ثغرة أمنية في أداة البرمجة غروك بيلد تكشف بيانات حساسة لآلاف المستخدمين

كشفت شركة الأمن السيبراني كلاروك عن وجود ثغرة أمنية في أداة البرمجة غروك بيلد التابعة لشركة سبايس إكس إس آي، أدت إلى تسريب بيانات حساسة لآلاف المستخدمين، بما في ذلك معلومات داخلية للشركة نفسها. سمحت هذه الثغرة بوصول غير مصرح به إلى معلومات موظفي سبايس إكس إس آي، وموظفي مجموعة مستشفيات، وإحدى إدارات الإطفاء. سمى الباحثون هذه الصفحات المعروضة بشكل عام باسم شبح شيرز، لأن أي شخص يمكنه العثور عليها والوصول إليها دون الحاجة إلى رابط مشاركة. تضمنت الوثائق الداخلية المسربة من سبايس إكس إس آي خطط توظيف الموظفين الجدد، وخرائط توزيع مناطق مبيعات لخمسمائة واربعة وتسعين عميلاً رئيسياً، وثمانية مقترحات إعلانية لمنصة إكس، وأربعة لوحات تحكم نشطة لإدارة حسابات العملاء الإعلانيين، وكتابين لإجراءات أمن العلامة التجارية لمنصة إكس، حيث كان تطبيق واحد فقط محمياً بكلمة مرور.

تأثرت ست شركات من قائمة فورتشن 500 العالمية، و26 شركة أخرى توظف أكثر من ألف موظف. قدرت كلاروك أن نحو 2 بالمئة من التطبيقات تحتوي على معلومات حساسة كافية لتصنيفها على أنها عالية الخطورة أو حرجة. تعود الثغرة إلى طريقة توليد روابط المشاركة في غروك بيلد، حيث تستخدم أربعة كلمات عشوائية لتحديد الرابط، بحد أقصى عشوائية يبلغ 38 بت. على عكس نموذج جيميني من جوجل، تضع غروك هذه المعرفات في اسم النطاق بدلاً من مسار الرابط، مما يتيح لخدمات الدومين النشط السلبية جمع هذه الروابط وتسجيلها في قواعد بيانات عامة قابلة للبحث. أبلغت كلاروك سبايس إكس إس آي والشركات المتأثرة بالمشكلة، حيث اتخذت بعض الشركات إجراءات سريعة لمنع استمرار التسريب.