عند إضافة الحسابات المعطلة والملغاة، يرتفع العدد إلى 39.54 مليون حساب لكن يمتلك الفرد الواحد حتى 13 حسابات مكررة
يتوقع أن ينخفض العدد الفعلي للمتضررين بشكل كبير
فريق التحقيق: "تسرب متزامن للبيانات الشخصية والأصول التكنولوجية لتطبيق تيفينغ"
تبين أن خدمة البث المباشر (OTT) تيفينغ شهدت تسرب بيانات شخصية لإجمالي 39.54 مليون حساب، يشمل ذلك الحسابات النشطة والمعطلة والملغاة. يتوقع أن يكون العدد الفعلي للأشخاص المتضررين أقل بكثير من عدد الحسابات المُخترقة. يرجع ذلك إلى وجود عدد كبير من الحسابات المكررة للشخص الواحد، حيث امتلك بعض المستخدمين حتى 13 حسابات، مما أعاق الحسابات الدقيقة لعدد الضحايا الفعلي.
أعلنت وزارة العلوم والتكنولوجيا والاتصالات (وزارة تكنولوجيا المعلومات) في الثالث من الشهر الجاري نتائج التحقيق الذي أجرته لجنة تحقيق حكومية وخاصة بشأن حادثة تسرب البيانات الشخصية لتطبيق تيفينغ التي وقعت في مايو الماضي. أظهرت النتائج أن حوالي 39.54 مليون حساب، ضمن ذلك الحسابات المكررة، تعرضت للتسرب.
تقسمت الحسابات المُخترقة كالتالي: حسابات نشطة قابلة لتسجيل الدخول بخدمة تيفينغ بلغت 22.063 مليون حساب، وحسابات معطلة لعدم الدخول لمدة سنة أو أكثر بلغت 8.507 ملايين حساب، وحسابات ملغاة نتيجة طلب إلغاء العضوية بلغت 8.869 ملايين حساب، وحسابات اختبار بلغت 1.068 مليون حساب.
كشف التحقيق أيضاً عن انتشار ظاهرة امتلاك الشخص الواحد لعدة حسابات. يتيح تطبيق تيفينغ إمكانية إنشاء حسابات متعددة من خلال تسجيل الدخول عبر خدمات التواصل الاجتماعي، حيث سُجلت حالات امتلك فيها مستخدم واحد حتى 13 حسابات مختلفة.
حسب نوع التسجيل، أظهرت الدراسة أن الحسابات المسجلة مباشرة عبر تطبيق تيفينغ بلغت 7.26 ملايين حساب، والحسابات المسجلة عبر تطبيق العضوية الموحدة (CJ ONE) بلغت 8.63 ملايين حساب، والحسابات المسجلة عبر خدمات التواصل الاجتماعي بلغت 22.47 مليون حساب.
حددت لجنة التحقيق أن حادثة التسرب أسفرت عن اختراق 20 نوعاً من البيانات الشخصية تضمنت: أسماء المستخدمين وكلمات المرور ورقم عضوية (CJ ONE) الموحد والأسماء الكاملة وأرقام الهاتف المحمول والعناوين البريدية وتواريخ الميلاد وأرقام التسجيل السكاني وبيانات التعريف المرتبطة بالفرد (CI) والتي تحل محل رقم التسجيل السكاني.
تم الكشف عن أن أرقام الهاتف والعناوين البريدية كانت مشفرة جزئياً عند تسربها. إلا أن لجنة التحقيق لاحظت أن مفاتيح التشفير تسربت أيضاً مما يمكّن من فك التشفير، لذا صنفتها على أنها معادلة للبيانات غير المشفرة.
تبين أن كلمات المرور تسربت في صورة مشفرة باتجاه واحد فقط ولا يمكن فك تشفيرها إلى نصها الأصلي.
اختلفت نطاقات البيانات الشخصية المسربة حسب خصائص الحسابات. تبين أن 19.04 مليون حساب يحتوي على بيانات تعريف مرتبطة بالفرد (CI)، وعند حذف النسخ المكررة يصبح العدد 13.24 مليون حساب. سُجل تسرب متوسط بلغ 11.1 بند من البيانات الشخصية لكل حساب من هذه الحسابات. بينما كان الحال مختلفاً بالنسبة لـ 20.4 مليون حساب التي لا تحتوي على بيانات تعريف مرتبطة بالفرد، حيث سُجل تسرب متوسط بلغ 4.6 بنود فقط.
وعلى ذلك، يُتوقع أن يكون العدد الفعلي للمتضررين أقل من إجمالي عدد الحسابات المسربة. باستثناء حسابات الاختبار وحذف النسخ المكررة من الحسابات التي تحتوي على بيانات تعريف مرتبطة بالفرد، يصل عدد الحسابات إلى 33.64 مليون حساب. لكن لا يزال من الصعب تحديد ما إذا كان الشخص الواحد يمتلك عدة حسابات في الحسابات التي لا تحتوي على هذه البيانات، مما جعل من المستحيل حساب العدد الفعلي للضحايا. أشارت لجنة التحقيق إلى أنها ستقدم لجنة حماية المعلومات الشخصية نتائج التحليل التفصيلي لحجم التسرب، وستعلن عن الأرقام النهائية في وقت لاحق.
◇المهاجم يسرق مفاتيح الوصول لبيئة التطوير... إجمالي المشاريع المسربة 30.35 غيغابايت
كشفت لجنة التحقيق أيضاً عن مسار تسلل المهاجم وطرق سرقة البيانات الشخصية. أظهرت النتائج أن المهاجم استطاع الوصول إلى نظم التطوير والتشغيل الداخلية من خلال سرقة مفاتيح الوصول لبيئة التطوير الخاصة بمطوري تطبيق تيفينغ.
