نظام تسجيل الوصول الفندقي التابع لشركة Reqrea يسرّب أكثر من 1 مليون وثيقة خاصة بالمستخدمين

كشف نظام تسجيل الوصول الفندقي المسمى Tabiq، الذي تديره شركة التكنولوجيا الناشئة Reqrea ومقرها اليابان، عن أكثر من 1 مليون جواز سفر ورخصة قيادة وصورة شخصية للتحقق من الهوية الخاصة بالعملاء. حدث هذا الكشف لأن الشركة الناشئة ضبطت إحدى حاويات التخزين الخاصة بها المستضافة على Amazon — وهي حاويات التخزين المستخدمة لحفظ بيانات العملاء — لتكون متاحة للجمهور. أصبحت البيانات الآن غير متصلة بالإنترنت بعد أن نبهت TechCrunch الشركة المسؤولة.

اكتشف الباحث الأمني المستقل Anurag Sen أن النظام كان يسرّب الوثائق الحساسة وتواصل مع TechCrunch للمساعدة في إخطار الشركة. تضمنت الملفات المكشوفة، التي يعود تاريخها إلى أوائل عام 2020 وحتى الشهر الجاري، وثائق هوية لزوار من دول حول العالم. كما تم التقاط تفاصيل الحاوية المكشوفة بواسطة GrayHatWarfare، وهي قاعدة بيانات قابلة للبحث تقوم بفهرسة التخزين السحابي المرئي للجمهور. قامت Reqrea بتأمين حاوية التخزين بعد أن تواصلت TechCrunch مع كل من الشركة الناشئة وفريق تنسيق الأمن السيبراني في اليابان، JPCERT.

ذكرت Reqrea أنها لا تعرف كيف أصبحت حاوية التخزين متاحة للجمهور. وفي رسالة بريد إلكتروني تقر فيها بالكشف، قال مدير Reqrea، Masataka Hashimoto: “نحن نجري مراجعة شاملة بدعم من مستشار قانوني خارجي ومستشارين آخرين لتحديد النطاق الكامل للكشف”. وأضاف Hashimoto أن الشركة تعتزم إخطار الأفراد المتأثرين بمجرد الانتهاء من تحقيقها. ومع ذلك، لا يزال من غير الواضح ما إذا كان أي شخص غير Sen قد وصل إلى البيانات المكشوفة قبل تأمينها. وأشار Hashimoto إلى أن الشركة تراجع سجلاتها لتحديد ما إذا كان قد حدث أي وصول غير مصرح به قبل تأمين الحاوية.

يمثل الحادث ثغرة أمنية كبيرة لنظام Tabiq، الذي يعتمد على التعرف على الوجه ومسح الوثائق لتسجيل دخول الضيوف. يأتي هذا الخلل في نظام تسجيل الوصول الفندقي في أعقاب حوادث أخرى حديثة تتعلق بوثائق حساسة صادرة عن جهات حكومية. في وقت سابق من هذا العام، نشرت TechCrunch تقريراً عن كشف وثائق هوية رفعها عملاء خدمة تحويل الأموال Duc App. بالإضافة إلى ذلك، شهد خرق للبيانات في خدمة تأجير السيارات Hertz العام الماضي قيام قراصنة بالاستيلاء على معلومات رخص القيادة الخاصة بما لا يقل عن 100,000 عميل. تسلط هذه الحوادث الضوء على المخاطر المستمرة المرتبطة بعمليات التحقق من الهوية، المعروفة باسم عمليات “اعرف عميلك” (know your customer)، والتي تتطلب من المستخدمين تحميل وثائق شخصية شديدة الحساسية إلى أنظمة تابعة لجهات خارجية.

لماذا يهم

يسلط هذا الحادث الضوء على كيفية استمرار إخفاقات الأمن السيبراني الأساسية — بدلاً من الهجمات المتطورة — في كشف البيانات الشخصية الحساسة، وهو خطر متزايد مع اعتماد الشركات حول العالم بشكل متزايد على التحقق الرقمي من الهوية.