أقرت مجموعة "ويندهام" (Wyndham)، إحدى كبرى شركات الفنادق والمنتجعات في العالم، بوقوع حادثة أمنية بعد اكتشاف ثغرة في تطبيقها للهواتف الذكية، كانت تتيح الوصول إلى معلومات شخصية تخص العملاء دون الحاجة إلى صلاحيات خاصة.
وقال الباحث الأمني روبرت ويغينز، من مؤسسة "What Security"، إنه اكتشف كلمة مرور مضمّنة داخل الشيفرة المصدرية لتطبيق الشركة على نظام أندرويد، تتيح الوصول إلى قاعدة بيانات داخلية تستضيفها منصة "Salesforce"، وفق تقرير نشره موقع "تك كرانش".
وأوضح الباحث أن بيانات الدخول المكشوفة أتاحت الوصول إلى معلومات شخصية للعملاء، شملت الأسماء وعناوين البريد الإلكتروني وأرقام العضوية في برنامج الولاء التابع للشركة.
ولم تقتصر البيانات المكشوفة على هذه المعلومات، إذ تضمنت أيضًا رموز تسجيل الدخول الرقمية المعروفة باسم (JWTs)، التي تسمح للمستخدمين بالبقاء مسجلين الدخول إلى التطبيقات دون الحاجة إلى إدخال كلمات المرور في كل مرة، إضافة إلى ملفات ومستندات داخلية تخص الشركة.
وبحسب ويغينز، احتوت قاعدة البيانات على ملايين السجلات، لكنه لم يتمكن من تحديد العدد الدقيق لحسابات العملاء التي ربما تعرضت بياناتها للخطر، في حين تشير بيانات الشركة إلى أن برنامج الولاء التابع لها يضم نحو 129 مليون عضو مسجل.
ويندهام تعالج الثغرة بعد الإبلاغ عنها
وأشار الباحث إلى أن الشركة لا توفر آلية واضحة للإبلاغ عن الثغرات الأمنية، الأمر الذي دفعه إلى الاستعانة بموقع "تك كرانش" لإخطارها بالمشكلة.
وبعد تواصل الموقع مع فريق الأمن السيبراني في "ويندهام"، ألغت الشركة صلاحية بيانات الدخول المكشوفة، ما أوقف إمكانية الوصول إلى قاعدة البيانات باستخدامها.
وقال متحدث باسم الشركة إن الفريق المختص اتخذ خطوات لمعالجة المشكلة، مضيفًا أنه لا توجد لدى الفرق الأمنية أدلة على حدوث وصول غير مصرح به إلى البيانات.
لكن الشركة لم توضح ما إذا كانت تمتلك سجلات تقنية كافية للتحقق من احتمال وصول أطراف أخرى إلى قاعدة البيانات قبل اكتشاف الثغرة، كما لم تكشف ما إذا كانت ستخطر العملاء الذين ربما تعرضت معلوماتهم للكشف أو الجهات التنظيمية الأمريكية المختصة.
ولم تقدم "ويندهام" تفاصيل بشأن المدة التي ظلت خلالها كلمة المرور موجودة داخل التطبيق، أو الإجراءات التي اتخذتها لضمان عدم تكرار المشكلة.
كيف سمحت الثغرة بالوصول إلى بيانات العملاء؟
تتمثل المشكلة في ممارسة برمجية تُعرف باسم "Hardcoding"، وتعني تضمين كلمات المرور أو بيانات الدخول الحساسة مباشرة داخل الشيفرة المصدرية للتطبيق.
وتكمن خطورة هذه الممارسة في إمكانية استخراج بيانات الدخول من نسخة التطبيق المتاحة للجمهور، ثم استخدامها للوصول إلى الخوادم أو قواعد البيانات المرتبطة به، دون الحاجة بالضرورة إلى اختراق الأنظمة بالوسائل التقليدية.
ولهذا تُعدّ حماية بيانات الدخول وإبعادها عن التطبيقات المنشورة للمستخدمين من المبادئ الأساسية في تطوير البرمجيات وتأمينها.
الذكاء الاصطناعي يساعد على اكتشاف الثغرات
وتُعد حادثة "ويندهام" ثاني مرة يعلن فيها الباحث ويغينز اكتشاف بيانات دخول مكشوفة داخل تطبيق خلال أسبوعين، بعدما عثر على ثغرة مشابهة في تطبيق سلسلة المطاعم الأمريكية "Applebee's"، أتاحت الوصول إلى بيانات العملاء.
واستخدم الباحث أدوات الذكاء الاصطناعي في عمليتي الاكتشاف، إذ تساعد هذه الأدوات على تحليل الشيفرات البرمجية واكتشاف نقاط الضعف، بما في ذلك كلمات المرور وبيانات الدخول المضمنة داخل التطبيقات.
وأعرب ويغينز عن ارتياحه لمعالجة الشركة للثغرة، لكنه حذر من أن عدم التأكد مما إذا كانت قاعدة البيانات قد تعرضت للوصول سابقًا يترك احتمالًا قائمًا بأن تكون جهات أخرى قد تمكنت من الاطلاع على معلومات العملاء أو تسريبها.
من جهته، قال مدير الأمن السيبراني في "ويندهام"، مايكل فرانسيس، إن الباحثين يستطيعون إرسال تفاصيل المشكلات الأمنية المحتملة إلى البريد الإلكتروني المخصص للشركة: security@wyndham.com، دون أن توضح الشركة ما إذا كانت ستنشئ برنامجًا رسميًا للإفصاح عن الثغرات الأمنية.
سجل سابق من الحوادث الأمنية
ولا تُعد هذه الحادثة الأولى التي تواجه فيها "ويندهام" مشكلات أمنية؛ إذ شهد عام 2024 اكتشاف برنامج تجسس على عدد من أجهزة تسجيل الوصول في فنادق تابعة لها، كان يتيح الوصول عن بُعد إلى الحواسيب وتسريب لقطات شاشة تضمنت سجلات النزلاء ومعلومات الحجوزات.
وبعد نشر التحقيق الصحفي بشأن الواقعة، تعرض البرنامج المعروف باسم "pcTattletale" للاختراق، وسُرقت قواعد بيانات منه، ما دفع مالكه برايان فليمنغ إلى إغلاق نشاطه.
وألقت السلطات الفيدرالية الأمريكية القبض على فليمنغ لاحقًا، وأُدين بتهم تتعلق بتطوير برامج تجسس غير قانونية وبيعها والإعلان عنها.