ثغرة في «غروك بيلد» تكشف بيانات 35,578 تطبيقًا.. بينها سجلات مرضى وأسرار الشركة المطوّرة
كشفت ثغرة أمنية في منصة «غروك بيلد» عن بيانات 35,578 تطبيقًا أُنشئت عبر الأداة وأصبحت متاحة على الإنترنت من دون حماية بكلمة مرور، بينها سجلات مرضى في مستشفيات، وكلمات مرور مسؤولين، ووثائق تجارية سرية تخص الشركة المطوّرة نفسها.
وتتيح «غروك بيلد» للمستخدمين إنشاء تطبيقات خلال دقائق عبر وصف فكرتها للذكاء الاصطناعي داخل نافذة محادثة، من دون الحاجة إلى كتابة الشيفرة. لكن شركة الأمن السيبراني «كلاروك» اكتشفت أن خللًا هندسيًا بسيطًا، إلى جانب إعداد مشاركة افتراضي غير مناسب، جعلا آلاف التطبيقات وبياناتها الحساسة متاحة لأي شخص يعثر على روابطها، من دون إدخال كلمة مرور.
كيف أصبحت التطبيقات قابلة للوصول؟
عند نشر تطبيق على المنصة، يحصل تلقائيًا على عنوان ويب خاص يتكوّن من أربع كلمات عشوائية تسبق نطاق grok.me. وبسبب طريقة بناء هذه الروابط، أمكن رصدها وتجميعها عبر خدمات نظام أسماء النطاقات السلبية، وهي خدمات تحتفظ بسجلات النطاقات والعناوين التي ظهرت على الإنترنت.
وبخلاف خدمات منافسة مثل «غوغل» و«تشات جي بي تي»، التي تضع أجزاء الروابط السرية في نهايتها، جعل تصميم «غروك بيلد» عناوين التطبيقات أسهل في الاكتشاف. كما كان إعداد المشاركة يُضبط تلقائيًا عند نشر التطبيق على خيار «كل من يملك الرابط»، من دون أن ينتبه معظم المستخدمين إلى ذلك.
أظهرت نتائج الفحص أن العثور على العنوان عبر سجلات نظام أسماء النطاقات كان كافيًا للوصول إلى التطبيق والملفات الموجودة داخله، من دون أي خطوة تحقق إضافية.
سجلات مرضى وكلمات مرور ووثائق شركات
شملت الملفات التي راجعتها «كلاروك» دليلًا لموظفي مستشفى يضم بيانات 3,500 شخص، ونموذج تدقيق سريًا لطاقم العمل على متن سفينة ركاب فاخرة، إلى جانب نتائج تحاليل مخبرية لمرضى في وحدات العناية المركزة.
كما ظهرت بطاقة تقييم لأحد الفنيين العاملين لدى «تسلا»، وقائمة موظفين تخص شركة مقاولات هندسية تعمل لصالح البحرية الأميركية. وفي الشيفرة الخلفية لجدول زمني رقمي تابع لإحدى الشركات، وُجدت كلمات مرور 18 مديرًا محفوظة بصيغة نصية مكشوفة.
ولم تقتصر البيانات على ملفات تجريبية أو نماذج أُعدّت للاختبار، إذ استخدم بعض العملاء المنصة لتخزين وثائق داخلية ومعلومات خاصة. كذلك عثرت الشركة الأمنية على 24 تطبيقًا أنشأها موظفون في «سبيس إكس إس آي»، وكانت تتضمن خطط مبيعات سرية للشركة.
إخفاء سريع لبيانات الشركة وتأخر في حماية الآخرين
تأسست «سبيس إكس إس آي» بعد اندماج شركتي «سبيس إكس» و«إكس إيه آي»، وهي الجهة التي تقدم منصة «غروك بيلد». وقد أبلغ الباحثون الشركة بالثغرة في 8 نوفمبر، فأُغلقت خلال ساعات إمكانية الوصول إلى التطبيقات الـ24 التي تضمنت خطط عمل سرية وميزانيات إعلانية تخص موظفي «سبيس إكس إس آي» و«إكس».
في المقابل، ظلت بيانات مستخدمين آخرين، من بينهم عملاء لشركات مدرجة ضمن قائمة Fortune 500، متاحة على الإنترنت لعدة أيام. وبينما سارعت الشركة إلى إزالة وثائقها من الوصول العام، لم ترد لعدة أيام على التحذيرات الخارجية المتعلقة باستمرار تعريض بيانات مؤسسات أخرى للخطر.
المصدر: webtekno