Chainalysis نفت تسرب session tokens في 30 أكتوبر، ثم أعلنت بعد 5 أيام تعرّض tokens كل المستخدمين
المغزى: الـ token الفعّال لا يتوقف عند تغيير كلمة المرور، فإبطاله هو ما يقطع الوصول، وأول بيان في حادث لا يزال قيد التحقيق وصف للحظة لا نتيجة نهائية.
GitBook ترصد وصولًا غير مصرّح به إلى أجزاء من بنيتها التحتية وتوقف بعض الخدمات
المغزى: منصة التوثيق ليست مستودع نصوص فقط، بل حساب يحمل مفاتيح وصول إلى أنظمة أخرى، فأي حادث فيها يمتد أثره إلى ما ترتبط به من مستودعات وخدمات.
Northflank تطلب من مستخدميها اعتبار كل الـ environment variables مكشوفة بعد حادثة أمنية
المغزى: منصة النشر تخزّن الأسرار مشفّرة لكنها تفكّها عند التشغيل لتضعها في الحاوية، فمن يصل إلى عمقها يصل إلى المفتاح نفسه، ومفتاح النموذج المسروق رصيد يُنفق من حساب صاحبه.
Railway تكشف أن طرفًا غير مصرح له وصل إلى متغيرات بيئة لعملاء وفك تشفير بعضها
المغزى: التشفير أثناء التخزين يحمي من سرقة القرص لا من اختراق النظام الذي يفك التشفير، ومفاتيح أي تطبيق تعيش في كل منصة استضافة وُثق بها.
PingCAP صاحبة TiDB: مهاجم ببيانات اعتماد مسروقة بقي داخل أنظمتها 28 يومًا ونسخ الكود المصدري
المغزى: قاعدة البيانات بقيت سليمة، لكن الحساب الذي يصل إليها لم يكن كذلك، وغياب السجلات قبل الحادثة هو ما يجعل الشركة حتى الآن غير قادرة على إخبار كل عميل بما تسرّب منه.
OpenCode تعلن اختراقًا مرتبطًا بهجوم distillation واسع طال 1.4% من مستخدمي Console
المغزى: أداة تعمل بمفتاح المستخدم نفسه تنقل الخطر إليه حين تخزّن هذا المفتاح على خوادمها، فيصبح أمان شركة وسيطة هو ما يفصل حسابه لدى مزوّد النموذج عن جهة تستهلكه على حسابه.
Meta تبلغ نحو 1,500 شخص بتسرب بياناتهم بعد دخول مهاجمين مستودعات GitHub خاصة عبر حساب موظف
المغزى: الكود المسروق لم يكن أخطر ما في الحادثة، بل البيانات الشخصية التي وُضعت في المستودع بالخطأ وبقيت في سجله، وهي ممارسة شائعة في أغلب الفرق.
اختراق السجل السكاني الدنماركي: كلمة مرور 123456 لدى الشركة الشريكة، وفاتورة كشفت الدخول
المغزى: النظام الحكومي لم يُخترق، بل دخل المهاجم من حساب ضعيف لدى شريك يملك صلاحية قانونية، ولم يكشفه نظام أمني بل رسوم البحث المتراكمة.
رئيس كوريا الجنوبية: الذكاء الاصطناعي استُخدم في اختراق سبع مؤسسات مالية سرّب بيانات 68 ألف شخص
المغزى: ما تغيّر ليس نوع الثغرة بل عدد من يقدر على استغلالها، فالاختراق الذي كان يحتاج مهارة نادرة صار يحتاج وقتًا وأداة تعمل بلا توقف.
مستخدمو تطبيق ASOS في بريطانيا يتلقون إشعارًا يحمل رسالة تهديد من مهاجمين يدّعون اختراق Snowflake
المغزى: من يصل إلى نظام الإشعارات في تطبيق يتكلم مع العملاء بصوت الشركة نفسها، وهذه الصلاحية كثيرًا ما تكون مفتاحًا واحدًا لا يراجعه أحد.
تسرّب 8.8 مليون قيد من السجل السكاني الدنماركي عبر صلاحية بحث منحتها الدولة لشركة خاصة
النظام لم يُخترق، بل خرجت البيانات من باب مفتوح بإذن رسمي. وكل شريك يملك مفتاح API إلى بيانات العملاء هو نسخة أخرى من قاعدة البيانات خارج سيطرة صاحبها.
اختراق Gyazo يطال نحو 23.62 مليون حساب و490 مليون سجل بيانات صور
الصورة الخاصة التي يحميها رابط يصعب تخمينه ليست خاصة فعلًا؛ فحين تُسرق قائمة المعرّفات يسقط الحاجز كله، ومعه النص الذي قرأته الخدمة من داخل الصور.
CrowdSec تكشف تسرب كودها الخاص عبر مكون مخترق من TanStack، بعد أربعة أشهر من الاختراق
توكن بصلاحية قراءة فقط يُعامل عادة على أنه غير خطر، لكن الكود المصدري نفسه قد يكون الخريطة التي تشرح لمن يقرؤه كيف يدخل.
