الخلاصة

  • إشعار الأمن الذي نشرته DoorDash يصف حادثة وصلت عبر هجوم تصيّد استهدف مزوّدًا خارجيًا، لا عبر اقتحام أنظمة منصّة التوصيل نفسها.
  • وفي الوثائق الأربع التي راجعها هذا التقرير، لا واحدة تذكر عدد المتأثرين، ولا واحدة تنشر اختبارًا يُثبت أن الإصلاح صمد؛ فلا يبقى من الجزء القابل للتدقيق سوى ما تنشره الجهة المتضرّرة ومن تُخطر.

الخطوة الأولى كانت رسالة نصية. يصف سرد Twilio لحملة أغسطس 2022 موظفين استُهدفوا بتصيّد عبر الرسائل النصية، وبيانات اعتماد اصطيدت، ثم وصولًا غير مصرّح به إلى أنظمة داخلية، مع نحو 125 من عملائها جرفهم الأثر (Twilio). ويظهر DoorDash في ذلك السرد كأحد العملاء المتأثرين، بينما يصف إشعار الشركة نفسه المسار ذاته من الطرف الآخر: هجوم تصيّد على مزوّد خارجي كشف بيانات مستخدمين وأفضى إلى إخطار مباشر للجهات المعنية (إشعار DoorDash الأمني).

لم يكن على المهاجم أن يبلغ DoorDash أصلًا. فقناة الهوية التي استأجرتها المنصّة انكسرت عند المزوّد، والوصول الذي تلا ذلك وقع على سجلات سلّمتها DoorDash في سياق عملها المعتاد. هذا هو شكل الحادثة: ليس جدارًا اقْتُحم، بل حامل رسائل يقرأ الطرد.

ما يقوله الإشعار فعلًا. الفئات محدّدة: أسماء، وعناوين بريد إلكتروني، وعناوين توصيل، وسجلّ طلبات، ومعلومات دفع جزئية جرى الوصول إليها. والاستثناءات محدّدة بالقدر نفسه: لا أرقام بطاقات كاملة، ولا كلمات مرور، ولا بيانات دخول للحسابات. وتقول الشركة إنها أخطارت المتأثرين مباشرة وعملت مع المزوّد لتأمين البيئة.

السجل المحفوظ يضع ذلك الإشعار في نوفمبر 2022. ولم يكن يحمل ختمًا زمنيًا للنشر، فالشهر مستمدّ من نصّ الوثائق لا من توقيع مؤرّخ، وليس في السجلات الأربعة التي راجعها هذا التقرير ما يثبّت يومًا بعينه. من يحتاج التاريخ الدقيق لن يجده هنا؛ سيجد الشهر.

فضل الكشف يعود إلى المزوّد. وهذا أثقل مما يبدو. فالاختراق اكتشفه ورواه المزوّد الذي اصطيد موظفوه، لا المنصّة التي انتقلت بياناتها. ووثيقة DoorDash إشعار: تقول ما أُخذ، وما سُلِم، وما فعلته الشركة بعد ذلك. ولا تزعم في أي موضع أنها كشفت الحملة. نشر المزوّد روايته، ونصّ المنصّة يُقرأ كما يكتب عميل أُبلغ للتوّ.

هذا ليس إهمالًا. إنه هندسة الفشل المارّ عبر مورّد. فالشركة لا تراقب بيئة لا تشغّلها، ولا تُدوّر بيانات اعتماد لا تحوزها، ولا ترى دخولًا لا يصلها أبدًا. ما تستطيعه هو النشر والإخطار. وهذان الفعلان هما كل ما يمكنها التحكّم فيه، ومن ثمّ كل ما يسمح السجل العام بتدقيقه بإنصاف.

اختبار الإشعار. بهذا المسطرة الأضيق، لإشعار من هذا النوع أربعة أجزاء قابلة للتدقيق. الكمّ: هل تقول الجهة المتضرّرة كم شخصًا تأثّر؟ الجرد: هل تسمّي ما أُخذ، وبالقدر نفسه من الفائدة ما لم يُؤخذ؟ التحقّق: هل في السجل ما يختبر صمود الإصلاح بدلًا من وصف نيّته؟ نسبة الكشف: هل تذكر الرواية من وجد الاختراق؟

إشعار DoorDash يجتاز الجرد والإخطار بجلاء. يسمّي فئات البيانات، ويسمّي الاستثناءات، ويقرّر أن المستخدمين خُوطبوا مباشرة. وفضل الكشف يعود بحقّ إلى المزوّد، الذي نشر روايته. والكمّ غائب. والتحقّق غائب. وتقريران مستقلّان من أواخر نوفمبر 2022 يصفان مسار التصيّد نفسه عبر المزوّد، وكلاهما يسجّل أن الإشعارات العامة لم تحمل رقمًا محدّدًا للمتأثرين (TechCrunch) (BleepingComputer).

وللدقّة في الحدّ: في الوثائق الأربع التي قرأها هذا التقرير — إشعار DoorDash، ورواية Twilio، وذلك التقريران — لا وثيقة تعطي عددًا لمستخدمي DoorDash المتأثرين، ولا وثيقة تنشر نتيجة تدقيق أو شهادة أو تغييرًا مقيسًا في الضوابط يُظهر أن الإصلاح صمد. هذا قول عن أربع وثائق، لا عن العالم. وقد يوجد إبلاغ تنظيمي يحمل رقمًا خارجها؛ لم يُقرأ هنا، ولا يجوز استنتاج شيء من غيابه في هذا الملف.

ما يغيّر التصنيف. يصير الإشعار إصلاحًا مُثبتًا عندما تظهر إلى جانبه ثلاثة أشياء. رقم، لأن انكشافًا لا يُقاس لا يُخصَّص له. وشهادة أو ضابط مُختبَر، لأن «العمل مع المزوّد لتأمين البيئة» وصف نشاط لا دليل نتيجة. ومورّد فرعي مسمّى، لأن العميل لا يستطيع تقييم خطر يخفيه كشف المورّدين.

ولا شيء من الثلاثة غريب. فعدّة ولايات قضائية تشترط الأول بالفعل. وتجديدات العقود تحمل الثاني أصلًا في هيئة ملاحق أمنية بحقوق تدقيق. والثالث مسألة مشتريات، وهو الأرخص بينها.

كتب هذا القسم عن DoorDash من قبل، بخصوص وثيقة أخرى. ملف الحالة السابق نظر في حادثة وصول عام 2019 وصلت هي أيضًا عبر طرف ثالث؛ وإشعار نوفمبر 2022 إفصاح منفصل عن آلية منفصلة، والمسافة بين الاثنين ذاتها مفيدة. الحادثتان سلكتا الطريق نفسه من حيث النوع. ولا رواية عامة من الروايتين تقول للقارئ كم شخصًا كان على ذلك الطريق.

الإشعار ليس إصلاحًا، بل إيصال بإصلاح. والرقم والاختبار هما ما يحوّل الإيصال إلى سجل يستند إليه مجلس إدارة — وفي هذه الحادثة، في نطاق الوثائق الأربع التي راجعها هذا التقرير، كلاهما ما زال مستحقًّا. إن أردت معرفة كيف تتصرّف منصّة حين يكون الفشل مُسندًا إلى الخارج، فلا تسأل هل كشفت الاختراق. لم تكن تستطيع. اسأل عمّا أفصحت عنه، ومن أبلغت، وهل أثبت أحد يومًا أن الباب قد أُغلق.

سجل الدليل: DoorDash, Inc.