قالت «سيفبال» إن ثغرة في آلية التفويض داخل وظيفة تتبع الطلبات سمحت، في ظروف معينة، بالوصول إلى معلومات طلبات عملاء آخرين، وذلك خلال الفترة من 2 مارس/ آذار 2025 إلى 11 أبريل/ نيسان 2026.
وأوضحت الشركة أن البيانات التي تم الوصول إليها تضمنت الاسم، وعنوان البريد الإلكتروني، وعنوان الشحن، ورقم الهاتف، وتفاصيل المشتريات، وأن المعلومات الخاصة بنحو 39,798 عميلاً تأثرت بالواقعة.
المحافظ والأصول الرقمية لم تتأثر
أكدت «سيفبال» أن الاختراق لم يشمل عبارات الاسترداد السرية (Seed Phrases)، أو المفاتيح الخاصة، أو كلمات مرور المحافظ، أو معلومات الحسابات المصرفية، أو أرقام بطاقات الدفع، أو أرقام الهوية الصادرة عن الحكومات.
وأضافت الشركة أنه لا توجد أدلة على أن الواقعة أدت إلى اختراق محافظ «سيفبال» أو الوصول إلى أموال المستخدمين.
وعادةً ما تُستخدم كلمات المرور وعبارات الاسترداد لحماية المحافظ، وتكون معروفة للمستخدم وحده، فيما يؤدي فقدانها إلى فقدان إمكانية الوصول إلى المحفظة.
البيانات قد تُستخدم في عمليات تصيد وانتحال
قالت الشركة إن معلومات الطلبات المتأثرة قد تُستخدم في استهداف العملاء بعمليات تصيد إلكتروني وانتحال شخصية أكثر تطوراً، بما في ذلك مكالمات هاتفية ورسائل بريد إلكتروني ورسائل نصية وخطابات وعروض استرداد أموال وطلبات لتحديث البرامج الثابتة، أو رسائل مزيفة من خدمة العملاء، أو مواقع إلكترونية خبيثة.
وأضافت أن المعلومات المتأثرة قد يتم تداولها أيضاً في منتديات عامة.
«سيفبال» تصلح الثغرة وتشدد إجراءات الحماية
قالت «سيفبال» إنها أصلحت المشكلة فور اكتشافها وطبقت إجراءات أمنية إضافية، كما استعانت بشركة أمنية مستقلة من طرف ثالث للتحقق من عملية الإصلاح وإجراء مراجعة أوسع لأنظمة معالجة الطلبات.
كما قررت الشركة تقليص فترة الاحتفاظ بالبيانات الشخصية في بيئة معالجة الطلبات ذات الصلة إلى 90 يوماً، مع مراعاة المتطلبات القانونية المعمول بها.
وأوضحت أنها فتحت قناة دعم مخصصة للحادثة، وأخطرت جميع العملاء المتضررين بشكل منفصل عبر البريد الإلكتروني، كما تواصلت مع شركاء الخدمات اللوجستية والتنفيذ للتأكد من عدم امتداد المشكلة إلى أنظمتهم.
إزالة أكثر من 30 موقعاً احتيالياً
قالت «سيفبال» إنها حددت وأزالت أكثر من 30 موقعاً إلكترونياً احتيالياً ورابطاً للتصيد مرتبطاً بأنشطة الاحتيال الناتجة عن الواقعة، مع استمرارها في مراقبة ظهور مواقع وروابط جديدة.
وحذّرت الشركة المستخدمين من مشاركة عبارات الاسترداد أو المفاتيح الخاصة أو كلمات المرور مع أي شخص، حتى لو ادعى أنه من دعم «سيفبال»، مؤكدة أنها لن تطلب هذه المعلومات عبر الهاتف أو البريد الإلكتروني أو أي قناة أخرى.
