ثغرة أمنية بنظام الدفع في مترو نيويورك تسهل تتبع حركة الركاب

يعاني نظام الدفع اللاسلكي لمترو الأنفاق في مدينة نيويورك من ثغرة أمنية، إذ يمكن لأي شخص يمتلك رقم بطاقة ائتمانية خاصة بشخص آخر الوصول إلى معلومات تتعلق بمواقع وتواريخ رحلاته والمحطات التي يتنقل بينها خلال الأيام الأخيرة.

المشكلة تكمن في ميزة بموقع OMNY، وهو نظام الدفع  الذي تعتمد عليه هيئة MRA لإدارة مترو الأنفاق في نيويورك، إذ تتيح الاطلاع على سجل الرحلات خلال آخر 7 أيام باستخدام رقم بطاقة الائتمان فقط.

وعلاوة على ذلك، فإن الثغرة تضر كذلك بخصوصية مستخدمي البطاقات الافتراضية الخاصة بخدمة باستخدام Apple Pay.

وتؤكد أبل أن نظام الدفع التلامسي عبر هواتفها يستخدم رقماً افتراضياً لتبادله مع التجار  بدلاً من رقم البطاقة الفعلي، إلا أن أحد صحفيي موقع Engadget، أشار إلى أن إدخال رقم بطاقته الائتمانية الفعلي المرتبط بحساب Apple Pay المستخدم، دون استخدام تلك البطاقة مباشرة للحجز، لا يزال يكشف تاريخ نقطة الدخول لمدة سبعة أيام.

وعندما سُئلت عن موقع OMNY الذي يربط بين الاثنين، أخبرت شركة MTA مالكة نظام OMNY، موقع Engadget أنها لا تستطيع رؤية أرقام بطاقات الائتمان للعملاء الذين يستخدمون Apple Pay.

وبحسب موقع 404media، فإن الثغرة الأمنية تسهل على المتطفلين والمخترقين أو أي شخص يقوم بقرصنة معلومات بطاقة الائتمان لشخص ما عبر الإنترنت، معرفة توقيتات ووجهات رحلاتهم اليومية عبر قطارات المترو.

وصفت إيفا جالبيرين، مديرة الأمان السيبراني في مؤسسة EFF الأمنية، الثغرة بأنها "هدية للمعتدين".

ويتيح موقع OMNY أيضاً للركاب، إنشاء حساب محمي بكلمة مرور، ولكنه يظهر أسفل قسم "التحقق من تاريخ الرحلة"، الأكثر بروزاً في الصفحة، إذ يتطلب فقط إدخال رقم البطاقة وتاريخ انتهاء الصلاحية دون أي إدخال أمان إضافي".

وأشارت جالبيرين، إلى أنه يمكن لشركة MTA أن تحل هذه المشكلة ببساطة من خلال جعل رقم التعريف الشخصي PIN، أو كلمة مرور إلى جانب حقل بطاقة الائتمان، شرطاً أساسياً للاطلاع على سجل الرحلات.

وتقول MTA إنها ستنظر في تغييرات الأمان أثناء تحسين نظامها، حيث أشار المتحدث باسم MTA، يوجين ريسنيك، في رسالة بريد إلكتروني إلى موقع "إنجادجيت"، قائلا: "ملتزمون بالحفاظ على خصوصية العملاء. وتوفر ميزة سجل الرحلات للعملاء وسيلة للتحقق من سجل رحلاتهم المدفوعة والمجانية خلال 7 أيام ماضية دون الحاجة إلى إنشاء حساب OMNY. نحن أيضاً نمنح العملاء خيار دفع رحلاتهم عبر نظام OMNY نقداً. نحن دائماً نسعى لتحسين الخصوصية، وسنأخذ في الاعتبار آراء الخبراء في مجال السلامة أثناء تقييم الوضع وإجراء التحسينات".