فرضت الهيئة الإيطالية لحماية البيانات الشخصية (Garante per la Protezione dei Dati Personali) غرامة مالية قدرها مليون و715 ألفاً و600 يورو على شركة الاتصالات WINDTRE، إثر ثغرتين أمنيتين خطيرتين أدتا إلى اختراقين منفصلين وسرقة بيانات شخصية لأكثر من 365 ألف عميل.
وكشفت التحقيقات أن الهجوم استغل أساليب الهندسة الاجتماعية لخداع موظفي نقاط البيع، إلى جانب قصور تقني واضح في إدارة الشهادات الرقمية وحماية واجهات برمجة التطبيقات (APIs).
بدأت القصة حين أبلغت WINDTRE، وهي إحدى كبريات شركات الاتصالات في إيطاليا، عن خرقين للبيانات في فبراير 2025. واتضح أن المهاجمين لم يستغلوا ثغرات برمجية معقدة، بل اعتمدوا أسلوباً تقليدياً يكمن في الهندسة الاجتماعية؛ عبر انتحال صفة فنيي دعم فني لإقناع موظفين في اثنين من متاجر الشركة بمنحهم حق الوصول إلى الأنظمة الداخلية، ما مكنهم من سحب أسماء العملاء وبيانات الاتصال بهم.
وبالنسبة إلى 41,359 عميلاً، تجاوزت البيانات المسروقة حدود التعريف الأساسية لتشمل تفاصيل الدفع:
- إيصالات البريد المصرفي.
- أرقام IBAN.
- أرقام بطاقات الائتمان المحجوبة جزئياً مع تواريخ انتهاء صلاحيتها.
ولم تقتصر الانتقادات الرقابية على العنصر البشري. فرغم دفاع WINDTRE بأن لديها إجراءات أمنية متينة تشمل تحققاً ثلاثي العوامل ورموز CAPTCHA وجدراناً نارية ومراقبة أسبوعية، وأن الحادثين نابعان من “خطأ بشري” بحت، رفضت الهيئة هذا التبرير. وأشارت إلى فشلين تقنيين جوهريين: الأول يتعلق بإدارة الشهادات الرقمية، إذ لم تخزن المفاتيح الخاصة في مخازن مشفرة أو أنظمة متخصصة، ما يجعلها عرضة للاستخراج عند اختراق أي جهاز. أما الثاني فيتمثل في ضعف حماية واجهات API الداخلية الثانوية، التي لم تخضع لاختبارات الثغرات واكتفت الشركة بفحص الواجهات الرئيسية فقط.
وقد أتاح ذلك تنفيذ هجوم تعدادي (Enumeration Attack) بنحو مليونَي طلب استعلام، كان من الممكن كشفه لو طبقت إجراءات تحديد المعدل ورموز CAPTCHA المنصوص عليها في إطار OWASP API Security Top 10.
وخلصت الهيئة إلى أن WINDTRE انتهكت مبادئ سلامة البيانات وسريتها والالتزامات الأمنية المنصوص عليها في اللائحة العامة لحماية البيانات (GDPR). وأصدرت أمراً بإلزام الشركة بتعزيز أنظمة حماية بيانات الدخول والشهادات الرقمية، واستحداث أدوات آمنة لإدارة كلمات المرور، وتحسين إجراءات الأمن السيبراني لمنع تكرار حوادث مماثلة.
