أقرت مجموعة ويندهام، إحدى كبرى شركات الفنادق والمنتجعات عالميًا، بوقوع حادثة أمن سيبراني، بعدما اكتشف باحث أمني ثغرة في تطبيقها للهواتف الذكية أتاحت الوصول دون صلاحيات خاصة إلى قاعدة بيانات داخلية تضم معلومات شخصية للعملاء، إلى جانب ملفات ومستندات خاصة بالشركة.

وقال الباحث الأمني روبرت ويغينز، من مؤسسة 'What Security'، لموقع 'تك كرانش'، إنه عثر على كلمة مرور مضمّنة في الشيفرة المصدرية لتطبيق ويندهام على نظام أندرويد، تتيح الوصول إلى قاعدة بيانات داخلية تستضيفها منصة 'Salesforce'.

بيانات العملاء ورموز تسجيل الدخول

وأوضح ويغينز أن بيانات الدخول المكشوفة مكّنت من الاطلاع على معلومات شخصية للعملاء، شملت الأسماء وعناوين البريد الإلكتروني وأرقام العضوية في برنامج الولاء التابع للشركة.

ولم تقتصر البيانات المتاحة على هذه المعلومات، بل تضمنت أيضًا رموز تسجيل الدخول المعروفة باسم 'JWTs'، وهي رموز رقمية تتيح للمستخدمين الاحتفاظ بحالة تسجيل الدخول إلى التطبيقات دون الحاجة إلى إدخال كلمات المرور في كل مرة يستخدمون فيها الخدمة.

كما احتوت قاعدة البيانات على ملفات ومستندات تخص مجموعة ويندهام، بحسب تقرير 'تك كرانش'.

ملايين السجلات دون تحديد عدد الحسابات المتضررة

وأشار الباحث إلى أن قاعدة البيانات ضمت ملايين السجلات، لكنه لم يتمكن من تحديد العدد الدقيق لحسابات العملاء التي تعرضت بياناتها للخطر.

وتقول ويندهام إن برنامج المكافآت والولاء التابع لها يضم نحو 129 مليون عضو مسجل، وهو ما يوضح حجم قاعدة العملاء التي قد ترتبط بها البيانات المتاحة، دون أن يعني ذلك أن جميع أعضاء البرنامج تأثرت حساباتهم بالثغرة.

ثغرة ثانية خلال أسبوعين واستخدام للذكاء الاصطناعي

ويمثل اكتشاف ثغرة ويندهام المرة الثانية خلال أسبوعين التي يعلن فيها ويغينز العثور على بيانات دخول مكشوفة داخل تطبيق للهواتف الذكية، بعدما اكتشف ثغرة مشابهة في تطبيق سلسلة المطاعم الأمريكية 'Applebee’s'، أتاحت الوصول إلى بيانات العملاء.

واستخدم الباحث أدوات الذكاء الاصطناعي في عمليتي الاكتشاف، إذ تساعد هذه الأدوات على رصد نقاط الضعف الأمنية، ومنها كلمات المرور المضمّنة داخل التطبيقات، عبر فحص آلاف الأسطر من الشيفرة البرمجية المستخرجة منها في كل ثانية.