أبرمت مجموعة ليثيوم الأرجنتين ومجموعة Ganfeng Lithium اتفاقية إطار لإنشاء مشروع مشترك (JV) من شأنه أن يعمل على توحيد مشاريع الليثيوم في الأرجنتين.

سيقوم JV الجديد، المسمى PPG، بدمج مشروع Pozuelos-Pastos Grandes من Ganfeng مع مشاريع Lithium Argentina’s Pastos Grandes وSal de La Puna.

سيحمل Ganfeng حصة 67 ٪ في المشروع، حيث تملك الأرجنتين الليثيوم 33 ٪ المتبقية.

تهدف خطة التطوير الحالية إلى إنشاء طاقة إنتاج تصل إلى 150،000 طن سنويًا (TPA) من مكافئ كربونات الليثيوم (LCE) في ثلاث مراحل.

سيتم استخدام دراسة الجدوى المستمرة، التي من المتوقع أن تكتمل بحلول نهاية عام 2025، لدعم تطبيق بموجب نظام حوافز الأرجنتين للاستثمارات الكبيرة (RIGI)، بسبب تقديمه في النصف الأول من عام 2026.

سيقيم إمكانية إنتاج كل من كربونات الليثيوم وكلوريد الليثيوم، وتلبية الاحتياجات المتنوعة لسوق البطارية. تجمع ورقة التدفق الهجينة المقترحة بين استخراج الليثيوم المباشر وطرق التبخر الشمسي لتعزيز قابلية التوسع والكفاءة.

يستكشف كلا الشريكين سبل التمويل بما في ذلك اتفاقيات Offtake ومصالح أسهم الأقليات وتمويل المشاريع مع العملاء المحتملين والشركاء الاستراتيجيين.

قال الرئيس والرئيس التنفيذي للأرجنتين في الليثيوم: “هذه الصفقة تعتمد على شراكتنا الناجحة مع Ganfeng في Cauchari-Olaroz، أكبر عملية ليثيوم في الأرجنتين.

“مع هذه الخطوة التحويلية إلى الأمام، نقوم بزيادة ملكيتنا إلى حوض بوزويلوس ومحاذاة مصالحنا حول عملية واسعة النطاق إلى حد كبير. سيوفر JV الجديد الوصول إلى التقنيات المتقدمة، وزيادة المرونة المالية في التآزر العاملة للتشغيل المميز لدينا.

بالإضافة إلى ذلك، التزمت Ganfeng بتزويد ليثيوم الأرجنتين بمنشأة ديون بقيمة 130 مليون دولار (932.66 يوان) بسعر SOFR (معدل تمويل مضمون بين عشية وضحاها) بالإضافة إلى 2.5 ٪. سوف يعزز هذا المرفق وضع ليثيوم الأرجنتين المالي، مما يسمح بإعادة تمويل ديون الشركات وتعزيز الميزانية العمومية.

بموجب شروط منشأة الديون، ستخصص الليثيوم الأرجنتين ما يصل إلى 50 ٪ من مرحلة التطوير الأولية لـ PPG إلى Ganfeng بمعدلات السوق، حيث تم توجّه عند 6000TPA من LCE.

الديون قابلة للدفع مسبقًا دون عقوبات وتأمينها من قبل حقوق الملكية الأرجنتينية في PPG، مع أحكام التبعية لتمويل ديون الشركات الجديدة.

يتوقف تشكيل JV على الانتهاء من عدة خطوات بما في ذلك الاتفاقات النهائية، خطة التطوير، واتفاقية قرض لمرفق الديون.

هذه الخطوات، إلى جانب الموافقات التنظيمية والأسهم، هي شروط مسبقة للإغلاق المتوقع لـ JV بحلول الربع الأول من عام 2026.

في ديسمبر / كانون الأول، أعلنت ليثيوم الأرجنتين عن نيتها في نقل موطنها إلى سويسرا، وتعزيز قدرات التمويل ودعم استراتيجية النمو على المدى الطويل.

<!– –>

اشترك في جولة الإخبارية اليومية لدينا!

