النوع كفئة محمية خاصة بحد ذاتها بموجب قوانين الخصوصية في عدة ولايات قضائية، وقانون الخصوصية في كاليفورنيا يُدرج تحديدًا الموقع الجغرافي الدقيق، والمعرَّف بأنه بيانات تحدد موقع شخص ضمن نطاق نحو 1850 قدمًا (نحو 564 مترًا)، كمعلومات شخصية حساسة تخضع لقواعدها الخاصة. وأي مشغّل موقع إعلانات مبوبة ينشر هذه البيانات عن طريق الخطأ، مضمّنة في صورة لم يفحصها أحد بعناية، لا يُستثنى من هذه القواعد فقط لأن التسريب كان غير مقصود.

لماذا لا يمكن للمعلن حل هذه المشكلة بمفرده

والاستجابة البديهية، وهي أن يُطلب من المعلنين إيقاف تحديد الموقع الجغرافي بأنفسهم، تبدو منطقية لكنها لا تنجح في الواقع. فمعظم الناس لم يفتحوا مطلقًا الإعداد الذي يتحكم في هذا الأمر، ولا يعرفون بوجوده، ولا سبب يدفعهم للبحث عنه قبل حدوث خطأ ما بالفعل. أما من يعرفه فيميل إلى نسيانه في كل مرة يحصل فيها على هاتف جديد، لأن الإعداد يعود إلى وضعه الافتراضي مع كل جهاز جديد، وأي عادة يجب تذكّرها بشكل صحيح إلى الأبد، من كل معلن، على كل جهاز، دون أي استثناء، ليست إجراء أمنيًا. إنها مجرد أمنية.

وهذه هي نفس الثغرة التي تظهر كلما ألقت منصة بمسؤولية إجراء وقائي تقني على الشخص الأقل تجهيزًا لتطبيقه بشكل ثابت. ويبقى المشغّل هو الجهة الوحيدة القادرة فعليًا على ضمان تنفيذ الإجراء الوقائي على كل ملف، في كل مرة، بالطريقة نفسها التي لم يقرر فيها أحد عمدًا المدة التي ينبغي أن تبقى فيها وثيقة هوية مُرسَلة على الخادم، إلا أن القرار الذي لم يُتخذ هنا هو ما إذا كان يجوز للصورة المنشورة أن تظل قادرة على الإشارة إلى باب منزل حقيقي.

ما الذي يحتاج مسار الرفع فعليًا إلى القيام به

الحل يقع بالكامل على جانب الخادم، في الشيفرة التي تعالج بالفعل كل صورة قبل نشرها، لا في إعداد يجب أن يتذكره المعلن. فإعادة ترميز الصورة، وهو ما تقوم به معظم مسارات الرفع أصلاً لتغيير حجمها وإنشاء النسخ الأصغر التي يحتاجها الموقع للصور المصغّرة والمعاينات، تحذف بيانات EXIF كأثر جانبي في بعض الأدوات دون غيرها: فمكتبة Sharp الشائعة تحذفها تلقائيًا خلال هذه العملية، في حين أن ImageMagick، الشائعة أيضًا، تحتفظ بها إلا إذا تضمّن الأمر صراحةً الخيار الذي يطلب حذف البيانات الوصفية. والأداتان لا تتصرفان بالطريقة نفسها بشكل تلقائي، وهذا بالضبط ما يجعل من الخطأ افتراض أن الأمر محلول لمجرد وجود خطوة لتغيير الحجم.

والطريقة الوحيدة لمعرفة السلوك الفعلي لمسار معيّن هي اختباره مباشرة: صوّر صورة بهاتف مفعّل فيه تحديد الموقع، ثم ارفعها عبر المسار نفسه الذي يستخدمه المعلن الحقيقي، ثم نزّل الملف الذي يعرضه الموقع فعليًا للعامة وافحص بياناته الوصفية بأي برنامج مجاني لعرض EXIF. فإذا كانت الإحداثيات ما زالت موجودة، فخطوة تغيير الحجم لا تقوم بالمهمة المفترض أنها تقوم بها، بصرف النظر عن المكتبة المستخدمة خلفها.

وهناك حلّان مبسّطان يفشلان بالطريقة نفسها وللسبب نفسه. فحذف البيانات الوصفية داخل المتصفح بشيفرة تعمل على جهاز المستخدم يبدو أنه ينجح إلى أن يأتي رفع من خلال تطبيق هاتف، أو أداة استيراد جماعي، أو استدعاء مباشر لنقطة الرفع نفسها، ولا يشغّل أي من هذه المسارات تلك الشيفرة على الإطلاق. والثقة بأن أداة رفع خارجية قد تولّت هذا الأمر مسبقًا هي مجرد تخمين، لا تحقّق، إلى أن يقوم أحد فعليًا بتشغيل الاختبار المذكور في الفقرة السابقة عليها والنظر في النتيجة.

لا شيء من هذا يتطلب استشارة قانونية جديدة أو خبيرًا أمنيًا. كل ما يتطلبه هو أن يقوم شخص واحد بتشغيل اختبار واحد هذا الأسبوع: رفع صورة تحمل بيانات موقع عبر مسار نشر الإعلان الحقيقي، تنزيل النسخة التي يعرضها الموقع، وفتح بياناتها الوصفية. فإذا عادت الإحداثيات خالية تمامًا، فإن المسار يقوم بمهمته أصلاً ولا حاجة لتغيير أي شيء آخر. وإذا لم تكن خالية، فهذا هو الإصلاح الوحيد في هذه القائمة الذي يستحق تنفيذه قبل نشر الإعلان التالي، لأن البديل هو نشر عنوان منزل في كل مرة يضع فيها معلن صورة، ثم اعتبار ذلك ميزة لم يطلبها أحد.