تسريب GMO Trust Login: بيانات 45,030 شخصًا في مساحة شعارات عامة

أعلنت شركة GMO GlobalSign في 30 أكتوبر أن خللًا في إعدادات خدمة تسجيل الدخول الموحد «GMO Trust Login» أدى إلى تسريب معلومات، طال 2,492 شركة عميلة و45,030 شخصًا، وشمل أسماءهم وعناوين بريدهم الإلكتروني وبيانات أخرى.

وبحسب الشركة، يعود السبب إلى تصميم النظام، إذ كانت ملفات مؤقتة تحتوي معلومات العملاء تُحفظ في المساحة العامة نفسها التي تُخزَّن فيها صور الشعارات. ولذلك ظلت متاحة للتنزيل من الخارج نحو تسع سنوات، ولم تكن روابط الملفات موقّعة أو محددة بمدة صلاحية.

كيف اكتُشفت المشكلة

تلقت الشركة بلاغًا في 14 سبتمبر من باحث أمني خارجي عبر برنامج الإبلاغ عن الثغرات. وأُغلق الوصول الخارجي إلى الملفات ليلة اليوم نفسه، واكتمل الإغلاق مساء اليوم التالي. وتعود الجذور إلى تغيير جرى نحو 14 نوفمبر 2017، حين نُقل التخزين إلى المساحة العامة لتخفيف الحمل عند توزيع الشعارات.

ولا تؤكد السجلات تنزيل أطراف خارجية للملفات إلا منذ 8 يونيو 2021. أما قبل ذلك فلا توجد سجلات، ولا يمكن الجزم بحدوث تنزيلات، لكن الشركة أدرجت تلك الفترة ضمن الحصر. وكانت اختبارات الاختراق الدورية تشمل التطبيقات والخوادم دون وحدة تخزين الملفات.

وتسرّب نوعان من الملفات. الأول ملفات أنشأها النظام عند تنفيذ المسؤولين عمليات جماعية، مثل القوالب وملفات الأخطاء، وتضم عناوين بريد وأسماء وأسماء التطبيقات وسمات مثل رقم الموظف، وتخص 2,184 شركة و44,836 شخصًا. والثاني ملفات العقود، وفيها معرّف الشركة وعدد التراخيص وحالة الاستخدام وتاريخ الإلغاء، إضافة إلى اسم جهة الفوترة وعنوانها وهاتفها وبريدها؛ وطال ذلك 217 شركة و194 شخصًا، إضافة إلى 91 شركة تعذر تحديدها.

ولم تشمل البيانات المسرّبة كلمات مرور الدخول، ولا أسئلة الأمان وإجاباتها، ولا معلومات المصادقة متعددة العوامل، ولا كلمات مرور الخدمات المرتبطة، ولا بيانات الدفع.

الإجراءات المقبلة

أكدت GMO Cybersecurity by Ierae، التابعة للمجموعة نفسها، أن أطرافًا خارجية نزّلت الملفات وأن استخدامها لأغراض خبيثة محتمل. وارتفع عدد المتضررين عن الرقم المبدئي المعلن في 16 سبتمبر لأن الفحص الأول لم يشمل ملفات كافية واعتمد معايير خاطئة.

وحوّلت الشركة الروابط إلى روابط موقّعة صالحة لساعة واحدة، وعطّلت عرض قوائم الملفات. وستقتصر المواد العامة على آلية توزيع مخصصة بأنواع ملفات محددة. كما ستحذف ملفات العملاء تلقائيًا، وتوحّد معالجة الملفات في مكوّن مشترك، وتُجري فحصًا خارجيًا لبيئتها السحابية كلها مرتين سنويًا.