تسرب بيانات ضخم: ما يقرب من مليون جواز سفر وبطاقة هوية مكشوفة على الإنترنت

في اكتشاف صادم يثير قلقًا بالغًا بشأن أمن البيانات، كشف الباحث الأمني سامي أزدوفال أن ما يقرب من مليون وثيقة هوية مصورة، بما في ذلك جوازات السفر ورخص القيادة، لمستخدمين لنوادي القنب في إسبانيا، تُركت مكشوفة تمامًا على شبكة الإنترنت العامة. وقد تمكن أزدوفال، المعروف باكتشافاته السابقة لثغرات في المكانس الكهربائية الروبوتية من DJI وشاشات مراقبة الأطفال، من الوصول إلى هذا الكم الهائل من البيانات الحساسة بمجرد كتابة بضعة أحرف وأرقام في متصفح الويب. كانت هذه الوثائق، التي تشمل هويات من جميع أنحاء العالم، بما في ذلك أكثر من 30 ألفًا من الولايات المتحدة، وحتى بعض المشاهير، متاحة عبر عناوين URL عامة دون أي حماية بكلمة مرور أو تحكم في الوصول. لم تقتصر البيانات المكشوفة على وثائق الهوية المصورة فحسب، بل امتدت لتشمل أرقام الهواتف والعناوين المنزلية وتفضيلات أنواع القنب وحتى كميات الاستهلاك الشهرية. تعود جذور هذا الاختراق الواسع النطاق إلى شركة "أنظمة نوادي القنب" (Cannabis Club Systems)، المعروفة رسميًا باسم Nefos Solutions، وهي شركة أيرلندية تقوم بتطوير وتوفير البرامج التي تستخدمها هذه النوادي للمبيعات والمحاسبة وعمليات الدخول. يتضمن هذا النظام عملية تحقق يقوم من خلالها موظفو الاستقبال بتحميل هويات الأعضاء وصورهم الشخصية (السيلفي) مباشرة إلى سحابة Nefos، بهدف تسريع عملية الدخول والتحقق من الهوية. كشف تحليل أزدوفال المتعمق لتطبيق PuffPal الاختياري من Nefos عن مستوى صادم من انعدام الأمن. فقد عثر على مفتاح سري لمنصة المدفوعات Stripe مدمج في التطبيق بنص عادي. والأخطر من ذلك، اكتشف أنه يمكنه الوصول إلى ملف تعريف أي عضو بمجرد تغيير رقم تعريفي واحد. وكان الكشف الأكثر إثارة للقلق هو أن جوازات السفر ورخص القيادة وغيرها من وثائق الهوية المصورة المخزنة كانت متاحة عبر عناوين URL عامة يسهل تخمينها، باتباع تسمية بسيطة. علاوة على ذلك، كان نظام Nefos يسمح للأندية بتحميل ما يقرب من 5000 هوية مصورة جديدة يوميًا إلى هذه المواقع غير الآمنة، بينما أدت بوابة الإدارة المتاحة وكلمات المرور الضعيفة لحسابات الأندية إلى تفاقم المخاطر، حتى أنها عرضت رسائل الدردشة الخاصة بين الأندية والأعضاء للخطر. كانت استجابة Nefos لهذه الاكتشافات الحرجة بطيئة وغير كافية بشكل مؤسف. فقد استغرق الأمر خمسة أيام وتهديدًا بنشر قصة إخبارية حتى ردت الشركة على التواصل الأولي. وفي البداية، حاولت Nefos "ترقيع الثغرات" بدلاً من تنفيذ إصلاحات شاملة. وقع حادث خطير بشكل خاص عندما، بعد تأمين أولي، قامت Nefos *بإعادة فتح* بيانات الصور لأن الأندية اشتكت من أن الصور المؤمنة لم تكن تظهر بشكل صحيح. هذا القرار، الذي أعطى الأولوية لاستمرارية العمل على حساب أمن المستخدمين، أدى إلى اكتشاف أزدوفال أن جواز سفره *الخاص* كان متاحًا مرة أخرى على الإنترنت، مما يؤكد فشل الشركة الأولي في أخذ التهديد على محمل الجد. لحسن الحظ، بعد حوالي شهر من تواصل مجلة "ذا فيرج" مع الشركة، يبدو أن Nefos تتخذ إجراءات أكثر حسمًا. فقد أعلنت الشركة عن إغلاق نظام PuffPal بالكامل وواجهات API المعرضة للخطر حتى يتم تأمينها بشكل صحيح. كما أبلغت Nefos السلطات المحلية، وتحديداً هيئة حماية البيانات الأيرلندية (DPC)، والتزمت بتحمل المسؤولية عن الإصلاحات والغرامات المحتملة وإخطار المستخدمين المتأثرين. وبينما يدعي المؤسس المشارك لـ Nefos، أندرياس نيلسن، عدم وجود دليل على وصول خارجي للبيانات بخلاف أزدوفال، فإن التعرض المطول للبيانات وتردد الشركة الأولي في تأمينها بالكامل يمثلان تذكيرًا حاسمًا بالعواقب الوخيمة لإهمال تدابير الأمن السيبراني القوية.