نظام تسجيل الوصول في فندق يترك مليون جواز سفر ورخصة قيادة مكشوفة للجميع
نظام تسجيل الوصول في الفنادق ترك أكثر من مليون جواز سفر، ورخصة قيادة، وصور تحقق ذاتي للعملاء متاحة على الويب المفتوح بعد عطل أمني. البيانات الآن غير متاحة بعد أن قامت TechCrunch بتنبيه الشركة المسؤولة.
نظام تسجيل الوصول في الفنادق، الذي يُسمى Tabiq، يُدار بواسطة الشركة الناشئة اليابانية Reqrea. وفقًا لموقعه الإلكتروني، يُستخدم Tabiq في عدة فنادق عبر اليابان ويعتمد على التعرف على الوجه ومسح المستندات لتسجيل وصول الضيوف.
تواصل الباحث الأمني المستقل أنوراج سين مع TechCrunch في وقت سابق من هذا الأسبوع بعد اكتشافه أن النظام كان يسرب المستندات الحساسة للضيوف من جميع أنحاء العالم. قال سين إن ذلك كان بسبب أن الشركة الناشئة قد وضعت واحدة من حاويات التخزين السحابية المستضافة على أمازون، التي يستخدمها نظام تسجيل الوصول لتخزين بيانات العملاء، لتكون متاحة للجمهور. يمكن لأي شخص استخدام متصفح الويب عرض البيانات الداخلية دون الحاجة إلى كلمة مرور، بمجرد معرفة اسم الحاوية: “tabiq.”
اقرأ أيضاً
نبه سين TechCrunch في محاولة للمساعدة في إبلاغ الشركة. قامت Reqrea بإغلاق حاوية التخزين بعد أن تواصلت TechCrunch مع كل من الشركة وفريق التنسيق للأمن السيبراني في اليابان، JPCERT.
يسلط هذا العطل الأخير الضوء على مشكلة متكررة تتمثل في تعرض الشركات أو تسرب معلومات عملائها الشخصية والمستندات الحساسة — ليس من خلال هجمات متطورة، بل بسبب الفشل في اتباع ممارسات الأمن السيبراني الأساسية. بعيدًا عن الضجة الأخيرة حول الثغرات المكتشفة بواسطة الذكاء الاصطناعي وقدرات الأمن السيبراني الجديدة، غالبًا ما تنجم الحوادث الأمنية الكبيرة عن الأخطاء البشرية، والإعدادات الخاطئة، أو الفشل في الالتزام بأفضل ممارسات الأمن السيبراني.
في بريد إلكتروني يقر بالتسرب، أخبر ماساتاكا هاشيموتو، مدير Reqrea، TechCrunch: “نقوم بإجراء مراجعة شاملة بدعم من مستشارين قانونيين خارجيين ومستشارين آخرين لتحديد نطاق التعرض بالكامل.”
قالت Reqrea إنها لا تعرف كيف أصبحت حاوية التخزين عامة. بشكل افتراضي، حاويات التخزين السحابية الخاصة بأمازون خاصة. بعد سلسلة من حوادث تسرب حاويات التخزين للعملاء قبل بضع سنوات، أضافت أمازون عدة تحذيرات للعملاء قبل أن يتمكنوا من جعل البيانات عامة، مما يجعل هذا النوع من العطل يصعب ارتكابه عن طريق الخطأ.
قال هاشيموتو لـ TechCrunch إن الشركة تخطط لإبلاغ الأفراد المتأثرين بمجرد الانتهاء من التحقيق.
لا يزال غير واضح ما إذا كان أي شخص آخر غير سين قد وصل إلى البيانات المكشوفة قبل تأمينها. قال هاشيموتو إن الشركة تستعرض سجلاتها لتحديد ما إذا كان هناك أي وصول مصرح به قبل تأمين الحاوية.
تم أيضًا توثيق تفاصيل الحاوية المكشوفة بواسطة GrayHatWarfare، قاعدة بيانات قابلة للبحث تُدرج التخزين السحابي المرئي للجمهور. تحتوي قائمة الحاوية على ملفات تعود إلى أوائل عام 2020 وحتى هذا الشهر، وشملت مستندات الهوية للزوار من دول في جميع أنحاء العالم.
تتبع مشكلة نظام تسجيل الوصول في الفنادق حوادث أخرى تتعلق بمستندات حساسة صدرت عن الحكومة. في وقت سابق من هذا العام، أبلغت TechCrunch عن تسرب رخص القيادة، وجوازات السفر، والمستندات الهوية الأخرى التي رفعها عملاء خدمة تحويل الأموال Duc App. شهدت خدمة تأجير السيارات Hertz العام الماضي اختراقًا أدى إلى سرقة معلومات رخص القيادة الخاصة بما لا يقل عن 100,000 عميل.
تأتي هذه الحوادث في وقت تطرح فيه الحكومات قوانين التحقق من العمر بشكل متزايد، وتستخدم الشركات الخاصة فحوصات “اعرف عميلك” للتحقق من هوية الشخص. يعتمد كلاهما على قيام البالغين بتحميل مستندات حساسة، غالبًا إلى شركة طرف ثالث، لأغراض التحقق، على الرغم من الانتقادات من خبراء الأمن السيبراني. يمكن أن تؤدي تسريبات البيانات إلى وضع الأشخاص الذين تم أخذ معلوماتهم في خطر أكبر للاحتيال على الهوية أو استخدام صورتهم بشكل ينتهك حقوقهم مع تطبيق متطلبات التحقق من العمر في جميع أنحاء العالم.
عند الشراء من خلال الروابط في مقالاتنا، قد نكسب عمولة صغيرة. هذا لا يؤثر على استقلاليتنا التحريرية.