امنح عملك ميزة مع رؤى الصناعة الرائدة.

إذا كانت لديك رحلة قادمة إلى وجهات المكسيك الملونة والجذابة مثل كانكون أو ريفييرا مايا، فلا تفوت زيارة إكسكاريت، وهو منتزه مائي طبيعي فريد وممتع. من المستحيل تقريبًا أن تشعر بالملل هنا—فبخلاف الأنشطة المائية، يعد إكسكاريت أيضًا مدينة ملاهي وحديقة أثرية بيئية (حيث يأخذ علماء الأحياء والطبيعة عملهم على محمل الجد؛ يمكن للزوار تعلم المزيد عن الثقافة والبيئة والتاريخ في منطقة البحر الكاريبي المكسيكي هنا). لهذا السبب، يعد مكانًا رائعًا بشكل خاص للعائلات والمسافرين للمرة الأولى إلى المكسيك الذين لديهم رغبة في الجري واللعب، في حين أنهم يعيشون تجربة جيدة عن ثقافة البلد. ناهيك عن أن فندق إكسكاريت المكسيك، الذي تم تسميته كواحد من الفنادق المفضلة لدى قرائنا في المكسيك في عامي 2021 و2022، موجود في الموقع وهو شامل لجميع الخدمات (وبفضل تنوعه، تم اعتباره مثاليًا للمسافرين الذين يخافون عادةً من هذه الأنواع من الفنادق).

فيما يلي، تم تجميع أفضل أكواد القسائم والعروض وصفقات الباقات لإكسكاريت حتى يمكنك توفير الكثير أثناء الاستمتاع. تابع القراءة للعثور على مجموعة من رموز الترويج المناسبة والعروض القيمة التي ستجعل هذه التجارب الرائعة أكثر تكلفة.

وفر 20% مع أكواد ترويج إكسكاريت، بالإضافة إلى خصومات الطيور المبكرة

اليوم، يعد إكسكاريت واحدًا من فقط متنزهات المياه في المنطقة، والأكبر من بينها، حيث يضم أكثر من 50 معلمًا طبيعيًا وثقافيًا، من السباحة والغوص في الأنهار تحت الأرض إلى الجولات الموجهة والشخصية في المواقع الأثرية في يوكاتان، مثل تشيتشن إيتزا، والسنوط مثل تسوكان. لحسن حظك، تشمل تخفيضات بيع الصيف في الموقع خصمًا بنسبة 20% على المتنزهات والجولات. حتى 31 أغسطس 2025، مع رمز الترويج SUMMER25، تشمل الصفقة إكسل-ها الشاملة، وزوكسيميلكو، وزينسيز، وجولة تشيتشن ديلوكس، وجولة تشيتشن كلاسيكو، وتجربة ATV الممتعة في كانكون، وبويرتو مورو، وبلاتا ديل كارمن.

عند التخطيط للزيارة، استفد من صفقات إكسكاريت للشراء مسبقًا للحصول على تذاكر بأسعار أقل، مما يضمن لك مكانك في واحد من أكثر المتنزهات البيئية شعبية في المكسيك. عند شراء التذاكر للمتنزهات المحددة قبل 7 إلى 20 يومًا، يمكنك الحصول على خصم بنسبة 10%—وعند شراء التذاكر قبل 21 يومًا، ستوفر 15% . والآن حتى 31 أغسطس، يمكنك الحصول على خصم إضافي بنسبة 20% مع رمز خصم إكسكاريت XOXI20. بالإضافة إلى ذلك، احصل على خصم بنسبة 20% عند دخولك زوكسيميلكو عندما تحجز أيام الإثنين أو الثلاثاء أو الأربعاء أو الخميس. وبالمثل، مع رمز الخصم XENOTES20، يمكنك توفير ما يصل إلى 32% على تذكرة دخولك لجولة زينوتيس للاستمتاع بمختلف الأنشطة في كل زينوت (الاسم الذي أطلقه المنتزه على السنوط) التي تشمل الكاياك، القفز من الهاوية، الغوص السطحي، الزلاق، والأنابيب الداخلية.

