ثغرة أمنية في منصة تدريب عسكرية تابعة للبنتاغون exposing بيانات الجنود والدورات التدريبية

كشفت دراسة أمنية مستقلة عن وجود ثغرة أمنية خطيرة في منصة Schemata، وهي منصة تدريب ذكية تعتمدها وزارة الدفاع الأمريكية، مما أدى إلى تسريب بيانات حساسة تتعلق بجنود أمريكيين ودورات تدريبية عسكرية.

وأوضح مشروع Strix، وهو مشروع مفتوح المصدر لاختبارات أمنية مستقلة، أن الثغرة كانت موجودة في واجهة برمجة التطبيقات (API) للمنصة، والتي لم تكن تحتوي على ضوابط حماية كافية، مما سمح لحسابات منخفضة الامتيازات بالوصول إلى معلومات متعددة.

ومن بين البيانات المسربة:

• قائمة بجميع المستخدمين المسجلين في النظام، بما في ذلك أسماءهم وعنوان بريدهم الإلكتروني.
• بيانات تسجيلات الجنود في الدورات التدريبية، بما في ذلك القواعد العسكرية التي ينتمون إليها.
• معلومات حول الدورات التدريبية، بما في ذلك مواد تدريبية سرية ومmarked كملكية خاصة، مثل دليل صيانة السفن البحرية ودوريات الجيش في التعامل مع المتفجرات.
• روابط مباشرة إلى مستندات مخزنة على خوادم أمازون ويب سيرفيسز التابعة للمنصة.

وأكد Strix أن الثغرة لم تتطلب أي مهارات تقنية متقدمة، حيث تم اكتشافها من خلال مراقبة حركة المرور العادية في المتصفح، مما سمح للباحثين بالوصول إلى بيانات خارج نطاق حسابهم الخاص.

وأضاف Strix أن بعض المسارات في واجهة API كانت تسمح بعمليات الكتابة، مما قد يسمح لمهاجم ضار بتعديل أو حذف الدورات التدريبية، على الرغم من عدم تأكيد ذلك من خلال اختبارات تخريبية.

استجابة الشركة وخلفية الاكتشاف

أكدت شركة Schemata وجود الثغرة، مشيرة إلى أنها تم اكتشافها في الأول من مايو/أيار الماضي، بعد فترة disclosure استمرت 150 يومًا. وأوضحت الشركة أن الثغرة تم إصلاحها قبل نشر التقرير، الذي صدر بعد 152 يومًا من المحاولات الأولى للإبلاغ عنها.

وفي بيان نشر على موقع الشركة، نفت Schemata وجود أي دليل على استغلال طرف ثالث للثغرة للوصول إلى بيانات العملاء. إلا أن الجدول الزمني لكشف الثغرة يثير تساؤلات حول كيفية تعامل الشركات العاملة مع بيانات حكومية حساسة مع تقارير الثغرات الأمنية.

وأوضح Strix أن الشركة تواصلت مع Schemata لأول مرة في الثاني من ديسمبر/كانون الأول 2025، حيث رد الرئيس التنفيذي للشركة قائلاً: «أود سماع تفاصيل الثغرة، لكنني أفترض أنك تريد المال مقابل ذلك، أليس كذلك؟»

وأكد Strix أن التعويض لم يكن مطلبًا، وأن الهدف الرئيسي كان سلامة المستخدمين. وأرسلت الشركة عدة متابعات من الثامن إلى التاسع والعشرين من ديسمبر/كانون الأول، محذرة من خطورة الثغرة، إلا أن Schemata لم ترد على طلبات التعليق من قبل CyberScoop.

أهمية الثغرة والأثر الأمني

تعد منصة Schemata جزءًا من بيئة التدريب العسكرية الأمريكية، حيث يمكن أن تكشف البيانات المسربة معلومات حساسة حول مواقع الجنود وتدريباتهم، حتى لو لم تكن هذه البيانات مصنفة رسميًا. وقد يشكل هذا خطرًا كبيرًا إذا تم الوصول إليها من قبل جهات غير مصرح لها.

«حتى عند عدم وجود معلومات مصنفة، فإن سجلات تدريب الجنود ومواقعهم يمكن أن تشكل تهديدًا أمنيًا إذا تم الكشف عنها خارج القنوات الرسمية.»

ويؤكد هذا الاكتشاف على أهمية تعزيز ضوابط الأمان في أنظمة التدريب الحكومية، خاصة تلك التي تعتمد على تقنيات الذكاء الاصطناعي والواقع الافتراضي، لضمان حماية البيانات الحساسة ومنع تسريبات مماثلة في المستقبل.