آبلبيز تكشف اختراق بيانات عملائها بسبب كلمة مرور مُضمَّنة في تطبيقها

أكدت سلسلة مطاعم آبلبيز الأمريكية أنها أصلحت ثغرة أمنية خطيرة في تطبيقها لنظام أندرويد، بعد أن عثر باحث أمني على كلمة مرور لقاعدة بيانات داخلية كانت مُضمَّنة مباشرة في الشيفرة المصدرية للتطبيق، وهو ما سمح بالوصول غير المصرَّح به إلى بيانات شخصية تخص عدداً غير معروف من العملاء، من بين أكثر من 8.5 مليون عضو مسجَّل في برنامج الولاء التابع للسلسلة.

ووفقاً لتقرير نشره موقع تك كرنتش، فإن الباحث الأمني البريطاني روبرت ويغينز، العامل لدى شركة "هوات سكيوريتي"، عثر في أكتوبر 2026 على بيانات الاعتماد وسط آلاف الأسطر من الشيفرة المصدرية لتطبيق آبلبيز، الذي تجاوزت عدد تحميلاته مليون مرة على متجر غوغل بلاي. واستعان ويغينز بنموذج ذكاء اصطناعي لتسريع عملية البحث داخل هذا الحجم الكبير من الشيفرة، إذ كان تحديد نطاق البيانات المتأثرة بدقة يتطلب من النموذج فحص كل سجل على حدة تقريباً، وهو أمر لم يكن ممكناً عملياً.

وبيّن الباحث أن بيانات الاعتماد المكتشفة كانت كافية لتسجيل الدخول إلى قاعدة البيانات الداخلية كمستخدم مصرَّح له بالكامل، بل إن الثغرة كانت تسمح نظرياً أيضاً بتعديل بيانات العملاء، لا الاطلاع عليها فقط. ومن بين البيانات التي كان يمكن الوصول إليها: الأسماء الكاملة، وعناوين البريد الإلكتروني وحالة التحقق منها، وتواريخ الميلاد، وأرقام الهواتف، والرموز البريدية، وحالة الخدمة العسكرية السابقة للعملاء، وعدد مرات تسجيل الدخول، وتواريخ إنشاء الحسابات، وعناوين بروتوكول الإنترنت الخاصة بعمليات تسجيل الدخول الأخيرة، والتي يمكن أن تكشف عن الموقع التقريبي للمستخدم.

ولإثبات صحة الاكتشاف، أجرى فريق تك كرنتش عملية إعادة تفكيك لشيفرة التطبيق للتأكد من وجود بيانات الاعتماد فعلياً، ثم أنشأ حساباً تجريبياً ببيانات وهمية، تمكّن الباحث عبره من استرجاع تلك البيانات مباشرة من قاعدة البيانات الداخلية، في تجربة عملية أكدت خطورة الثغرة وسهولة استغلالها من أي شخص يملك نسخة من التطبيق.

وواجه الباحث صعوبة في إبلاغ الشركة بالثغرة بالطريقة المعتادة في مجال الإفصاح المسؤول، إذ لم يجد لدى آبلبيز أو الشركة الأم "داين براندز" أي قناة رسمية لتلقي بلاغات الثغرات الأمنية، ما دفعه إلى التواصل مع تك كرنتش لمساعدته في الوصول إلى الشركة. وأخّر الموقع نشر التقرير إلى حين تأكيد الشركة إصلاح الثغرة، وذلك يوم الخميس الموافق 29 أكتوبر 2026.

من جهتها، صرّح متحدث باسم داين براندز بأن فريق الأمن في الشركة لم يعثر حتى الآن على أي دليل على وصول غير مصرَّح به إلى البيانات، مشيراً إلى أن التحقيق في الحادثة لا يزال جارياً. غير أن الشركة لم توضح ما إذا كانت تحتفظ بسجلات خادم يمكن أن تثبت أو تستبعد حدوث عمليات وصول سابقة، ولم تكشف المدة التي ظلت خلالها كلمة المرور مضمَّنة في التطبيق قبل اكتشافها، كما لم تحدد عدد العملاء الذين تأثروا فعلياً بالثغرة.

