خرق بيانات تطبيق SRA التابع لـ WFP في غزة عام 2026

أكد WFP لـ The New Humanitarian أن جهات غير مخولة وصلت إلى تطبيق Self-Registration Application المستخدم في فلسطين وحصلت على بيانات شخصية. وقال البرنامج إن الحادث وقع في 14 مايو، وإنه أوقف تشغيل المنصة واحتوى الخرق وفتح تحقيقًا. ويكفي هذا التصريح لتصنيف الواقعة على أنها خرق بيانات مؤكد، لا مجرد ثغرة محتملة أو ادعاء من مهاجم.

أبلغ الإشعار الرسمي على Telegram مقدمي الطلبات بأن جهات غير مخولة ربما حصلت على أسمائهم وأرقام هوياتهم وأرقام هواتفهم وتفاصيل مواقعهم. ولا تحدد المعلومات المتاحة للعامة هوية المهاجم، أو مسار الوصول الأولي، أو الثغرة المستغلة، أو الطريقة التقنية المستخدمة لاستخراج البيانات. لذلك لا ينسب هذا السجل الحادث إلى أي مجموعة أو حكومة أو عائلة برمجيات خبيثة أو أسلوب لاستغلال الثغرات.

فئات البيانات المؤكدة هي أسماء مقدمي الطلبات وأرقام هوياتهم وأرقام هواتفهم المحمولة ومعلومات مواقعهم أو أحيائهم. ويمكن لهذه الحقول مجتمعة أن تكشف هوية الأشخاص الذين يتلقون مساعدات إنسانية أو يسجلون للحصول عليها، وأن تشير إلى المناطق التي يقيمون فيها.

لم يحدد بيان WFP ما إذا كانت جميع السجلات التي جرى الوصول إليها تتضمن الحقول نفسها، أو ما إذا كان كل سجل قد نُسخ. كما أن عبارة «نحو 600,000 أسرة» لا تعني أن لكل فرد في كل أسرة سجلًا منفصلًا. ورغم تأكيد فئات البيانات، لم يُفصح عن عدد صفوف البيانات، أو عدد الأشخاص دون احتساب التكرار، أو نسبة استخراج البيانات من كل حقل؛ لذلك يحافظ هذا السجل على التمييز بين هذه المقاييس.

الرقم الذي نقلته The New Humanitarian عن WFP هو نحو 600,000 أسرة فلسطينية في غزة. وقد تضم الأسرة عدة أشخاص، بينما قد تُقدَّم بعض الطلبات عبر شخص واحد يمثل جهة الاتصال للأسرة. ولم تنشر المنظمة إجماليًا قابلًا للتحقق لعدد الأشخاص المتأثرين أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادث لم يخلّف أثرًا، بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا.

يُذكر نطاق التأثر على مستوى الأسر بصورة منفصلة في العنوان والنص وملاحظات المصادر. وإذا نشر WFP لاحقًا عددًا للأشخاص أو السجلات بعد إزالة التكرارات، فيمكن تحديث الحقول الرقمية استنادًا إلى تلك الأدلة الجديدة.

يقتصر الخرق على تطبيق Self-Registration Application الذي قال WFP إنه كان يُستخدم في فلسطين وحدها. وذكر البرنامج أن منصة SCOPE لإدارة المساعدات وأنظمة WFP الأخرى لم تتأثر. لذلك لا ينبغي فهم هذا السجل على أنه يشير إلى اختراق قاعدة بيانات المستفيدين العالمية التابعة لـ WFP، أو السجلات في بلدان أخرى، أو البنية التحتية للبرنامج بأكملها.

لا يحدد البيان العلني مزود استضافة SRA، أو مكوناته البرمجية، أو أي دور لطرف ثالث. ومعرفة اسم التطبيق لا تثبت مسؤولية خدمة سحابية أو مورّد بعينه. ولأن السبب التقني الجذري وتسلسل المسؤولية لم يُكشف عنهما، يقتصر هذا السجل على نطاق التطبيق المؤكد وفئات البيانات والتأثير الجغرافي.

قال WFP إنه أوقف تشغيل منصة SRA مؤقتًا بعد الحادث، واحتوى الخرق، وعزز التدابير الأمنية. كما فتح البرنامج تحقيقًا وحذّر المجتمع المتأثر عبر القنوات الرسمية. وتهدف إجراءات الاستجابة المعلن عنها إلى الحد من تداعيات الحادث؛ ولا تعني أن التحقيق حدد هوية المهاجم أو الطريقة التقنية الدقيقة.

قال البرنامج إن مقدمي الطلبات لا يحتاجون إلى التسجيل مجددًا، وإن المساعدات الغذائية والنقدية ستستمر. وحُذّر المستخدمون من أشخاص ينتحلون صفة WFP، ومن رسائل احتيالية بشأن المساعدات، ومن روابط تطلب معلومات شخصية. وقد يؤدي الجمع بين بيانات الهوية والهاتف والموقع إلى زيادة مخاطر التصيد الموجّه والهندسة الاجتماعية والاحتيال الذي يستغل موضوع المساعدات، مع أنه لم يُعلن عن أي حالة محددة لإساءة استخدام البيانات.

لا يورد هذا السجل إجمالي عدد الأشخاص دون احتساب التكرار، أو إجمالي عدد صفوف البيانات، أو عدد الأفراد الذين تمثلهم كل أسرة. ويعكس تصنيف الحساسية عند المستوى الحرج الجمع بين بيانات مؤكدة تخص الهوية والموقع في سياق المساعدات الإنسانية.

الخلاصة المؤكدة هي أن WFP أبلغ عن أخذ أسماء وأرقام هوية وأرقام هواتف ومعلومات أحياء أو مواقع من نظام SRA المخصص لفلسطين؛ وأنه أوقف تشغيل التطبيق واحتوى الحادث وقال إن أنظمة WFP الأخرى لم تتأثر. ولا تزال هوية المهاجم، وطريقة الدخول التقنية، وإجمالي عدد الأشخاص دون احتساب التكرار، ومدى شمول الحقول في كل سجل أمورًا مجهولة. وتحدد هذه الجوانب غير المحسومة حدود ما تدعمه الأدلة، من دون أن تقلل من خطورة الحادث المؤكد.