اكتشف باحث أمني ثغرة في تطبيق مجموعة “ويندهام “للهواتف الذكية، كانت تسمح لأي شخص بالوصول إلى معلومات شخصية تخص عملاء الشركة، دون الحاجة إلى صلاحيات خاصة.
واعترفت المجموعة وهي إحدى كبرى شركات الفنادق والمنتجعات في العالم بوقوع حادثة أمن سيبراني، أدت إلى تسريب بيانات ملايين العملاء.
وقال الباحث الأمني روبرت ويجينز، من مؤسسة What Security، لموقع “تك كرانش” إنه اكتشف كلمة مرور مدرجة داخل الشيفرة المصدرية لتطبيق ويندهام على نظام أندرويد، وكانت هذه الكلمة تتيح الوصول إلى قاعدة بيانات داخلية تابعة للشركة، تستضيفها منصة Salesforce التقنية.
وأوضح الباحث الأمني أن بيانات الدخول المكشوفة أتاحت الوصول إلى معلومات شخصية للعملاء، تضمنت أسماءهم وعناوين بريدهم الإلكتروني وأرقام عضويتهم في برنامج الولاء التابع لويندهام.
ولم تقتصر البيانات الموجودة في قاعدة المعلومات على هذه التفاصيل، إذ تضمنت أيضاً رموز تسجيل دخول العملاء المعروفة باسم JWTs، وهي رموز رقمية تسمح للمستخدمين بالبقاء مسجلين الدخول إلى تطبيقاتهم دون الحاجة إلى إدخال كلمات المرور في كل مرة يستخدمون فيها الخدمة.
كما احتوت قاعدة البيانات على ملفات ومستندات خاصة بشركة ويندهام. وبحسب الباحث، ضمت قاعدة البيانات ملايين السجلات، لكنه لم يتمكن من تحديد العدد الدقيق لحسابات العملاء التي تعرضت بياناتها للخطر.
وتقول “ويندهام” إن برنامج المكافآت والولاء التابع لها يضم نحو 129 مليون عضو مسجل.
تدخل سريع بعد اكتشاف الثغرة
وأشار ويجينز إلى أن شركة ويندهام لا تمتلك آلية واضحة للإبلاغ عن الثغرات الأمنية، ما دفعه إلى طلب مساعدة موقع “تك كرانش” لإخطار الشركة بالمشكلة.
وبعد فترة وجيزة من تواصل الموقع مع فريق الأمن السيبراني في ويندهام، ألغت الشركة صلاحية بيانات الدخول المكشوفة، ما حال دون استمرار الوصول إلى قاعدة البيانات من خلالها.
وقال المتحدث باسم “ويندهام”: “اتخذ فريقنا خطوات لمعالجة المشكلة”، مضيفاً أن الفرق الأمنية التابعة للشركة لا تمتلك أدلة على حدوث أي وصول غير مصرح به إلى البيانات، دون تقديم تفاصيل إضافية تدعم هذا التصريح.
لكن المتحدث رفض توضيح ما إذا كانت الشركة تمتلك الوسائل التقنية اللازمة، مثل سجلات الخوادم، للتحقق مما إذا كان أي شخص قد تمكن من الوصول إلى قاعدة بيانات العملاء قبل اكتشاف ويجينز للثغرة.
كما لم توضح الشركة ما إذا كانت تعتزم إخطار العملاء الذين ربما تعرضت معلوماتهم للكشف، أو إبلاغ الجهات التنظيمية الأمريكية بالحادثة، بما في ذلك هيئة الأوراق المالية والبورصات الأمريكية (SEC)، التي تلزم الشركات المدرجة بالإفصاح عن حوادث الأمن السيبراني الجوهرية.
ورفضت الشركة أيضاً الكشف عن المدة التي ظلت خلالها كلمة المرور موجودة داخل تطبيق العملاء، أو كيفية تنفيذ إصلاح دائم يمنع تكرار المشكلة.
ليست المرة الأولى
يذكر أن هذه الحادثة ليست أول مشكلة أمنية معروفة تواجهها “ويندهام” خلال السنوات الأخيرة، ففي عام 2024، اكتشف أحد الباحثين الأمنيين أن عدداً من أجهزة تسجيل الوصول في فنادق تابعة للشركة كانت تعمل ببرنامج تجسس يتيح الوصول عن بُعد إلى الحواسيب، وكان يتسبب في تسريب لقطات شاشة تحتوي على سجلات النزلاء ومعلومات الحجوزات عبر الإنترنت المفتوح.