احصل على خصم إضافي 20% على باقات إكسكاريت

المسافرون الجريئون الذين يبحثون عن مغامرة مثيرة بأسعار معقولة محظوظون. بفضل خصم 20% على عملية الشراء، ستتمكن تلقائيًا من التوفير عند بناء باقتك الخاصة من 2 إلى 4 متنزهات. استمتع بتجربة ATV النهائية، والمتنزهات، والمواقع الأثرية ووفّر تلقائيًا، دون الحاجة إلى رمز ترويجي. يمكن لضيوف إكسكاريت التوفير في الرحلات الرائعة والممتعة عبر الطرق المحاطة بالغابة في كانكون، أو السباحة في المياه الكريستالية في بلاتا ديل كارمن، أو على طول الطرق المتعرجة إلى أحد السنوط في بويرتو مورو.

رمز خصم إكسكاريت للحصول على خصم 32% على التجارب

لا يوجد نقص في المغامرات والجولات والتجارب المثيرة في إكسكاريت—كل منها يدعو إلى هوية المنطقة، التي تتميز بالطبيعة الغنية والثقافة التقليدية والروح، فضلاً عن المرح بحماس. هناك شيء للجميع، بما في ذلك خصومات لجولات الكاتاماران لايت وكاتاماران برايم. اكتشف إيزلا موخيريس واستخدم الرمز CAT20 على الحجوزات حتى 31 أغسطس للحصول على خصم يصل إلى 32% على الدخول.

اشترِ تذكرتي دخول المتنزهات، واحصل على واحدة مجانية مع رمز قسيمة إكسكاريت

عظم تجربتك من خلال حجز باقة منتجع إكسكاريت الحصرية، حيث يمكن للمسافرين الاستمتاع بخصومات مجمعة على جميع أنواع التجارب، من الإقامة إلى الوصول إلى المتنزهات. يعرف هذا باسم عرض الثلاث لاثنين، استخدم رمز الخصم PAQ3XO24 لشراء باقة من ثلاث تذاكر دخول للمتنزهات بسعر تذكرة واحدة، مع أو بدون نقل. يمكن تطبيق الصفقة لتشمل إكسكاريت بلس، إكسل-ها (منتزه شامل يقدم أكثر من 14 نشاط مائي وأرضي، والغوص السطحي، وطعام ومشروبات غير محدودة)، وزينسيز (منتزه مريح نصف يوم مع مناظر رائعة، ومعالم جذب، وأكثر)، وزوكسيميلكو (جولة بالقارب التقليدي الملون التي تأخذك عبر القنوات، والتي تتضمن الكثير من الموسيقى والرقص)، وإكسبلور (منتزه مغامرات مع الزلاجات والتجارب المورقة عبر ريفييرا مايا).

وفر 25% على عطلات عائلية في إكسكاريت

تخطط لعطلة عائلية؟ يقدم إكسكاريت العديد من الأنشطة للأطفال لساعات من المرح، من الزلاجات المائية إلى المسابح الضحلة وصناديق الرمل في عالم الأطفال. استفد من عرض الأطفال المجاني في إكسكاريت، حيث يمكن للأطفال الصغار الاستمتاع بكل المرح مجانًا عندما يكونون برفقة بالغ. إذا كنت تسافر مع أطفال تتراوح أعمارهم بين 5 إلى 11 عامًا، يمكنك الحصول على خصم بنسبة 25% على سعر تذاكر البالغين. الأطفال الذين تقل أعمارهم عن 4 سنوات يدخلون مجانًا. والأفضل من ذلك، يمكنك الشراء بثقة مع العلم أنه حتى بدون قسيمة، تضمن إكسكاريت أنك ستجد أقل الأسعار عند حجز الجولات وتذاكر المتنزهات مباشرة من خلال موقعها الإلكتروني. والأفضل من ذلك، يمكنك الشراء بثقة مع العلم أنه حتى بدون قسيمة، تضمن إكسكاريت أنك ستجد أقل الأسعار عند حجز الجولات وتذاكر المتنزهات مباشرة من خلال موقعها الإلكتروني.