قام المهاجم بسرقة مشاريع التطوير على مرحلتين. في الهجوم الأول، تمكن من سرقة 14 مشروع، وفي الهجوم الثاني سرق 361 مشروع يمكن من خلاله الوصول إلى بيئة التطوير. بلغ حجم المشاريع المسربة 30.35 غيغابايت، وتضمنت الأصول التكنولوجية الحيوية للتطبيق بما في ذلك رموز المصدر البرمجية الخاصة بتوصيات المحتوى المخصصة والخوارزميات البحثية وأنظمة إدارة وتوثيق المستخدمين والأنظمة المتعلقة بمعالجة الدفع وتشغيل الخدمات المدفوعة.
تضمنت رموز المصدر البرمجية لـ 43 مشروع مفاتيح وصول لبيئة التشغيل، مما يتيح اختراق نظام تشغيل التطبيق. كما تبين أن أسماء المستخدمين وكلمات المرور لقاعدة البيانات التي تحتوي على معلومات المستخدمين لم تكن مشفرة بل محفوظة بصيغة نصية عادية.
استخدم المهاجم هذه المعلومات للوصول إلى قاعدة البيانات في 30 مايو الماضي ومحاولة سرقة البيانات الشخصية. في تلك اللحظة ارتفعت نسبة استخدام المعالج المركزي (CPU) لخادم قاعدة البيانات إلى 100%، مما أطلق تنبيهات تحذيرية، ونجح تطبيق تيفينغ في وقف العملية.
عندما فشل الهجوم الأول، قام المهاجم بإنشاء خادم افتراضي داخلي باستخدام مفتاح وصول منفصل لبيئة التشغيل وشن هجوماً آخر في اليوم التالي. نقل المهاجم 24 غيغابايت من بيانات المستخدمين المخزنة في قاعدة البيانات إلى الخادم الافتراضي ثم نقلها إلى خادم خارجي، وحذف الخادم الافتراضي لإخفاء الآثار. لم تُطلق أي تنبيهات تحذيرية بسبب زيادة حمل العمل على الخادم في الهجوم الثاني.
◇تيفينغ يعاني من قصور أمني شامل... موظفو أمن المعلومات يبلغ عددهم 4 أفراد فقط
خلصت لجنة التحقيق إلى أن القصور الشامل في أنظمة حماية المعلومات لدى تطبيق تيفينغ، خاصة في مجالات إدارة مفاتيح الوصول والتحكم في صلاحيات الدخول والكشف عن الأنشطة غير العادية، أسهم بشكل كبير في تفاقم الخسائر. اتضح أن مفاتيح الوصول لبيئات التطوير والتشغيل كانت معرضة بشكل مباشر في أكواد البرامج أو محفوظة بصيغة نصية عادية وتُشاركُ عبر تطبيقات المراسلة الداخلية للشركة. كما مُنح جميع المطورين صلاحيات كاملة للوصول إلى جميع مشاريع التطوير، مما يعني أن سرقة مفتاح وصول واحد كافية للوصول إلى كامل المشاريع. بالإضافة إلى ذلك، كان هناك نقص في الأنظمة التي تكتشف وتستجيب بشكل فوري للأنشطة غير العادية مثل ارتفاع استهلاك المعالج المركزي.
أجرت تطبيق تيفينغ محاكاة اختراق أمني في عام 2024 واكتشفت ثغرة أمنية تتعلق بحفظ مفاتيح الوصول بشكل مباشر (hardcoding) لكنها فشلت في معالجة هذه الثغرة. كما تبين أن عدد الموظفين المتخصصين في أمن المعلومات بلغ 4 أفراد فقط، مقارنة بـ 149 مطور و265 موظف إجمالي، مما يعكس نقصاً واضحاً. كما تُحتفظ بسجلات الوصول لأجهزة الشبكة الخاصة الافتراضية (VPN) الجديدة لمدة 6 أيام فقط، وكانت فحوصات الأمن الدورية مثل إدارة برامج مكافحة الفيروسات على أجهزة الحاسب الموظفة ناقصة. كما تجاوزت المدة الزمنية بين اكتشاف الحادثة والإبلاغ عنها إلى المركز الكوري لتعزيز الإنترنت (KISA) حوالي 29 ساعة، مما يخالف قانون الاتصالات والشبكات الذي ينص على الإبلاغ في غضون 24 ساعة.
وجهت وزارة العلوم والتكنولوجيا والاتصالات إلى تطبيق تيفينغ طلباً بتقديم خطة تنفيذية لإجراءات منع تكرار الحادثة بناءً على نتائج التحقيق قبل نهاية الشهر الجاري. سيقوم تطبيق تيفينغ بتنفيذ هذه الإجراءات في الفترة من أكتوبر إلى ديسمبر المقبل، وستقوم الوزارة بمراقبة التنفيذ ابتداءً من يناير من العام المقبل. وأعلنت الوزارة عن خطتها بإصدار أوامر بتصحيح الأوضاع وفقاً لقانون الاتصالات والشبكات في حالة تبين احتياج البنود المراقبة إلى مراجعة.
من جانبه، يعتزم تطبيق تيفينغ الإعلان في اليوم ذاته عن بيان رسمي يتضمن خطط تعزيز أمن المعلومات في المستقبل ورؤيته بشأن تعويض العملاء.
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.