منصة أمن سلسلة التوريد الخاصة بـ CloudSek، الوقفة الاحتجاجية، كشفت عن خطأ شديد في البنية التحتية لتطوير مزود رائد لخدمات المساعدة على الطريق ودعم التأمين. يعمل هذا البائع مع كبرى شركات تصنيع السيارات والوكلاء وشركات التأمين في جميع أنحاء الهند، وإدارة بيانات العملاء والتجار الحساسة لآلاف طلبات الخدمة المتعلقة بالمركبات كل شهر.

تم الكشف عن مستودع .git الذي تم تكوينه بشكل خاطئ 20 جيجابايت من البيانات السرية، بما في ذلك تفاصيل تاجر السيارة، ومعلومات التعريف الشخصية للعميل (PII)، والسجلات المالية، والمستندات التشغيلية، وبيانات اعتماد الوصول الهامة. كما تم الكشف عن الخرق كود المصدر الكامل للبوابات الإلكترونية الداخلية تستخدم لخدمة العملاء ومعالجة المعاملات.

‍

الاكتشاف: باب رقمي مفتوح

كلاودسك الوقفة الاحتجاجية، منصة أمن سلسلة التوريد الرقمية الخاصة بنا، تفحص الإنترنت العام باستمرار بحثًا عن الأصول المكشوفة للبائع والتكوينات الخاطئة. أثناء الفحص الروتيني، حدد Svigil ثغرة خطيرة في نطاقين فرعيين رئيسيين ينتميان إلى البائع: نطاق متاح للجمهور مجلد .git.

يشبه مجلد.git المخطط الرئيسي للمشروع. يحتوي على كود المصدر بالكامل وتاريخ المراجعة الخاص بها. إن عرض هذا المجلد يعادل ترك الخطط المعمارية ومجموعات الأمان الآمنة والمفاتيح الرئيسية لمقر شركتك على رصيف عام.

كان الاكتشاف فوريًا وكانت الآثار شديدة. لا يتطلب استغلال هذا العيب أي اختراق متطور. يمكن للمهاجم استخدم أداة متاحة بسهولة، مثل Git Dumper، لاسترداد كائن git وفك ضغطه إلى ملفات فردية. سيؤدي هذا الإجراء البسيط إلى استنساخ شفرة المصدر الكاملة، مما يمنحهم وصولاً غير مسبوق إلى الأعمال الداخلية للبوابات الإلكترونية التجارية للشركة.

‍

النتائج الرئيسية: سلسلة من التعرضات الحرجة

لم يكن مجلد.git المكشوف مجرد تسريب واحد؛ بل كان بوابة لسلسلة من الإخفاقات الحرجة، مما عرض الشركة وشركائها وعملائها لخطر داهم.

1. كود المصدر الكامل وتسوية الأسرار - يمكن للمهاجمين الوصول إلى شفرة المصدر الكاملة للبوابات الإلكترونية للشركة. كانت الأسرار الهامة مشفرة مباشرة داخل هذا الرمز، بما في ذلك:

• بيانات اعتماد البريد الإلكتروني (SMTP): تم الكشف عن بيانات اعتماد العديد من مزودي خدمة SMTP، مما سمح للمهاجمين بإرسال رسائل بريد إلكتروني كشركة، مما يمهد الطريق لهجمات تصيد واقعية للغاية وفعالة بشكل مدمر.

‍

• أسرار بوابة الرسائل القصيرة: تم العثور على أسرار صالحة لإرسال الرسائل النصية، مما مكّن المهاجمين من انتحال شخصية الشركة عبر الرسائل القصيرة، وهي قناة اتصال موثوقة للغاية.

• رموز بوابة الدفع: رموز حساسة للغاية لشركة كبرى بوابة الدفع تم ترميزها بشكل ثابت. يمكن استغلال هذه لتوليد معاملات وهمية، مما يؤثر بشكل مباشر على الشؤون المالية للشركة.
• بيانات اعتماد قاعدة البيانات السحابية: أوراق اعتماد للشركة الرائدة خدمة قاعدة البيانات العلائقية لمزود الخدمة السحابية تم الكشف عنها، مما يخاطر بحل وسط كامل للبنية التحتية لقاعدة البيانات السحابية الخاصة بهم.