أعلنت شركة De Beers، بالشراكة مع شركة أنغولا الوطنية للماس، Endiama، عن اكتشاف حقل كيمبرليت جديد في أنغولا.

يمثل هذا أول اكتشاف من نوعه لشركة De Beers منذ أكثر من 30 عامًا ويشير إلى زيادة محتملة في صناعة الماس في البلاد.

تم إجراء الاكتشاف خلال أول تدريب في مجموعة من الأهداف ذات الأولوية العالية، والتي تم تحديدها من الدراسات الاستقصائية المحمولة جواً التي أجريت في مارس 2025.

نجح فريق الاستكشاف في المشروع المشترك في تقاطع Kimberlite في يوليو.

خلال الأشهر المقبلة، سيقوم بمزيد من الحفر والمسوحات الجيوفيزيائية الأرضية والتحليل المختبري لتحديد نوع كيمبرليت وتقييم إمكاناتها للماس.

يعتمد نجاح الاستكشاف هذا على المؤسسة التي وضعها عقدين للاستثمار المعدني الموقّع من قبل De Beers وحكومة أنغولان في أبريل 2022، ومذكرة التفاهم الموقعة في Indaba في فبراير 2024.

قال الرئيس التنفيذي لشركة De Beers Group: “أنغولا هي، في رأينا، واحدة من أفضل الأماكن على هذا الكوكب للبحث عن الماس، وهذا الاكتشاف يعزز ثقتنا. إنه تذكير قوي بما يمكن تحقيقه من خلال الشراكة، وأثني على أن يكون هناك أي شيء من أجله في الحصول على بيئة صعبة، وكلها تتمثل في تعديل البيئة الصديقة للإنجيال، وكلها مصادر جديدة للإمداد.

“نحن متحمسون للدور الذي يمكن أن تلعبه دي بيرز في مساعدة البلاد على تحقيق إمكاناتها الضخمة، سواء أسفل أو فوق الأرض.”

في الأخبار ذات الصلة، أشارت حكومة بوتسوانا إلى عزمها على الحصول على حصة مسيطرة في De Beers.

يمكن أن تقدم هذه الخطوة ديناميات جديدة في عملية البيع المستمرة لمنتج الماس من قبل مالكها الحالي، Anglo American.

<!– –>

اشترك في جولة الإخبارية اليومية لدينا!

امنح عملك ميزة مع رؤى الصناعة الرائدة.

من المثير للسخرية أنه بينما كانت تطبيق “TeaOnHer” يهدف إلى كشف الأسرار حول من تواعده، كان هو نفسه يكشف المعلومات الشخصية لآلاف من مستخدميه على الويب المفتوح.

تم تصميم “TeaOnHer” للرجال لمشاركة الصور والمعلومات حول النساء اللاتي يزعمون أنهم كانوا يواعدونهن. ولكن مثل تطبيق “Tea”، الذي كان يحاول تقليده، كان “TeaOnHer” يعاني من ثغرات كبيرة في أمانه تعرض معلومات مستخدميه الشخصية، بما في ذلك صور رخص القيادة والمستندات الهوية الحكومية الأخرى، كما ذكرت “TechCrunch” الأسبوع الماضي.

تم إنشاء هذه التطبيقات، التي تشبه المجتمعات المغلقة، ظاهرياً للسماح للمستخدمين بمشاركة المعلومات حول علاقاتهم تحت ستار السلامة الشخصية. ومع ذلك، يسلط البرمجة السيئة والثغرات الأمنية الضوء على مخاطر الخصوصية المستمرة المرتبطة بمتطلبات تقديم المستخدمين لمعلومات حساسة لاستخدام التطبيقات والمواقع الإلكترونية.

وسوف تزداد هذه المخاطر سوءًا؛ حيث يتعين على التطبيقات والخدمات المشهورة الامتثال لقوانين التحقق من العمر التي تتطلب من الأشخاص تقديم مستندات الهوية الخاصة بهم قبل منحهم الوصول إلى محتوى مخصص للبالغين، على الرغم من المخاطر المتعلقة بالخصوصية والأمان المرتبطة بتخزين قواعد بيانات معلومات الأشخاص الشخصية.

