ApplyNow: تسرب بيانات 396,920 شخصاً بسبب ثغرة معروفة لم تُصلَح

وفي الخدمات الثلاث كلها تسربت أسماء مستخدمي الشركات وعناوين بريدهم الإلكتروني وكلمات مرورهم المشفّرة (hash) ومعلومات الصلاحيات. وفي Interview Cloud تسربت كذلك أسماء المتقدمين ونطقها وأرقام هواتفهم وبريدهم، وعند بعضهم تواريخ التقديم والمقابلة وتاريخ الميلاد والجنس والمهنة.

أما في ApplyNow Sign فتسربت لدى بعض الأشخاص، إضافة إلى الاسم والهاتف والبريد، بيانات مثل My Number واسم المصرف ومعلومات الحساب ورقم المعاش الأساسي ورقم بطاقة الإقامة ورقم التأمين ضد البطالة ومعلومات الإعفاء الضريبي للمعالين وتاريخ الميلاد والجنس والعنوان. ولم تشمل التسريبات بيانات بطاقات الائتمان ولا صور وثائق الهوية ولا فيديوهات المقابلات. وحتى 4 نوفمبر لم ترصد الشركة أضراراً ثانوية مثل إساءة استخدام البيانات.

كيف وقع الاختراق

وفق تحقيق الشركة، استغل المهاجم ثغرة في أداة داخلية لتحليل البيانات ودخل النظام في 9 أغسطس، وحصل على صلاحيات المسؤول، واطلع على جزء من قاعدة البيانات في 23 و26 أغسطس، ثم سحب المعلومات دفعة واحدة في 7 سبتمبر. وفي اليوم نفسه كشف إيقاف الأداة خللاً غير معتاد، فعطّلت الشركة الحسابات المزورة وأغلقت مسارات الاختراق.

وأرجعت ApplyNow الحادثة إلى عدم علمها بالثغرة التي نشرها مزود الأداة وتأخرها في تطبيق النسخة المصححة. كما أن غياب قيود على مصدر الاتصال أخّر اكتشاف العمليات المشبوهة. وكانت الأداة قادرة على الوصول إلى البيانات الشخصية، ولم تكن هناك مدة محددة لحفظ البيانات، فبقيت بيانات الشركات التي انتهت عقودها دون حذف.

وطبّقت الشركة التحديث وقصرت الوصول إلى الأداة على عناوين IP محددة. وتعتزم حذف البيانات بعد انتهاء العقود، وإطلاق إشعارات تلقائية بالعمليات المشبوهة، وتحديد مدة لحفظ البيانات الشخصية.