الأمن السيبراني
#أمن_سيبراني
#تسريب_بيانات
ثغرة في صيدليات DavaIndia تكشف بيانات 17 ألف طلب
كشف باحث أمني عن ثغرة خطيرة في سلسلة صيدليات DavaIndia الهندية، سمحت بالوصول الكامل لبيانات 17 ألف طلب وتعديل أسعار الأدوية دون قيود. هذا الخلل الأمني الجسيم منح الغرباء قدرة التحكم الكامل في المنصة الرقمية لواحدة من أكبر سلاسل الصيدليات في الهند، مما عرض بيانات العملاء الحساسة ووظائف التحكم في الأدوية للخطر.
تفاصيل الثغرة والوصول الإداري
أكد الباحث الأمني إيتون زفير لموقع TechCrunch أنه اكتشف الخلل بعد تحديد واجهات برمجة تطبيقات (APIs) غير آمنة خاصة بـ "المسؤول الفائق" (Super Admin) على موقع DavaIndia الإلكتروني. وأوضح الباحث أن الثغرة سمحت للمستخدمين غير المصقين بإنشاء حسابات إدارية بصلاحيات عالية جداً.
بفضل مستوى الوصول هذا، كان بإمكان أي مهاجم الاطلاع على آلاف الطلبات عبر الإنترنت التي تحتوي على معلومات العملاء، وتعديل قوائم المنتجات والأسعار، وإنشاء كوبونات خصم، وحتى تغيير الإعدادات التي تحدد ما إذا كانت بعض الأدوية تتطلب وصفة طبية أم لا.
حجم البيانات المكشوفة والمخاطر
استناداً إلى الطوابع الزمنية للنظام، أشار زفير إلى أن الواجهات الإدارية الضعيفة كانت نشطة منذ أواخر عام 2024. وقد كشف هذا الوصول عن ما يقرب من 17,000 طلب عبر الإنترنت وعناصر تحكم إدارية تغطي 883 متجراً. وتعتبر بيانات طلبات الصيدليات حساسة للغاية، حيث قد تكشف معلومات حول الظروف الصحية للأشخاص والأدوية التي يتناولونها.
وقال زفير: "تم ربط معلومات العملاء بطلباتهم، ويشمل ذلك الأسماء، وأرقام الهواتف، وعناوين البريد الإلكتروني، والعناوين البريدية، والمبلغ الإجمالي المدفوع، والمنتجات المشتراة". وأضاف أن الوصول سمح أيضاً بإجراء تعديلات على محتوى الموقع كان يمكن استخدامها للتخريب أو التشويه.
الاستجابة والإصلاح
أبلغ الباحث وكالة الاستجابة لطوارئ الإنترنت الهندية (CERT-In) عن المشكلة في أغسطس 2025. وتم إصلاح الثغرة في غضون أسابيع، على الرغم من أن تأكيد الشركة استغرق وقتًا أطول وتم تقديمه للسلطات السيبرانية في أواخر نوفمبر. وأكد الباحث أنه لا يوجد مؤشر على استغلال الثغرة قبل إصلاحها.
تأتي هذه الحادثة في وقت تقوم فيه شركة Zota Healthcare بتوسيع أعمال التجزئة لصيدليات DavaIndia بسرعة، حيث تدير الشركة أكثر من 2,300 متجر في جميع أنحاء الهند، مع خطط لإضافة ما بين 1,200 إلى 1,500 متجر آخر خلال العامين المقبلين.
الأسئلة الشائعة
اكتشف باحث أمني واجهات برمجية غير آمنة سمحت بإنشاء حسابات "مسؤول فائق" بصلاحيات كاملة للتحكم في الموقع وتعديل الأسعار والوصول للبيانات.
كشفت الثغرة عن بيانات ما يقرب من 17,000 طلب عبر الإنترنت، تضمنت أسماء العملاء وعناوينهم وتفاصيل الأدوية المشتراة.
نعم، تم إبلاغ السلطات الهندية في أغسطس 2025، وقامت الشركة بإصلاح الثغرة في غضون أسابيع دون وجود أدلة على استغلالها مسبقاً.
التعليقات 0
سجل دخولك لإضافة تعليق
لا توجد تعليقات بعد. كن أول من يعلق!