مشكلة مستخدم تكشف عن ثغرة في آلية الحجز على "Booking.com"
نون- ربما تود توخي مزيد من الحذر عندما تحجز إقامتك المقبلة عبر "Booking.com"، فقد اكتُشفت مؤخرًا ثغرة بنظام الحجز.
فقد كشفت مشكلة تعرض مستخدم لها مؤخرًا أن خطأ مطبعيًا في عنوان البريد الإلكتروني قد يؤدي عن غير قصد إلى مشاركة معلومات الرحلة الخاصة مع أشخاص غرباء، مما سيمكنهم لاحقًا من الوصول إلى معلومات حساسة وربما إجراء حجوزات عبر حسابات آخرين على "Booking.com".
ماذا حدث؟
ظهرت هذه المشكلة بعد أن تلقى أحد مستخدمي "Booking.com"، ويدعى ألفي، رسالة بريد إلكتروني تؤكد حجزه لرحلة لم يحجزها هو بنفسه، وفق موقع "Ars Technica" المتخصص في التكنولوجيا.
واعتقد المستخدم في بادئ الأمر أنه يتعرض لمحاولة احتيال، لذلك تجنب الضغط على أي روابط في الرسالة الواردة لمنع أي فيروسات خبيثة، وفضل مراجعة حسابه على "Booking.com" للتأكد من عدم وجود حجز للرحلة.
لكن بدلًا من ذلك صُدم المستخدم عندنا اكتشف أن الرحلة حُجزت بالفعل بطريقة ما باستخدام حسابه.
وقال المستخدم، متحدثًا لموقع "Ars Technica"، إنه كان على ثقة بأنه لم يتعرض لعملية اختراق، مضيفًا أنه عندما تواصل مع فريق الدعم لـ"Booking.com" بدوا مندهشين، وأخبروه أنهم لم يشهدوا أمرًا مثل هذا في سنوات عملهم بالشركة.
ثغرة في آلية الحجز
بعد تصعيد الأمر للفرق المعنية بالأمن في "Booking.com" وتحقيق استمر أسابيع، قال متحدث باسم الشركة الهولندية، للموقع، إن التحقيق أظهر أن المشكلة تعود إلى أن مستخدمًا آخر أدخل عن غير قصد معلومات خاطئة أثناء عملية حجز، حيث كتب عنوان بريد إلكتروني خاطئ.
وأضاف المتحدث أن عنوان البريد الذي تم إدخاله هذا ماثل عنوان البريد الإلكتروني الخاص بالعميل صاحب الشكوى، مما تسبب في تسجيل الحجز على حسابه على "Booking.com".
وتهتم "Booking.com" بالسماح للمستخدمين بحجز السفر لمستخدمين آخرين عن طريق إضافة عناوين بريدهم الإلكتروني، لتمكين الأشخاص من حجز الرحلات معًا بشكل متكرر.
وإذا صادف أن عنوان البريد الإلكتروني المضاف إلى الحجز مرتبط أيضًا بمستخدم موجود "Booking.com"، فستضاف هذه الرحلة تلقائيًا إلى حسابه، ولا توجد طريقة لحذف الرحلة من هذا الحساب، حتى لو كان هناك خطأ مطبعي في البريد الإلكتروني.
ووفقًا لـ"Booking.com"، فلا يوجد مشكلة تحتاج للإصلاح بذلك الأمر لأنه ليس "خللًا في النظام" ولا يوجد "اختراق أمني".
ولذلك لم تحذف "Booking.com" الرحلة من حساب المستخدم "ألفي"، والتي كان قد مر وقتها، وقالت إن من شأن ذلك أن ينتهك خصوصية المستخدم الذي حجز الرحلة.
