مخططات وتصاميم وحتى بيانات عملاء مرسيدس بأيدي المخترقين بسبب خطأ بشري

⬤ تعرضت شركة مرسيدس إلى انكشاف كمٍ ضخم من بياناتها الحساسة والمهمة جرّاء خطأ بشري غير مقصود.

⬤ تضمنت تلك البيانات ملفات المخططات والتصاميم، ومعلومات داخلية مهمة، فضلاً عن الكود البرمجي لبرمجيات الشركة.

⬤ أكّدت مرسيدس أنّها أزالت مستودع البيانات المهمة، وباشرت التحقيق داخلياً لاتخاذ التدابير العلاجية المناسبة.

يجري الباحثون الأمنيون فحوصات منتظمة لشبكة الإنترنت للعثور على خوادم غير محمية، أو بيانات سرية مكشوفة لبعض الشركات الكبرى. وقد توصلت شركة «RedHunt Labs» في الآونة الأخيرة إلى معلومات حساسة خاصة بشركة مرسيديس-بنز لصناعة السيارات.

اكتشفت شركة «RedHunt Labs»، المختصة بالأمن السيبراني، رمزَ مصادقةٍ يعود لأحد الموظفين العاملين في شركة مرسيدس، وعثرت الشركة عليه في مستودع بيانات عام على «GitHub» وفقاً لكلام شوبهام ميتال، المؤسس المشارك لشركة «RedHunt Labs». وقد كان متاحاً استغلالُ رمز المصادقة للوصول «غير المقيد» إلى معلومات سرية تخص الشركة، فضلاً عن معلومات تسجيل الدخول والمصادقة المهمة.

عثرت «RedHunt Labs» على رمز المصادقة في أثناء فحص روتيني لشبكة الإنترنت في شهر يناير الحالي، لكنّ تاريخ نشره يعود إلى شهر سبتمبر عام 2023. وقد كان المجرمون السيبرانيون قادرين طوال هذه المدة على الوصول إلى سيرفر «GitHub Enterprise Server» المملوك لمرسيدس، وهذا الأمر خطير جداً نظراً لحجم وحساسية البيانات المخزنة في السيرفر.

يتيح رمز «GitHub» وصولاً غير مقيد ولا خاضع للرقابة إلى كمية هائلة من ملفات الملكية الفكرية العائدة للشركة؛ مثل المخططات، وملفات التصاميم، ومعلومات داخلية مهمة. وأكّد ميتال أيضاً وجود مفاتيح وصول سحابية في السيرفر، ومفاتيح واجهة برمجة التطبيقات، وكلمات مرور أخرى، فهي جميعها معلومات مهمة يمكن استغلالها لتعطيل البنية التحتية لتكنولوجيا المعلومات لدى شركة مرسيدس بأكملها.

علاوة على ما سبق، برهن ميتال بالدليل أنّ المستودعات غير الآمنة كشفت عن مفاتيح عائدة لـ «Microsoft Azure»، و«AWS»، وقاعدة بيانات «Postgres»، والكود المصدري لبرمجيات شركة مرسيدس. ويقول ميتال إنّ السيرفرات المتأثرة لم تستضف أي بيانات خاصة بعملاء الشركة.

في هذا الصدد، أكّد متحدث رسمي باسم الشركة أنّها أبطلت رمز API غير المقيد، وأزالت المستودع العام فوراً عقب إعلامها بالمشكلة. وأشار المتحدث إلى أنّ الكود المصدري نشر دون قصدٍ على سيرفر «GitHub» العام جرّاء خطأ بشري، وما يزال التحقيق الداخلي مستمراً، على أن يليه اتخاذ تدابير علاجية.

ظلّ الرمز متاحاً للوصول العام طوال أشهر عديدة، لكن لا دليل ملموس حتى الآن يؤكد بأنّ المجرمين السيبرانيين أو الجهات السيئة اكتشفوه وأساؤوا استخدامه بما يلحق الضرر بأعمال مرسيدس؛ فلم تؤكد الشركة اكتشافها أيّ محاولات وصول مجهولة إلى أنظمتها.