٩٩% من بيانات دخول الموظفين المكشوفة في البيئة الإلكترونية العامة لقطاع الطيران في المملكة المتحدة تقع لدى المورّدين، لا لدى المطارات

لماذا نصفان

في ٢٧ أغسطس ٢٠٢٦ أعلنت Manchester Airports Group أن نحو 8.7 مليون سجل للمسافرين قد أُخذت من أنظمة مواقف السيارات والصالات وFast Track وشبكات wi-fi. كان ذلك في البيئة الإلكترونية التجارية، لا في بيئة الجانب الجوي.

وقبل ذلك بأحد عشر شهرًا، عطّل هجوم برمجية فدية على برنامج تسجيل الوصول MUSE التابع لـ Collins Aerospace مطارات هيثرو وبروكسل وبرلين ودبلن. لم يُخترق أي مطار. بل اختُرق مورّد واحد مشترك.

هاتان بيئتان مختلفتان. وقد قاست هذه الدراسة كلتيهما، في اليوم نفسه، وبالإجراء نفسه.

ما توصلنا إليه

مشغّلو المطارات (٤٣ موقعًا، ٥٤ مطارًا): المتوسط 66.6، والوسيط ٦٦. عشرة بيانات دخول لموظفين لدى أربعة مشغّلين. لا إشارات في مواقع تسريب برمجيات الفدية، ولا منفذ خطِر على عنوان خاص بهم.

المورّدون (٤٨ من أصل ٥١ حصلوا على درجة): المتوسط 65.9، والوسيط ٦٧. ١٬١٦١ بيانات دخول لموظفين. ثلاث إشارات في مواقع التسريب. المنافذ الخطِرة الثلاثة جميعها على عنوان خاص بالجهة نفسها، أحدها خادم قاعدة بيانات محدَّد. فئتا الأمن والمساعدة، والعمليات الأرضية، هما الأضعف. ويقع ٩٢% من التعرّض في بيانات دخول الموظفين ضمن ثلاث فئات من مورّدي الجانب الجوي، وتستأثر ثلاث جهات بـ ٨٢٠ من سجلات المورّدين.

وتقع أربع حالات منافذ أخرى (مشغّلان ومورّدان) على عناوين استضافة مشتركة لم تُحدَّد فيها أي خدمة خاصة بالجهة. ونوردها بشكل منفصل لأن مزوّد الخدمة وحده يستطيع تأكيدها أو إغلاقها.

المقياس الوحيد الذي تبدو فيه المطارات أسوأ هو مصادقة البريد الإلكتروني. أربعون بالمئة منها لا تستطيع أن تطلب من الأنظمة المستقبِلة رفض البريد المزوَّر باسمها. وهي أرخص نتيجة يمكن معالجتها في أي من النصفين، واسم المطار هو الأكثر جاذبية للتزوير.

المتوسط المجمّع البالغ 66.2 يُخفي هذا الانقسام. لا تستخدمه عنوانًا رئيسيًا.

٢١ من أصل ٩١ درجة (١٢ مشغّلًا و٩ مورّدين) هي حدود دنيا، لا قراءات. فقد ردّت تلك الصفحات الرئيسية على أداة الفحص بصفحة حماية من الروبوتات، فتعذّرت قراءة ترويسات الأمان فيها، ولا يمكن أن تكون الدرجة الحقيقية إلا مساوية أو أعلى. ورفض زائر آلي مجهول ضابط أمني، لا تقصير. واكتمل فحص ثلاثة مواقع لمورّدين، جميعها صالات، دون درجة، وهي مستبعدة من كل الأرقام.

ما ليست عليه هذه الدراسة

ليست ادعاءً بأن أي نظام في مطار قد جرى الوصول إليه. لم نستطع رؤية ما بداخل أي منها ولم نحاول ذلك. وليست جدول ترتيب. ولا تُسمّى أي جهة. ولا شيء هنا حكم.

من أين تبدأ

1. حدّد المطارات التي تستعين بالمورّدين الثلاثة الوارد ذكرهم في مواقع برمجيات الفدية، وما الصلاحيات التي يملكونها.
2. اسأل مورّدي الخدمات الأرضية ومعالجة المسافرين وتقنيات المطارات عن ممارساتهم في حماية بيانات الدخول.
3. انشر سياسة بريد إلكتروني مُلزِمة — سجل DNS واحد، دون أي شيء في الجانب الجوي.