حقائق سريعة

• أكثر من 80,000 ملف يحتوي على بيانات حساسة تم تسريبها من أداتي JSONFormatter وCodeBeautify.
• تشمل البيانات المسربة كلمات مرور، ومفاتيح سحابية، وبيانات دخول لقواعد البيانات، ومعلومات شخصية من قطاعات حيوية.
• تم كشف محتوى خمسة أعوام من JSONFormatter وعام واحد من CodeBeautify - بإجمالي أكثر من 5 جيجابايت.
• كان بإمكان أي شخص الوصول إلى البيانات المحفوظة عبر روابط يمكن التنبؤ بها ومشاركتها.
• كلا الموقعين قاما الآن بتعطيل ميزة الحفظ بعد الكشف العلني.

تفريغ البيانات العرضي

تخيل ساحة رقمية عامة حيث يسقط آلاف الأشخاص مفاتيح منازلهم بلا مبالاة ليأخذها أي شخص. هذا ما كان يحدث في اثنين من أكثر مواقع تنسيق الشيفرة ثقة على الإنترنت: JSONFormatter وCodeBeautify. صُممت هذه الأدوات لمساعدة المبرمجين على فهم الشيفرة الفوضوية، لكنها تحولت بهدوء إلى كنز للقراصنة الإلكترونيين - بفضل مزيج من الراحة، والإهمال، وقليل من التغاضي التقني.

أطلق باحثو الأمن في watchTowr Labs مؤخرًا جرس الإنذار بعد جمعهم أكثر من 80,000 ملف تحتوي على كل شيء من كلمات مرور الشركات وبيانات الدخول السحابية إلى بيانات حكومية حساسة. تمتد التسريبات عبر مجموعة مذهلة من الصناعات - المالية، والرعاية الصحية، والاتصالات، وحتى الأمن السيبراني نفسه - مكشوفة العمود الفقري الرقمي للمجتمع الحديث.

كيف حدث ذلك؟

في قلب هذا الخرق عادة بسيطة: غالبًا ما يقوم المطورون وموظفو تكنولوجيا المعلومات بلصق بيانات خام، بما في ذلك الأسرار، في أدوات عبر الإنترنت لفحص أو تنسيق الشيفرة بسرعة. كلا من JSONFormatter وCodeBeautify يقدمان ميزة "الحفظ" التي تحول المقاطع المنسقة إلى روابط دائمة قابلة للمشاركة. لكن هذه الروابط تتبع نمطًا يمكن التنبؤ به، مما يجعل من السهل على أي شخص - حتى زاحف ويب بسيط - العثور على كل تاريخ الحفظ العام وتصفحه.

من بين البيانات المكشوفة كانت هناك بيانات اعتماد مشفرة، ومفاتيح وصول سحابية، وبيانات دخول Active Directory، وحتى معلومات "اعرف عميلك" (KYC) المرتبطة بالبنوك. في اختبار مخيف بشكل خاص، قام الباحثون برفع مفاتيح وهمية لخدمات أمازون السحابية (AWS) إلى أحد المواقع. خلال 48 ساعة فقط، اكتشفها القراصنة وحاولوا استغلالها - دليل على أن هذه التسريبات ليست نظرية فقط.

تكرار النمط

هذه ليست المرة الأولى التي تتحول فيها الأدوات الإلكترونية المصممة للراحة إلى أبواب خلفية لتسريبات البيانات. أظهرت حوادث سابقة مع مواقع اللصق ومستودعات الشيفرة العامة أن أي شيء يُحفظ عبر الإنترنت - خاصة إذا كان من السهل مشاركته - يمكن وسيتم اكتشافه من قبل ذوي النوايا السيئة. الفرق هنا هو في الحجم والتأثير: مع سنوات من البيانات وآلاف المؤسسات المتضررة، يسلط الخرق الضوء على ضعف منهجي في النظافة الرقمية.

استجابةً للبحث، قام كلا الموقعين بسرعة بتعطيل ميزات الحفظ ووعدا بتحسينات. لكن المشكلة الأساسية لا تزال قائمة: في سباق الإنتاجية، حتى أكثر المؤسسات وعيًا بالأمن قد تخطئ وتلصق أسرارًا في أماكن لا ينبغي أن تكون فيها.

ويكيكروك

• JSON: هو تنسيق نصي بسيط لتخزين ومشاركة البيانات، سهل القراءة للبشر والحواسيب، ويستخدم على نطاق واسع في تقنيات الويب.
• مفتاح API: هو رمز فريد يتيح للبرامج الوصول إلى البيانات أو الخدمات. إذا لم يتم تأمينه بشكل صحيح، قد يشكل خطرًا أمنيًا.
• Active Directory: هو نظام مايكروسوفت لإدارة المستخدمين والأجهزة والصلاحيات عبر شبكات المؤسسات، ويعمل على مركزية التحكم في الوصول والأمان.
• زاحف الويب: هو أداة آلية تقوم بمسح وجمع البيانات من صفحات الإنترنت، تُستخدم من قبل محركات البحث وأحيانًا من قبل القراصنة لأغراض متنوعة.
• تسريب بيانات الاعتماد: هو عندما يتم سرقة وكشف أسماء المستخدمين وكلمات المرور، مما يسمح للقراصنة بالوصول إلى الحسابات والمعلومات الحساسة.