تقرير Anthropic: عصابة باعت وصولًا رخيصًا إلى Claude لسرقة بيانات الدخول
الحسابات المشتركة والمفاتيح بنصف السعر منتشرة في المنطقة بسبب صعوبة الدفع ببطاقة أجنبية، وهي بالضبط الحلقة الضعيفة التي يستهدفها المهاجمون، والثمن يدفعه صاحب البيانات.
قاعدة Elasticsearch مرتبطة بفيتنام كشفت 220.8 مليون سجل سفر بأرقام جوازات
الباب الأمامي كان مغلقًا بكلمة مرور، والثاني مفتوحًا بالكلمة الافتراضية. وهذا ما يحدث حين تُتاح قاعدة بيانات من أكثر من مسار ويُحصَّن واحد منها فقط.
اختراق خدمة Cadence لدى JetBrains يكشف نسخة احتياطية من 2024 تضم مفاتيح AWS
النسخة الاحتياطية القديمة ليست مجرد نسخة من البيانات، بل نسخة من الأسرار التي كانت صالحة وقتها، وقد تظل صالحة ما دام أحد لم يغيّرها.
Trezor: اختراق شريك الشحن ShipMonk كشف بيانات 67,000 عميل إضافي منذ 2019
التأكيد المكتوب من المزوّد بأنه حذف البيانات ليس دليلًا على الحذف، والشركة مسؤولة عن بيانات عملائها لدى الأطراف الأخرى لا على خوادمها فقط.
خدمة Nexus تعرض 153 مليون صورة رخصة قيادة سُحبت عبر وصول مستمر لمدة عام
حين تُرسل منصات الـ KYC صور الهويات إلى طرف ثالث، يصبح أمان العملاء معلقًا بأمان شركة أخرى، والتسريب المستمر يعني أن الضرر كان جاريًا بينما العمل يسير كالمعتاد.
تسريب بيانات 8.7 مليون عميل في ثلاثة مطارات بريطانية معظمها من نموذج تسجيل الواي فاي
النظام الأضعف في أي شركة غالبًا ليس المنتج بل نموذج تسويقي منسي خارج مراجعات الأمان، يواصل جمع البيانات لسنوات.
هجوم سيبراني على CEVA Logistics يوقف 8 مخازن في أوروبا منذ 29 يوليو 2026
الرقم الذي يُقاس في هذه الحادثة ليس حجم الاختراق بل مدة التعافي، فالبضاعة موجودة في المخزن لكنها لا تتحرك لأن النظام الذي يحدد مكانها متوقف.
Metabase تعلن استغلال ثغرة zero-day بدرجة 10 من 10، وFramework وTally تبلّغان عملاءهما بتسريب
صلاحية المدير في أداة التحليلات تكشف بيانات الاتصال بكل قاعدة بيانات موصولة بها، فاختراق أداة تقرأ فقط قد يكشف قواعد بيانات لم يكن لها شأن بها.
اختراق مكتب تكنولوجيا المعلومات الفيدرالي السويسري عبر SharePoint وتسريب بيانات 200 حساب
الترقيع يغلق الباب لكنه لا يسترد المفتاح الذي أُخذ أثناء فتحه. وحين تُسرق machine keys يصبح تدويرها جزءًا أساسيًا من الاستجابة لا خطوة إضافية.
تسريب من SplitVPN يكشف 58 مليون سجل اتصال رغم إعلانها عدم الاحتفاظ بأي سجلات
عبارة «لا نحتفظ بسجلات» سياسة مكتوبة لا بنية تقنية، ولا يمكن التحقق منها من الخارج إلا بتدقيق مستقل منشور أو بتصميم يجعل التسجيل مستحيلًا من الأساس.
CareCloud تبدأ إخطار أكثر من 345 ألف شخص بسرقة سجلاتهم الطبية بعد اختراق وقع في مارس
الفترة التي يكون فيها المتضرر أقدر على التصرف هي نفسها الفترة التي لا يعلم فيها بالاختراق، وبياناته غالبًا لدى طرف ثالث لم يتعاقد معه أصلًا.
ثغرة يوم-صفر في Oracle PeopleSoft تطال أكثر من 100 مؤسسة قبل نشر التحذير الرسمي
حين يبدأ الاستغلال قبل وجود أي إصلاح، يتساوى الفريق الذي يحدّث في اليوم نفسه مع الفريق الذي يؤجل شهرًا، ويبقى الدفاع الوحيد قرارًا شبكيًا اتُّخذ قبل سنوات.
Bank of Baroda يؤكد تسرّب بيانات عملاء عبر حساب بريد موظف مخترق
صندوق البريد يتحول مع الوقت إلى نسخة ثانية من أرشيف المستندات بلا صلاحيات ولا سجلات ولا مدة حذف، ولذلك قد يكفي حساب واحد مخترق دون المساس بالأنظمة الأساسية.
تسريب قاعدة بيانات Paidwork يكشف بيانات أكثر من 23 مليون مستخدم بعد 4 أشهر من الاختراق
المستخدم ظل آمنًا في تصوره وغير آمن في الواقع لأربعة أشهر، والفارق بين الحالتين لم يكن بيده بل بيد شركة تقرر متى تتكلم.