عندما نشرت “TechCrunch” قصتنا الأسبوع الماضي، لم ننشر تفاصيل محددة عن الأخطاء التي اكتشفناها في “TeaOnHer”، متجنبين المساعدة في استغلال الأخطاء من قبل الجهات السيئة. بدلاً من ذلك، قررنا نشر إفصاح محدود، بسبب الشعبية المتزايدة للتطبيق والمخاطر الفورية التي يواجهها المستخدمون عند استخدام التطبيق.

في وقت الإفصاح، كان “TeaOnHer” يحتل المرتبة الثانية في تصنيفات التطبيقات المجانية على “Apple App Store”، وهو مركز يحتفظ به التطبيق حتى اليوم.

يبدو أن الثغرات التي وجدناها قد تم حلها. يمكن الآن لـ “TechCrunch” أن توضح كيف تمكنا من العثور على رخص قيادة المستخدمين في غضون 10 دقائق من إرسال رابط إلى التطبيق في “App Store”، بفضل الثغرات التي كانت سهلة الاكتشاف في نظام الواجهة العامة للتطبيق، أو API.

لم يرد مطور التطبيق، زافيير لامبكين، على عدة طلبات للتعليق بعد أن قدمنا تفاصيل الثغرات الأمنية، ولم يلتزم لامبكين بإخطار المستخدمين المتأثرين أو السلطات التنظيمية بشأن الثغرة الأمنية.

سألنا لامبكين أيضًا عما إذا كانت هناك أي مراجعات أمنية أجريت قبل إطلاق تطبيق “TeaOnHer”، لكنه لم يرد. (لدينا المزيد حول الإفصاح لاحقًا.)

حسنًا، لنبدأ العد التنازلي.

كشف “TeaOnHer” عن بيانات اعتماد “لوحة الإدارة”

قبل أن نقوم بتنزيل التطبيق، أردنا أولاً معرفة مكان استضافة “TeaOnHer” على الإنترنت من خلال النظر إلى بنيته الأساسية العامة، مثل موقعه الإلكتروني وأي شيء مستضاف على نطاقه.

هذا عادةً ما يكون نقطة انطلاق جيدة لأنه يساعد على فهم ما هي الخدمات الأخرى المرتبطة بالنطاق على الإنترنت.

للعثور على اسم النطاق، نظرنا أولاً (عن طريق الصدفة) إلى قائمة التطبيق في “Apple App Store” لنجد موقع التطبيق. وعادةً ما يمكن العثور على ذلك في سياسة الخصوصية الخاصة به، والتي يجب أن تشملها التطبيقات قبل أن تقوم “Apple” بإدراجها. (تدعي قائمة التطبيق أيضًا أن المطور “لا يجمع أي بيانات من هذا التطبيق”، وهو أمر خاطئ بشكل واضح، لذا خذ ذلك كما ترى مناسبًا.)

كانت سياسة الخصوصية لـ “TeaOnHer” على شكل مستند منشور على “Google Doc”، والذي تضمن عنوان بريد إلكتروني ينتهي بنطاق teaonher.com، لكن لم يكن هناك موقع إلكتروني.

لم يكن الموقع عامًا في ذلك الوقت، لذا مع عدم تحميل أي موقع، نظرنا إلى سجلات DNS العلنية للنطاق، والتي يمكن أن تساعد في تحديد ما الذي يتم استضافته أيضًا على النطاق، مثل نوع خوادم البريد الإلكتروني أو استضافة الويب. أردنا أيضًا البحث عن أي نطاقات فرعية عامة قد يستخدمها المطور لاستضافة الوظائف للتطبيق (أو استضافة موارد أخرى ينبغي ألا تكون عامة)، مثل لوحات التحكم الإدارية، أو قواعد البيانات، أو خدمات الويب الأخرى.

