كشف تطبيق الصلاة الرسمي التابع للفاتيكان بهدوء عن البيانات الشخصية لأكثر من 700,000 مستخدم لعدة أشهر، واستغرقت الكنيسة الكاثوليكية حوالي ستة أشهر حتى تعترف بالمشكلة.
التطبيق المعني هو Click to Pray، وهو منصة الصلاة المحمولة المعتمدة رسميًا من قبل البابا. لقد قام بتسريب أسماء المستخدمين وعناوين البريد الإلكتروني على نطاق قد يصيب معظم مطوري التطبيقات بالذعر، وقد حدث ذلك بصمت، دون أي إفصاح عام فوري للأشخاص المتضررين.
ما الذي تم كشفه فعليًا
تتضمن البيانات المسربة أسماء وعناوين بريد إلكتروني لأكثر من 700,000 مستخدم مسجل حول العالم. قد يبدو هذا خرقًا متواضعًا نسبيًا مقارنة بالتسريبات الضخمة التي تضرب منصات الألعاب أو الشبكات الاجتماعية الكبرى، ولكن الأمر هنا مختلف: الأشخاص الذين قاموا بتنزيل تطبيق صلاة للتواصل مع إيمانهم لم يتوقعوا بالتأكيد أن تظل معلوماتهم الشخصية في حالة عرضة للخطر لأشهر متتالية.
طبيعة هذا الكشف تعني أن المستخدمين المتضررين قد يواجهون محاولات تصيد احتيالي (phishing)، أو حملات رسائل مزعجة (spam)، أو هجمات هندسة اجتماعية مستهدفة. إن عنوان بريد إلكتروني مرتبط بتطبيق ديني معروف يخبر المهاجمين بمعلومات محددة عن الشخص، مما يجعل البيانات أكثر قابلية للاستغلال من مجرد تسريب بيانات اعتماد عام.
ستة أشهر من الصمت من الفاتيكان
الجدول الزمني للاستجابة هو ما يجعل هذه القصة مثيرة للقلق حقًا. فالفجوة التي استمرت ستة أشهر بين تحديد كشف البيانات ومعالجة الفاتيكان للأمر رسميًا هي فترة طويلة في عالم أمن البيانات. تتطلب معظم السلطات القضائية التي لديها قوانين صارمة لحماية البيانات، بما في ذلك إطار عمل GDPR الخاص بالاتحاد الأوروبي، إخطارات بخرق البيانات في غضون 72 ساعة من الاكتشاف. وستة أشهر ليست 72 ساعة.
يثير هذا التأخير تساؤلات حقيقية حول البنية التحتية الأمنية الداخلية للفاتيكان وعمليات الاستجابة للحوادث. يمكن للمؤسسات الكبيرة التي لديها فرق أمنية متخصصة أن تخطئ في الإفصاح عن الاختراقات، لكن التأخير لمدة ستة أشهر يشير إما إلى اكتشاف متأخر جدًا، أو عملية داخلية بطيئة للغاية، أو كليهما.
لماذا يهم هذا الأمر بعيدًا عن العناوين الرئيسية
تحمل خروقات البيانات التي تصيب التطبيقات الدينية أو الصحية أو تطبيقات الصحة النفسية ثقلًا مختلفًا عن اختراق حساب ألعاب. المفتاح هنا هو السياق. عندما يشترك شخص ما في Click to Pray، فإنه يشارك معلومات شخصية في بيئة يربطها بالثقة والروحانية، وليس في منصة تنافسية عبر الإنترنت حيث تبدو مخاطر البيانات أكثر توقعًا.
بالنسبة للاعبين والقراء المهتمين بالتكنولوجيا، الدرس الأوسع مألوف: لا توجد فئة تطبيقات آمنة بطبيعتها. سواء كنت تسجل الدخول إلى لعبة RPG على الهاتف المحمول، أو تتابع تمارينك الرياضية، أو تستخدم منصة صلاة، فإن ممارسات أمن البيانات الأساسية للمطور هي التي تحدد مخاطرك الفعلية. شارات متاجر التطبيقات والتأييدات المؤسسية لا تضمن أي شيء فيما يتعلق بأمن النظام الخلفي (backend).
ستحتاج إلى تطبيق نفس إجراءات الحماية هنا التي تتبعها بعد أي إشعار بخرق البيانات: تحقق مما إذا كان بريدك الإلكتروني يظهر في قواعد بيانات الاختراق المعروفة، وراقب محاولات تسجيل الدخول غير العادية على الحسابات المرتبطة، وكن متشككًا في أي رسائل بريد إلكتروني غير مرغوب فيها تشير إلى حسابك في Click to Pray.
لمزيد من النصائح حول التنقل في عالم الألعاب والتكنولوجيا بأمان، يغطي قسم أدلة الألعاب كل شيء بدءًا من أساسيات أمن الحسابات وصولًا إلى الاستراتيجيات الخاصة بكل منصة. وإذا كنت تبحث عن شيء أكثر خفة بعد دورة أخبار ثقيلة، فإن دليل إلقاء التعاويذ الخاص بـ YAPYAP ودليل إنجازات OPUS: Prism Peak يستحقان الاطلاع.
لم يؤكد الفاتيكان علنًا الخطوات التي يتم اتخاذها لمنع تكرار الحادث، لذا من المرجح أن هذه القصة لا تزال تحمل فصولًا أخرى في المستقبل.
