أفادت تقارير بأن ثغرة في بولي ماركت أثناء التسجيل أتاحت لمهاجمين، باستخدام بيانات شخصية مسروقة، الاستيلاء على نحو 500 حساب أمريكي قائم في أواخر يوليو، إلى جانب وسائل الدفع المرتبطة بها.
أبرز النقاط:
- خلل في التسجيل سمح، بحسب التقرير، لأي شخص يملك بيانات شخصية لمتداول ما بالدخول إلى حسابه الفعلي من دون اسم مستخدم أو كلمة مرور
- انكشفت حسابات بنكية وبطاقات خصم مرتبطة بتلك الملفات، وقال بعض المستخدمين إنهم خسروا آلاف الدولارات فيما التزم الدعم الصمت
- جاءت الحادثة بعد موجة احتيال في فبراير حاول فيها لصوص تمرير ما لا يقل عن 10 ملايين دولار عبر بطاقات خصم مسروقة
ثغرة التسجيل في بولي ماركت تكشف حسابات المتداولين
ذكر تحقيق صحفي نُشر يوم السبت أن أي شخص أنشأ حسابًا جديدًا باستخدام البيانات الشخصية لمتداول قائم — مثل رقم الضمان الاجتماعي المسروق — كان يُنقل مباشرة إلى الملف النشط لذلك المتداول، من دون الحاجة إلى اسم مستخدم أو كلمة مرور، وذلك بحسب ما كشفه التحقيق.
ولم يكن المتسللون بحاجة إلى اسم مستخدم أو كلمة مرور أو حتى هاتف مخترق، كما أصبحت الحسابات البنكية وبطاقات الخصم المرتبطة بتلك الملفات في متناولهم أيضًا.
وقال شخص مطلع على القضية إن إجمالي المبالغ المسروقة كان محدودًا، من دون أن يذكر رقمًا محددًا، فيما أكدت متحدثة باسم الشركة أن بولي ماركت ستعوض الأموال المفقودة في الحادثة. غير أن رواية المستخدمين جاءت مختلفة؛ إذ تحدثوا عن خسائر بمبالغ تصل إلى آلاف الدولارات، وعن أسابيع من الرسائل الموجهة إلى الدعم من دون رد.
وأفاد أحد المتداولين بأنه عند تسجيل الدخول في يوليو وجد أن صفقاته قد بيعت، وأن أرباحًا قدرها 5,783.51 دولار جرى تحويلها إلى بطاقة خصم لا يملكها. وقال إن الشركة أضافت إلى حسابه 25 دولارًا فقط من دون أي تفسير، ثم جمدت الحساب لاحقًا بعد أن قدم بيانات التحقق مرتين.
اقرأ أيضًا: توقعات إنفيديا لعام 2030 تكشف فجوة من 727 إلى 28,560 دولارًا
تحذيرات Checkout.com سبقت رد كوبلان
جاءت الثغرة بعد موجة احتيال أوسع في فبراير، عندما ربط لصوص بطاقات خصم مسروقة بآلاف الحسابات الأمريكية الجديدة وحاولوا تمرير ما لا يقل عن 10 ملايين دولار. وفي مرحلة ما، رفضت شركة معالجة المدفوعات Checkout.com أكثر من 80% من الإيداعات باعتبارها احتيالية، مقابل معدل طبيعي في القطاع يقارب 1%. وتراجعت معدلات الاحتيال إلى مستوياتها المعتادة بحلول مايو، بعد أن فرضت الشركة حدًا لعدد بطاقات الخصم لكل حساب واستعانت بشركة Riskified المتخصصة في مكافحة الاحتيال.
ونقل موظفون حاليون وسابقون أن فريق الامتثال طرح المشكلة على الرئيس التنفيذي شين كوبلان، الذي قال لهم إن الأولوية يجب أن تبقى للنمو، وإن الشركة تستطيع دفع غرامة إذا اكتشفت الجهات التنظيمية الأمر لاحقًا. وأضافت الروايات أن الرد فاجأ الفريق.
سجل بولي ماركت الأمني تحت المجهر
وأثار محللون تساؤلات حول ما إذا كان النمو قد سبق الامتثال داخل شركة تسعى حاليًا إلى جمع تمويل عند تقييم يناهز 21 مليار دولار. كما يشيرون إلى أن رقم 10 ملايين دولار يمثل محاولات سرقة لا خسائر مؤكدة. وتقول بولي ماركت إنها عززت أنظمتها، فيما خلصت مراجعة داخلية أجرتها شركة المحاماة Sullivan & Cromwell إلى أن الشركة التزمت باللوائح.
وجاء خلل يوليو ليضيف مزيدًا من الضغط على المنصة، التي لم تنشر حتى الآن تقريرًا علنيًا يشرح تفاصيل الثغرة. ففي يونيو، أكدت الشركة أن جهة مزودة للخدمات تم اختراقها غرست نصًا خبيثًا داخل موقعها، كما استولى مهاجمون على نحو 3.1 ملايين دولار من 11 محفظة مستخدم قبل أن تُعلن وعود برد الأموال.
اقرأ لاحقًا: اختراقات جيميني تكشف أول ثلاث شركات تتعرض لهجمات ذاتية التنفيذ