ولكن عندما نظرنا إلى سجلات “TeaOnHer” العامة على الإنترنت، لم يكن لديها أي معلومات ذات مغزى بخلاف نطاق فرعي واحد، وهو appserver.teaonher.com.

عندما فتحنا هذه الصفحة في متصفحنا، ما تم تحميله كان صفحة الهبوط لواجهة برمجة التطبيقات (API) لـ “TeaOnHer” (للمهتمين، قمنا بتحميل نسخة هنا). تتيح واجهة برمجة التطبيقات ببساطة للأشياء على الإنترنت التواصل مع بعضها البعض، مثل ربط تطبيق بقاعدة بياناته المركزية.

وجدنا على هذه الصفحة المعرضة البريد الإلكتروني وكلمة المرور النصية (التي لم تكن بعيدة جدًا عن “password”) لحساب لامبكين للوصول إلى “لوحة الإدارة” الخاصة بـ “TeaOnHer”.

أظهرت صفحة واجهة برمجة التطبيقات أن لوحة الإدارة، المستخدمة لنظام التحقق من المستندات وإدارة المستخدمين، كانت موجودة في “localhost”، والذي يشير ببساطة إلى الكمبيوتر الفعلي الذي يقوم بتشغيل الخادم وقد لا يكون متاحًا مباشرةً من الإنترنت. من غير الواضح ما إذا كان بإمكان أي شخص استخدام بيانات الاعتماد للوصول إلى لوحة الإدارة، لكن هذا كان في حد ذاته اكتشافًا مقلقًا بما فيه الكفاية.

في هذه المرحلة، كنا قد مضى علينا دقيقتان فقط.

بخلاف ذلك، لم تفعل صفحة واجهة برمجة التطبيقات شيئًا سوى تقديم بعض الإشارات حول ما يمكن أن تفعله واجهة برمجة التطبيقات. كانت الصفحة تسرد عدة نقاط نهاية لواجهة برمجة التطبيقات التي يحتاجها التطبيق للعمل، مثل استرجاع سجلات المستخدمين من قاعدة بيانات “TeaOnHer”، للسماح للمستخدمين بترك مراجعات، وإرسال إشعارات.

مع معرفة هذه النقاط، يمكن أن يكون من الأسهل التفاعل مع واجهة برمجة التطبيقات مباشرة، كما لو كنا نقلد التطبيق نفسه. كل واجهة برمجة تطبيقات مختلفة، لذا فإن تعلم كيفية عمل واجهة برمجة التطبيقات وكيفية التواصل معها يمكن أن يستغرق وقتًا لفهم، مثل أي نقاط النهاية يجب استخدامها والمعلمات اللازمة للتحدث بلغتها بشكل فعال. يمكن أن تكون التطبيقات مثل “Postman” مفيدة للوصول والتفاعل مباشرة مع واجهات برمجة التطبيقات، ولكن ذلك يتطلب وقتًا ودرجة معينة من التجربة والخطأ (والصبر) لجعل واجهات برمجة التطبيقات تنتج بيانات عندما لا ينبغي أن تفعل ذلك.

ولكن في هذه الحالة، كان هناك طريقة أسهل.

سمحت واجهة برمجة التطبيقات لـ “TeaOnHer” بالوصول غير المصرح به إلى بيانات المستخدمين

تضمنت صفحة هبوط واجهة برمجة التطبيقات نقطة نهاية تسمى /docs، والتي تضمنت الوثائق المستخرجة تلقائيًا للواجهة (مدعومة بمنتج يسمى “Swagger UI”) التي تضمنت القائمة الكاملة للأوامر التي يمكن تنفيذها على واجهة برمجة التطبيقات.

كانت هذه الصفحة الوثائقية بمثابة ورقة رئيسية لجميع الإجراءات التي يمكنك تنفيذها على واجهة برمجة التطبيقات لـ “TeaOnHer” كمستخدم عادي للتطبيق، والأهم من ذلك، كمسؤول التطبيق، مثل إنشاء مستخدمين جدد، والتحقق من مستندات الهوية للمستخدمين، وتحرير التعليقات، والمزيد.