2. التعرض الهائل للبيانات الشخصية والمالية - تجاوز الخرق الأسرار التقنية. كشفت عن كنز دفين من معلومات التعريف الشخصية (PII) والمستندات المالية الحساسة التي تنتمي إلى أكثر من 6700 تاجر مركبات وعملائهم. تضمنت البيانات المكشوفة:

• معلومات التعريف الشخصي للعميل: الأسماء الكاملة والعناوين وأرقام الهواتف المحمولة وتفاصيل السيارة.
• مستندات التاجر الحساسة: أكثر من 6000 شيك مُلغى ممسوح ضوئيًا، 6,000 شهادة ضريبة خدمة، و 6000 وثيقة تسجيل رسمية.
• وثائق الهوية الرسمية: أكثر من 2,000 بطاقة PAN ممسوحة ضوئيًا (ما يعادل رقم الضمان الاجتماعي في الهند) وصور التاجر.

‍

‍

تأثير الأعمال

يؤكد نطاق وعمق الاختراق على خطورة أمن سلسلة التوريد لأي منظمة تعتمد على البائعين الخارجيين:

• الاحتيال وانتحال الهوية على نطاق واسع - يمكن للمهاجمين استغلال بيانات اعتماد البريد الإلكتروني والرسائل النصية القصيرة المسربة لانتحال شخصية فرق الدعم وإرسال اتصالات احتيالية وإطلاق حملات تصيد مستهدفة مباشرة للعملاء الذين يظهرون كإشعارات خدمة أصلية.
• سرقة الهوية والاحتيال المالي - يتيح الكشف عن رموز الدفع وسجلات الفواتير للمهاجمين بدء معاملات مالية غير مصرح بها - مثل عمليات رد الأموال الزائفة أو مدفوعات التجار المزيفة أو التلاعب في أنشطة تسجيل المركبات.
• عواقب خرق البيانات الضخمة - يسمح الوصول إلى شفرة المصدر الكاملة وبيانات اعتماد قاعدة البيانات بالاستغلال العميق: حشو بيانات الاعتماد وسرقة بيانات العملاء الحساسة وإنشاء هجمات مصممة خصيصًا على مشتري السيارات والتجار.
• سرقة الهوية وتزوير المستندات - تخلق المستندات الحساسة - صور التاجر والشهادات الحكومية (بما في ذلك PAN والتسجيل) - فرصًا مباشرة لتزوير الهوية والتزوير، مما يؤدي إلى المخاطرة بمشاكل تنظيمية وخسائر طويلة الأجل.
• الأضرار المتعلقة بالسمعة والتشغيل - تواجه المؤسسات ذاتها التي تعتمد على هذا البائع للاتصالات الآمنة والامتثال - التجار والمشترين وشركاء التأمين - تآكلًا شديدًا للثقة وعقوبات تنظيمية وتعطلًا محتملاً للأعمال.

‍

التوصيات

• أدوات التطوير الآمنة — يجب عدم عرض مجلدات .git وملفات البيئة وملفات التكوين مطلقًا في الإنتاج.
• تدوير بيانات الاعتماد وتأمينها — تعتبر المفاتيح والرموز المشفرة هدفًا ذا قيمة عالية للمهاجمين.
• راقب البائعين لديك — أمنك قوي فقط مثل الحلقة الأضعف في سلسلة التوريد الخاصة بك.
• تصرف قبل أن يفعل المهاجمون - يعد الاكتشاف السلبي والمراقبة في الوقت الفعلي ضروريين لمنع الانتهاكات قبل تصاعدها.

‍

ميزة Svigil: الحماية الاستباقية التي تؤتي ثمارها

يؤكد هذا الحادث على قيمة المراقبة المستمرة للمخاطر من قبل البائع والطرف الثالث. قامت Svigil بوضع علامة واحتواء ثغرة أمنية عالية التأثير كان من الممكن أن تؤثر على آلاف المعاملات عبر العديد من العلامات التجارية والصناعات.

من خلال اكتشاف الثغرة الأمنية قبل الجهات الخبيثة، منعت Svigil التلاعب بالبيانات في الوقت الفعلي والاحتيال في استرداد الأموال وإساءة استخدام النظام على نطاق أوسع.

في عالم الثقة الرقمية، الوقاية ليست فقط أفضل - إنها لا تقدر بثمن.

لمحة عن «كلاودسك»
CloudSek عبارة عن منصة موحدة لإدارة المخاطر الرقمية تستفيد من الذكاء الاصطناعي والتعلم الآلي لتقديم معلومات التهديدات في الوقت الفعلي ومراقبة سطح الهجوم وأمن سلسلة التوريد عبر المؤسسات على مستوى العالم.

‍