كشفت شركة “ميتاف تريد” عن حادثة أمن سيبراني أدت إلى سحب بيانات شخصية لعدد من العملاء، شملت أسماء وأرقام بطاقات هوية وحسابات مصرفية، بعد استغلال نقطة ضعف أمنية في واجهة برمجية يديرها مزوّد خدمات خارجي.
وبدأت الحادثة يوم السبت، بعدما أبلغ عملاء عن تلقي رسائل نصية تحتوي على رموز تحقق لمرة واحدة (OTP) دون أن يطلبوها. وأظهرت الفحوصات لاحقًا إرسال نحو 3 آلاف رسالة من هذا النوع إلى أرقام هواتف عملاء.
وبحسب إفصاح قدمته الشركة إلى بورصة تل أبيب، تبيّن خلال التحقيق وجود نقطة ضعف أمنية في إحدى واجهات الربط البرمجية (API) التي يشغّلها مزوّد خارجي، وهي واجهة تسمح بتبادل البيانات والأوامر بين الأنظمة.
وقالت الشركة إن طرفًا خارجيًا تمكن من استغلال هذه الواجهة للوصول إلى معلومات شخصية وسحبها، وشملت الاسم الكامل ورقم بطاقة الهوية ورقم الحساب المصرفي، إضافة إلى بيانات المستفيد من الحساب في الحالات التي تتوافر فيها هذه المعلومات.
كما رصدت الشركة عددًا محدودًا من المحاولات لتغيير رقم الهاتف الذي تُرسل إليه رموز التحقق، إلا أن هذه المحاولات لم تنجح ولم يُستكمل أي تغيير فعلي.
وأكدت “ميتاف” أنه، وفق نتائج الفحوصات التي أجرتها حتى الآن، لم يكن من الممكن الوصول إلى أموال العملاء أو حساباتهم لدى “ميتاف تريد”، ولم تتعرض أنظمة التداول للاختراق. كما لم تُكشف كلمات المرور أو البيانات المالية أو وثائق إثبات الهوية.
وقالت الشركة إنها أوقفت الوصول إلى الواجهة المعنية فور اكتشاف الحادثة، واستعانت بجهة متخصصة خارجية للتحقيق فيها، فيما استعان مزوّد الخدمة بجهة مهنية أخرى لإجراء فحوصات إضافية.
ومن المقرر أن تبلغ “ميتاف تريد” العملاء الذين تبيّن أن معلوماتهم الشخصية سُحبت خلال الحادثة، فيما تواصل فحص ملابساتها.
وبحسب الشركة، انتهت الحادثة ولم تؤثر في استمرار نشاط “ميتاف تريد”، كما تقدّر في هذه المرحلة أنها لن تؤدي إلى تأثير جوهري على نتائج أعمالها أو إلى أضرار مالية جوهرية.
وفيما أكدت الشركة عدم الوصول إلى أموال العملاء أو كلمات المرور، حذر خبراء في الأمن السيبراني تحدثوا لصحيفة “غلوبس” من احتمال استغلال المعلومات التي كُشفت في محاولات تصيد أو انتحال هوية واحتيال موجه. وأوصى الخبراء العملاء بالحذر من الرسائل غير المعتادة، وعدم مشاركة رموز التحقق أو الدخول إلى الحسابات من خلال روابط تصل عبر الرسائل النصية أو البريد الإلكتروني.