تضمنت الوثائق أيضًا إمكانية استعلام واجهة برمجة التطبيقات لـ “TeaOnHer” واسترجاع بيانات المستخدم، مما سمح لنا أساسًا باسترجاع البيانات من خادم التطبيق الخلفي وعرضها في متصفحنا.

بينما ليس من غير المألوف أن ينشر المطورون وثائق واجهة برمجة التطبيقات الخاصة بهم، كانت المشكلة هنا أن بعض طلبات واجهة برمجة التطبيقات يمكن أن تتم دون أي مصادقة — لم تكن هناك كلمات مرور أو بيانات اعتماد مطلوبة لاسترداد المعلومات من قاعدة بيانات “TeaOnHer”. بمعنى آخر، كان بإمكانك تشغيل أوامر على واجهة برمجة التطبيقات للوصول إلى بيانات المستخدمين الخاصة التي لم يكن ينبغي أن تكون متاحة لمستخدم للتطبيق، ناهيك عن أي شخص على الإنترنت.

وكان كل هذا موثقًا بشكل ملائم وعام للكل لرؤيته.

على سبيل المثال، طلب قائمة المستخدمين الحاليين في قائمة التحقق من الهوية في “TeaOnHer” — لم يكن أكثر من الضغط على زر في صفحة واجهة برمجة التطبيقات، لم يكن هناك شيء معقد هنا — كان سيعيد العشرات من سجلات الحسابات لأشخاص قاموا مؤخرًا بالتسجيل في “TeaOnHer”.

احتوت السجلات المستردة من خادم “TeaOnHer” على المعرفات الفريدة للمستخدمين داخل التطبيق (وهو عبارة عن سلسلة من الحروف والأرقام العشوائية)، واسم المستخدم العام على ملفهم الشخصي، والعمر والموقع الذاتي، بالإضافة إلى عنوان بريدهم الإلكتروني الخاص. كما شملت السجلات روابط إلى عناوين الويب التي تحتوي على صور لرخص قيادة المستخدمين وصور سيلفي مقابلة.

والأسوأ من ذلك، كانت هذه الصور لرخص القيادة، والمستندات الصادرة عن الحكومة، وصور السيلفي مخزنة في خادم سحابي مستضاف على “Amazon S3” تم تعيينه ليكون متاحًا للجمهور لأي شخص لديه عناوين الويب الخاصة بهم. يتيح هذا الإعداد العام لأي شخص لديه رابط إلى مستندات هوية شخص ما فتح الملفات من أي مكان دون قيود.

مع ذلك المعرف الفريد للمستخدم، كان بإمكاننا أيضًا استخدام صفحة واجهة برمجة التطبيقات للبحث مباشرة عن سجلات المستخدمين الفردية، والتي كانت ستعيد بيانات حسابهم وأي مستندات هوية مرتبطة بهم. مع الوصول غير المحدود إلى واجهة برمجة التطبيقات، كان بإمكان مستخدم خبيث جمع كميات ضخمة من بيانات المستخدمين من التطبيق، تمامًا كما حدث مع تطبيق “Tea” في البداية.

من حبة إلى كوب، استغرق ذلك حوالي 10 دقائق، ولم نقم حتى بتسجيل الدخول إلى التطبيق بعد. كانت الأخطاء سهلة الاكتشاف لدرجة أنه سيكون من حظ العاثر إذا لم يجدها أي شخص خبيث قبل أن نفعل.

سألنا، لكن لامبكين لم يقبل أن يقول ما إذا كان لديه القدرة التقنية، مثل السجلات، لتحديد ما إذا كان قد استخدم أي شخص (أو أساء استخدامه) واجهة برمجة التطبيقات في أي وقت للوصول إلى مستندات تحقيق هوية المستخدمين، مثل عن طريق جمع العناوين من واجهة برمجة التطبيقات.

