줌줌투어 تكشف عن حادثتي تسريب بيانات شخصية

أعلنت منصة حجوزات السفر 줌줌투어 في 6 نوفمبر 2026، عبر إشعار باسم الرئيس التنفيذي 조현수، تفاصيل حادثتي تسريب بيانات شخصية وتعاملها معهما، بحسب ما نقله موقع dailysecu.com.

وفي الحادثة الأولى، قال الشركة إن مهاجمًا خارجيًا سجّل عضوية في المنصة اعتبارًا من الساعة 3:30 مساءً يوم 4 نوفمبر 2026، ثم استغل ثغرة أمنية في بعض وظائف الخدمة للاطلاع بشكل غير قانوني على بيانات عملاء ومرشدين آخرين. وشملت البيانات المسربة أسماء العملاء وبريدهم الإلكتروني وأرقام هواتفهم، وبيانات المسافرين المدخلة عند الحجز، وأسماء المرافقين وأعمارهم وجنسهم، ومبالغ الدفع، وبيانات الطلب من اسم المنتج وتاريخ الرحلة وعدد الأشخاص. وأوضحت الشركة أن بعض العملاء قد تكون ملفات القسائم ومحادثات مركز خدمة العملاء الخاصة بهم قد تسربت أو يحتمل تسربها. أما بيانات المرشدين فقد شملت الاسم واللقب والصورة والنبذة التعريفية وإجابات المقابلات، إضافة إلى البريد الإلكتروني ورقم الهاتف ومعرّف KakaoTalk لبعض المرشدين.

وأضافت الشركة أن الهجوم نفسه أدى إلى ظهور طلبات إلغاء لم يطلبها العملاء على بعض الطلبات، وأنه تمت استعادة جميعها في اليوم ذاته. وأكدت أنها أوقفت اتصال المهاجم ومسارات التسريب، وجمّدت الحساب المستخدم في الهجوم، وأبلغت هيئة الإنترنت الكورية KISA ولجنة حماية المعلومات الشخصية للتعاون في التحقيق.

خلل في صفحة التقييمات

أما الحادثة الثانية فنتجت عن خطأ تطويري في صفحة التقييمات، إذ لم تظهر بيانات الحجز على الشاشة لكنها كانت مضمّنة في بيانات الصفحة، ما أتاح لزوار الموقع ومحركات البحث الوصول إليها. وامتدت فترة التعرض أساسًا من 6 نوفمبر 2024 إلى 4 نوفمبر 2026، بينما تعرضت أرقام هواتف الحاجزين للكشف من 13 نوفمبر 2024، وأسماء كاتبي التقييمات وبيانات اتصال البائعين ومعلوماتهم التجارية حتى 5 نوفمبر 2026.

وذكرت الشركة أنها حذفت بيانات الحجز من صفحة التقييمات في اليوم نفسه الذي رصدت فيه المشكلة، وأخفت أسماء الكتّاب في اليوم التالي، وطلبت من محركات البحث والأرشيف الرقمي حذف المحتوى. وفي 7 نوفمبر أضافت إشعارًا بأن مسارات ملفات الصور الشخصية لكاتبي التقييمات كانت ضمن البيانات المكشوفة أيضًا.

وأكدت 줌줌투어 أن أرقام الهوية الوطنية وجوازات السفر وتواريخ الميلاد وأرقام البطاقات والحسابات البنكية وكلمات المرور لم تُسرّب، فيما لم تُعلن إجمالي عدد المتأثرين ولا ما إذا كان ثمة تداخل بين المتأثرين في الحادثتين. وكانت روابط ملفات القسائم المؤقتة صالحة لمدة 15 دقيقة وانتهت جميعها في 4 نوفمبر.