العثور على سكن في نيويورك صعب. لكن من الأسهل العثور على الأرقام الأربعة الأخيرة من رقم الضمان الاجتماعي لشخص ما مقارنة بالعثور على شقة. لاحظ باحث نشاطًا مشبوهًا أثناء مراقبة حركة الشبكة بينما كان يقدم طلب إيجار في بيم ليفينغ، وهي شركة ضمن محفظة بلاكستون.

أثناء تقديم التفاصيل الشخصية، فحص المستخدم استعلامات غراف كيو إل المرسلة إلى pd-dlcore.beamliving.com/graphql. سمحت هيكلية الاستعلام بجلب معلومات اتصال واسعة النطاق، بما في ذلك التحقق من الدخل، ونتائج الائتمان، والعناوين، وتواريخ الميلاد، وبيانات الضمان الاجتماعي، فقط بتقديم معرف جهة الاتصال أو البريد الإلكتروني.

كشفت الاختبارات أن إدخال بريد صديق يكشف عن بيانات الطلب الحساسة الخاصة به. أثرت هذه الثغرة على مجتمعات متعددة، بما في ذلك 8 Spruce، وStuy Town، وPeter Cooper Village، وKips Bay Court، وParker Towers. كان بإمكان أي شخص يعرف عنوان البريد الإلكتروني للوصول إلى المعلومات الخاصة لأي مقدم طلب بقي سجله في البوابة المشتركة.

كشف الباحث عن العيب لبيم ليفينغ. وعلى الرغم من الإنكار الأولي، تم إصلاح المشكلة بصمت بعد مزيد من الضغط. تسلط الحادثة الضوء على مخاطر أمنية كبيرة في بوابات التأجير الحديثة وإمكانية التعرض الواسع للبيانات من خلال فحوصات تفويض واجهة برمجة التطبيقات غير السليمة.

الكيانات الرئيسية: الشركات: بلاكستون، بيم ليفينغ | المواقع: نيويورك، 8 Spruce، Stuy Town، Peter Cooper Village، Kips Bay Court، Parker Towers

الأسئلة الشائعة: ما البيانات التي تم كشفها؟

أرقام الضمان الاجتماعي (الأربعة الأخيرة)، وتواريخ الميلاد، وعناوين المنزل، وعناوين IP، وأرقام الهواتف، وبيانات الطلب الأخرى.

سؤال شائع: ما البيانات التي تم كشفها؟

جواب شائع: أرقام الضمان الاجتماعي (الأربعة الأخيرة)، وتواريخ الميلاد، وعناوين المنزل، وعناوين IP، وأرقام الهواتف، وبيانات الطلب الأخرى.