مقرصن يخترق موقع "بوكينج" ليسرق بيانات نزلاء الفنادق

كشف تحقيق جديد أجرته مجموعة من الصحافيين الهولنديين عن عملية اختراق ضخمة نفذها مخترق أميركي، يحمل اسم كودي "Andrew" ضد خوادم شركة خدمات حجز الفنادق والرحلات "Booking.com" ليتمكن من سرقة بيانات آلاف النزلاء بفنادق في منطقة الشرق الأوسط.

وأفاد التحقيق الذي وردت تفاصيله في كتاب جديد باسم "De Machine" بأن شركة "بوكينج" تواصلت مع جهاز الاستخبارات الهولندية "AIVD" لتحصل على المساعدة في التحقيقات بشأن الاختراق، من دون أن تبلغ المستخدمين المتضررين من الاختراق، ومن دون إخبار الهيئة الهولندية للحفاظ على خصوصية البيانات.

وأكدت الشركة في ذلك الوقت أنها لم تكن مضطرة لإبلاغ الهيئة، وفقاً لاستشارة قانونية قدمتها إليها شركة "Hogan Lovells"، بحسب ما نشره موقع "NRC".

محض صدفة

واكتشفت "بوكينج" الهجوم بالصدفة البحتة، عندما رصد أحد الموظفين بالقسم الأمني بالشركة وجود اختراق لأحد خوادم تخزين بيانات مستخدمي الموقع الذي يحظى بإجراءات حماية متدنية، ويتم داخله تخزين بيانات مستخدمين في بعض دول الشرق الأوسط، بما في ذلك الإمارات والسعودية وقطر.

وتضمنت البيانات المسربة أسماء النزلاء وخطط رحلاتهم، وكلمات المرور القصيرة المتعلقة بالحجوزات "PINs"، لذلك تم إطلاق اسم "PIN-Leak" على الهجوم، وفقاً لمجموعة من الموظفين السابقين في الشركة خلال وقت وقوع الهجوم في 2016.

وعلى الرغم من تعرف "بوكينج" على هوية المخترق، وأنه يعمل لدى شركة تتعاون مع بعض الوكالات الأمنية الأميركية، إلا أنه لم يتم التعرف على الوكالة الأمنية التي أصدرت أمراً بإجراء الهجوم الإلكتروني.

عملية تجسس

في عام 2013 ، تسربت معلومات تفيد بأن الأميركيين تجسسوا على مواقع الفنادق من أجل مراقبة تحركات سفر الدبلوماسيين الأجانب ووضع أجهزة التنصت داخل غرف الفنادق.

وكشف إدوارد سنودن، الموظف السابق بوكالة الأمن القومي الأميركية "NSA"، أن وكالة الاستخبارات والأمن والإنترنت البريطانية "GCHQ" أنشأت برنامجاً خاصاً لهذا الغرض يسمى "Royal Concierge"، وفي المستندات التي نشرها سنودن لم تكن هناك أسماء محددة لمواقع الحجز، لكن موظفاً سابقاً في قسم الأمن في "Booking" قال إنه من غير المعقول ألا تتضمن تلك القائمة "Booking.com" وفقاً لما كشف تقرير نشرته "ذي جارديان" البريطانية.

ورد المتحدث الرسمي باسم "بوكينج" على التحقيق، بأن الشركة كانت بالفعل على علم بالواقعة واتخذ فريقها الأمني جميع الإجراءات الأمنية اللازمة لحماية خصوصية المستخدمين، مشيراً إلى أن الشركة لم تبلغ مستخدميها بأمر الاختراق، لأنها لم تجد أي دليل على وجود أي استغلال أو ضرر لتسريب البيانات يؤثر عليهم.

يُذكر أن الهيئة الهولندية للحفاظ على سلامة البيانات غرمت "بوكينج" 475 ألف يورو، مطلع العام الجاري، بعد أن تأخرت في إعلام الهيئة بشأن تسريب بيانات البطاقات الائتمانية لحوالي 4 آلاف مستخدم لديها.