ولم تُجب آبلبيز أيضاً عن أسئلة تتعلق بما إذا كانت ستُشعر العملاء المتأثرين أو الجهات التنظيمية الأمريكية بالحادثة، أو ما إذا كانت ستقدّم إفصاحاً رسمياً لهيئة الأوراق المالية والبورصة الأمريكية بشأنها، وهو إجراء تُلزَم به الشركات المتداولة علناً في حالات اختراق البيانات ذات الأثر الجوهري. وأشار تك كرنتش إلى أنه سيحدّث تقريره في حال ردّت الشركة على هذه التساؤلات.

وتسلّط هذه الحادثة الضوء مجدداً على خطورة ممارسة تضمين بيانات الاعتماد الحساسة، مثل كلمات المرور ومفاتيح الوصول، مباشرة داخل شيفرة التطبيقات الجاهزة للتوزيع العام، فهذه الشيفرة قابلة للاستخراج والتفكيك من قبل أي مستخدم يحمّل التطبيق، خلافاً للخوادم الخلفية التي يصعب الوصول إليها من الخارج. كما تكشف الواقعة عن أهمية وجود قنوات رسمية وواضحة لدى الشركات لاستقبال بلاغات الباحثين الأمنيين، إذ إن غياب هذه القنوات قد يؤخر اكتشاف وإصلاح الثغرات الحرجة، ويترك بيانات ملايين المستخدمين عرضة للخطر لفترات أطول من اللازم.

ويبقى السؤال الأهم مفتوحاً حتى الآن: هل استغل أي طرف ثالث هذه الثغرة قبل إصلاحها فعلياً؟ فبينما تقول داين براندز إنها لم تعثر على دليل على ذلك، فإن غياب الشفافية الكاملة بشأن سجلات الوصول يجعل من الصعب على العملاء والمراقبين التأكد من سلامة بياناتهم الشخصية بشكل قاطع.

تُواجه شركات التجزئة والمطاعم العربية تحديات أمنية مشابهة، إذ يُسهم النمو المتسارع لتطبيقات الهاتف وبرامج الولاء في مجمعات التسوق والسلاسل الغذائية الكبرى في دول الخليج في توسيع سطح الهجوم السيبراني. وتعمل الهيئة الوطنية للأمن السيبراني في السعودية ومجلس الأمن السيبراني الإماراتي على إصدار توجيهات إلزامية لأمن تطبيقات الهاتف، وتُمثّل قضية آبلبيز تذكيراً عملياً للمطورين ومسؤولي تقنية المعلومات في الشركات العربية بضرورة إجراء مراجعات دورية للكود البرمجي وتجنب تضمين بيانات الاعتماد في أكواد التطبيقات المنشورة للجمهور.

وتضع هذه الواقعة أيضاً ضغطاً إضافياً على الشركات الكبرى التي تدير برامج ولاء واسعة تضم ملايين المستخدمين، لمراجعة ممارساتها الأمنية الداخلية بشكل دوري، وفصل بيانات الاعتماد الحساسة عن شيفرة التطبيقات المنشورة للعامة، واعتماد آليات تشفير وتدوير منتظم لكلمات المرور الخاصة بقواعد البيانات. كما تؤكد الحاجة إلى وجود سياسات إفصاح واضحة تمنح الباحثين الأمنيين المستقلين قناة موثوقة للتواصل، بما يقلّص الفجوة الزمنية بين اكتشاف الثغرات وإصلاحها، ويحمي بيانات المستخدمين من الاستغلال الصامت الذي قد لا يُكتشف أبداً دون رقابة خارجية مستقلة كالتي قام بها الباحث في هذه الحالة.