كيستون تؤكد سرقة بيانات عملاء في اختراق موقعها الإلكتروني خلال أكتوبر

كيستون تعترف باختراق موقعها الإلكتروني

أعلنت شركة Keystone، المصنّعة لمحفظة أجهزة عزل هوائية، أن جهة خارجية سرقت معلومات شحن العملاء من متجرها على الإنترنت. وفي إفصاح نشر عبر حسابها الرسمي يوم 24 أكتوبر، أوضحت الشركة أنها رصدت دخولا غير مصرح به إلى موقعها يوم 20 أكتوبر، ثم أكدت، بعد مراجعة نشاط واجهات البرمجة بالتنسيق مع Shopify المزوّدة لحلول التجارة الإلكترونية، بتاريخ 23 أكتوبر أن طرفا ثالثا حصل على البيانات. افتتح البيان بالاعتذار، معترفا بأن العملاء منحوا الشركة ثقتهم في حماية معلوماتهم الشخصية. تشمل السجلات المسروقة أثناء شراء المحافظ الأجهزة أسماء الأشخاص، وبيانات التواصل، وعناوين الشحن، والمنتجات المطلوبة وأسعارها. في المقابل، لم تتعرض بيانات بطاقات الدفع، ولا التفاصيل المصرفية، ولا عبارات الاستعادة، ولا المفاتيح الخاصة، ولا كلمات مرور المحافظ، وفق ما ورد في الإفصاح. وأفادت الشركة بأنها حظرت الوصول غير المصرح به، وصححت الثغرة، وفتحت تحقيقا في الواقعة، على أن بدأت مراسلة العملاء المتأثرين بالبريد الإلكتروني بينما تعد تقريرا تفصيليا عن الحادث. ومع ذلك، يخلو الإعلان من تفاصيل عدة: فهو لا يسمّي المهاجمين، ولا يحدد عدد العملاء المتأثرين، ولا يذكر تاريخ بدء الاختراق فعليا، ولا يحدد الثغرة التي استُغلت. لم تحسم الشركة بعد ما إذا كان المهاجم استخدم مفتاح واجهة برمجة مسروقا، أم خللا في تطبيق الواجهة الأمامية للمتجر، أم ثغرة أخرى في البنية التحتية. وتشير الإشارة إلى نشاط واجهات برمجة Shopify في بيان كيستون إلى ما فحصه المحققون للتأكد من سرقة البيانات، لكنها لا تثبت أن منصة Shopify نفسها تعرضت للاختراق. فالشركة تزوّد التجار والتطبيقات المرخصة ببنية المتجر وواجهات برمجة تتيح إدارة سجلات العملاء والطلبات، والصلاحيات الممنوحة للتطبيق المتصل هي التي تحدد حجم البيانات التي يمكنه الوصول إليها. أما بيانات الاعتماد أو الصلاحيات التي دخلت في هذه الواقعة، فما زال الكشف عنها مؤجلا.

تحذيرات من التصيد والتهديدات المادية

يقع الخطر المباشر الناتج عن التسريب خارج أنظمة كيستون نفسها. فالأسماء وعناوين المنازل تحدد أشخاصا اشتروا محافظ أجهزة، وتفاصيل الطلبات الحقيقية تجعل الرسائل الاحتيالية أكثر إقناعا بكثير. وقد حذّرت الشركة عملاءها من محتالين ينتحلون صفة Keystone عبر البريد الإلكتروني، أو المكالمات الهاتفية، أو الرسائل النصية، أو البريد العادي، مع استعراد الاستردادات الوهمية، وأجهزة الاستبدال المزعومة، وطلبات تصحيح معلومات التوصيل ضمن الحواف المتوقعة. ونصحت المستخدمين بألا يشاركوا عبارة الاستعادة في أي حال، وألا يدخلوها في جهاز لم يطلبوه، وبالتواصل مع الدعم الرسمي مباشرة عند وصول أي رسالة مشبوهة. وذهبت المطورة الأمنية Taylor Monahan أبعد من ذلك، إذ غطى تحذيرها بشأن التهديدات المادية السطو والاختطاف، وهو نمط معروف في القطاع باسم هجوم المفتاح الإنجليزي، حين يستخدم الجناة العنف لإجبار حاملي الأصول على تسليمها. ولا يوجد في الإفصاح دليل مؤكد يربط السجلات المسروقة بهجوم وقع فعلا. وتفاعل الرئيس التنفيذي السابق لمنصة Binance Changpeng Zhao مع الإعلان برسالة موجزة: "ابقَ بأمان!". تستدعي الحادثة اختراق عام 2020 الذي طال الشركة المنافسة Ledger، حين استخدم مهاجم مفتاح واجهة برمجة للوصول إلى جزء من قاعدة بيانات التجارة الإلكترونية والتسويق. وقدّرت Ledger في البداية نحو مليون بريد إلكتروني متأثر ومعلومات شخصية تفصيلية لنحو 9,500 عميل، وعندما ظهرت قاعدة البيانات المسروقة علنا في ديسمبر 2020، اعترفت الشركة بانكشاف أوسع شمل نحو 272,000 سجل يحوي أسماء وعناوين بريدية وأرقام هواتف. وحتى أبريل 2025 كانت رسائل احتيالية منتحلة صفة Ledger ما زالت تصل إلى العملاء، تلتم منهم مسح رموز الاستجابة السريعة وإدخال عبارات الاستعادة. وعلى صعيد منفصل، تجري Ledger تحقيقا في خسائر أصول لدى مستخدمين اشتروا أجهزة من موزع في جنوب شرق آسيا، وطلبت من هذا الموزع تعليق البيع والشحن احتياطا.

أسئلة لم تجب عنها كيستون بعد

الحقيقة الجوهرية في الإفصاح هي ما لم يسرق: فتصميم المحفظة الباردة صامد، ولم يظهر أي اعتماد متعلق بـمحفظة العملات المشفرة في حزمة البيانات المسروقة، والانكشاف جلله بيانات شخصية بحتة. ينتقل الخطر إذن إلى الطبقة البشرية، حيث يقرن المهاجم سجل طلبات حقيقي بمكالمة هاتفية أو رسالة بريدية. وينبغي أن يجيب التقرير المعلق من كيستون عن ثلاثة أسئلة مفتوحة: كم عميلا تأثر، ومتى بدأ الوصول غير المصرح به، وأي مفتاح اعتماد استخدمه المهاجم. وذيل Ledger الممتد منذ ست سنوات، والذي ما زالت قاعدة بياناته لعام 2020 تغذي عمليات الاحتيال حتى العام الماضي، يرجح التعامل مع كل رسالة استرداد أو استبدال أو توصيل غير مطلوبة على أنها معادية إلى أن يتحقق المستلم من الشركة المصنعة مباشرة.