في الأيام التي تلت تقريرنا إلى لامبكين، تمت إزالة صفحة الهبوط الخاصة بواجهة برمجة التطبيقات، بالإضافة إلى صفحة الوثائق الخاصة بها، وهي الآن تعرض فقط حالة الخادم الذي تعمل عليه واجهة برمجة التطبيقات لـ “TeaOnHer” كـ “صحية”. على الأقل في الاختبارات الأولية، يبدو أن واجهة برمجة التطبيقات تعتمد الآن على المصادقة، ولم تعد الاتصالات السابقة باستخدام واجهة برمجة التطبيقات تعمل.

تم أيضًا تقييد عناوين الويب التي تحتوي على مستندات الهوية المرفوعة من العرض العام.

نزع مطور “TeaOnHer” جهود الكشف عن الثغرات

نظرًا لأن “TeaOnHer” لم يكن لديه موقع رسمي في وقت اكتشافاتنا، اتصلت “TechCrunch” بعنوان البريد الإلكتروني المدرج في سياسة الخصوصية في محاولة للكشف عن الثغرات الأمنية.

لكن البريد الإلكتروني رد برسالة خطأ تفيد بأن عنوان البريد الإلكتروني لم يتم العثور عليه. حاولنا أيضًا الاتصال بلامبكين عبر عنوان البريد الإلكتروني على موقعه “Newville Media”، لكن بريدنا الإلكتروني رد بنفس رسالة الخطأ.

تواصلت “TechCrunch” مع لامبكين عبر رسالة “LinkedIn”، تسأل عنه لتقديم عنوان بريد إلكتروني حيث يمكننا إرسال تفاصيل الثغرات الأمنية. رد لامبكين بعنوان بريد إلكتروني عام خاص بـ “الدعم”.

عندما تكشف “TechCrunch” عن ثغرة أمنية، نتواصل أولًا للتأكيد أن شخصًا أو شركة ما هي المستلم الصحيح. خلاف ذلك، قد يؤدي إرسال تفاصيل خطأ أمني إلى الشخص الخطأ إلى خلق مخاطر. قبل مشاركة تفاصيل محددة عن الثغرات، سألنا المستلم لعنوان بريد “الدعم” إذا كان هذا هو العنوان الصحيح للكشف عن تسرب أمني يتعلق ببيانات مستخدمي “TeaOnHer”.

“يجب أن تكونوا قد اختلطتم علينا مع ‘تطبيق الشاي'”، رد لامبكين عبر البريد الإلكتروني. (لم نفعل.) “ليس لدينا اختراق أمني أو تسرب للبيانات”، قال. (كان هناك.). “لدينا بعض الروبوتات في أقصى الأحوال ولكننا لم نتوسع بما يكفي لنكون في تلك المحادثة بعد، آسف على المعلومات الخاطئة”. (لم نكن كذلك)

بعد أن تأكدنا من أننا قد أنشأنا اتصالًا بالشخص الصحيح (على الرغم من أننا لم نتلق الرد الذي تلقيناه)، شاركت “TechCrunch” تفاصيل الثغرات الأمنية، بالإضافة إلى العديد من الروابط لرخص قيادة مكشوفة، ونسخة من بيانات لامبكين الخاصة للتأكيد على خطورة المشكلات الأمنية.

“شكرًا لك على هذه المعلومات. هذا مثير للقلق للغاية. سنقوم بالتحرك بشأن ذلك الآن”، قال لامبكين.

على الرغم من عدة رسائل متابعة، لم نسمع من لامبكين منذ أن كشفنا عن الثغرات الأمنية.

لا يهم ما إذا كنت متجر برمجي يتكون من شخص واحد أو ملياردير يقوم بالبرمجة خلال عطلة نهاية الأسبوع: لا يزال لدى المطورين مسؤولية للحفاظ على بيانات مستخدميهم آمنة. إذا لم تستطع الحفاظ على أمان بيانات مستخدميك، فلا تبنيها منذ البداية.

إذا كان لديك دليل على تسريب أو كشف معلومات من تطبيق أو خدمة شهيرة، فلا تتردد في التواصل. يمكنك الاتصال بهذا المراسل عبر رسالة مشفرة على “Signal” على الرقم zackwhittaker.1337.