القاهرة-محمد عادل
تعرض 38 مليون سجل من البيانات الحساسة والشخصية، للتسريب على شبكة الإنترنت، بعد اكتشاف ثغرة خطيرة، في إحدى منصات خدمات مايكروسوفت، لتطوير برمجيات الويب والموبايل.
وتسببت ثغرة منصة مايكروسوفت "Power Apps"، في تسريب بيانات ملايين المستخدمين حول العالم، من داخل تطبيقات للموبايل والويب، وكذلك استمارات لاستطلاع الرأي، وكذلك استمارات للتقديم على الوظائف المختلفة، بل إن اﻷمر وصل إلى تسريب بيانات داخلية لمايكروسوفت أيضاً، وفقاً لما نشره موقع wired.
ما هي تلك الثغرة؟
تتيح منصة "Power Apps" لمستخدميها، إمكانية إنشاء وتطوير التطبيقات ومواقع الويب بشكل سهل وسريع، خصوصاً مع ظروف التباعد الاجتماعي، وعدم توافر إمكانية الوصول إلى قطاعات المطورين في الشركات، مع استمرار تفشي جائحة كورونا، ما جعل منصة مايكروسوفت أكثر عملية لإنجاز تلك المهام.
في مايو الماضي، قام فريق باحثين بشركة Upguard للأمن المعلوماتي، بفحص عدد كبير من واجهات استخدام تطبيقات مطورة بواسطة منصة Power Apps، ما جعلهم يكتشفون وجود كم ضخم من بيانات تلك التطبيقات، والمواقع متاحة للجميع على شبكة الإنترنت، في الوقت الذي كان من المتوقع أن تكون جميعها محمية بشكل كامل.
تمثلت الثغرة الخطيرة في طريق تصميم مايكروسوفت، لبعض الواجهات البرمجية المعدة مسبقاً والجاهزة للاستخدام، إذ إن باحثي شركة "آب جارد"، اكتشفوا أن تلك الواجهات البرمجية معدة لتخزين بياناتها، وإتاحتها بشكل مفتوح، بحيث يمكن لعموم مستخدمي الإنترنت الوصول إليها.
يعد ذلك خرقاً صريحاً للخصوصية، ﻷن تلك التطبيقات والمواقع، تتضمن أسماء عدد كبير من المستخدمين، وعناوينهم السكنية، وكذلك أرقام بطاقاتهم القومية التعريفية، وأرقام هواتفهم ومعلومات أخرى، من المفترض أن يتم حفظها بعيداً عن متناول الجميع.
مشكلة نظام
قائمة المتضررين تضمنت عدداً كبيراً من الشركات الكبرى، والهيئات والمؤسسات الحكومية، مثل خطوط الطيران اﻷميركية، وشركة فورد العالمية للسيارات، وهيئة الصحة بمدينة ماري لاند وهيئة النقل بمدينة نيويورك، وكذلك عدد من مدارس نيويورك العامة، إلى جانب شركة مايكروسوفت نفسها، والتي تسربت بعض الواجهات البرمجية التي استخدمها موظفوها، لإنشاء منصتها "باور آبس".
وأوضح جريج بولوك، نائب مدير قطاع أبحاث اﻷمن السيبراني بشركة آب جارد، أن باحثي الشركة اكتشفوا أن أحد تطبيقات الويب، المعتمدة على منصة مايكروسوفت، تعاني من مشكلة في إعدادات حفظ بياناته، ومن هنا بدأت مرحلة الشك والبحث عن إجابة لسؤال، إن كانت تلك المشكلة فردية، أم أنها مشكلة نظام وتؤثر على كافة اﻷدوات المصممة اعتماداً عليه.
وأشار تقرير "وايرد" إلى أن مشاكل الإعدادات الافتراضية لخدمات التخزين السحابي، مثل خدمات أمازون للتخزين السحابي AWS، وخدمة جوجل كلاود، وكذلك خدمة مايكروسوفت Azure، أصبحت تؤرق جميع مقدمي تلك الخدمات وعملائهم.
وأضاف التقرير أنه أصبح من الضروري متابعة ما تقوم به شركات جوجل وأمازون ومايكروسوفت، من جعل إعدادات اﻷمان والخصوصية على خدماتهم السحابية افتراضية، بحيث لا يحتاج عملاؤهم للدخول في خطوات عديدة لتأمين بياناتهم.
وأشار جريج كذلك، إلى أن عدد المؤسسات والشركات المتضررة كان ضخماً، ما جعل من الصعب على باحثي شركته إبلاغ جميع المتضررين، لذلك تم إعلام مايكروسوفت خلال مطلع أغسطس الجاري، والتي قامت بدورها بإبلاغ المستخدمين، وقامت كذلك بجعل كافة البيانات الخاصة بتطبيقات ومواقع الويب، بشكل افتراضي مؤمنة ومضبوطة، بحيث تكون محفوظة بشكل يحميها من التسريب على شبكة الإنترنت.
تأتي تلك الثغرة لتكون حلقة جديدة، ضمن سلسلة من الهجمات التي تعرضت لها خدمات مايكروسوفت الفترة الماضية، نتيجة لاكتشاف ثغرات خطيرة بها، وتنوعت الخدمات المصابة بین خدمات للأفراد والشركات مثل خدمة التراسل Teams وخدمة البريد الإلكتروني للشركات والمؤسسات Exchange ونظامها للطباعة على أجهزة ويندوز Print Spooler .
