أكدت شركة iFood تسريب بيانات 1.2 مليون مستخدم في حادثة أمنية معلوماتية وقعت في ديسمبر 2025. وأعلنت الشركة رسمياً، الأربعاء 3 يونيو 2026، أن الحادثة كانت معزولة وتم احتواؤها بسرعة بموجب بروتوكولاتها الأمنية. وكشفت أن البيانات المسربة تمثل نحو 2% من إجمالي قاعدة عملائها. وجاء الإفصاح عبر بيان رسمي نشره عملاق توصيل الطعام.
تفاصيل البيانات المسربة
شمل التسريب أسماء المستخدمين الكاملة وأرقام CPF (الرقم التعريفي للفرد في البرازيل). وأكدت الشركة عدم تعرض بيانات الدخول مثل كلمات المرور للاختراق. كما لم تتعرض معلومات وسائل الدفع أو السجلات المالية أو البيانات المصرفية لأي تسريب. وأضافت أنه لا توجد أدلة على وصول غير مصرح به إلى أي معاملات تمت على المنصة. وأكدت أن الحادثة لم تؤثر على أمن الحسابات ذاتها.
الإجراءات المتخذة وفق قانون حماية البيانات
أفادت iFood في بيانها أنها تتبع إجراءات حماية تتماشى مع قانون حماية البيانات العامة (LGPD). وأكدت أن الحادثة عولجت وفقاً للتشريعات السارية. وجاء قرار عدم إخطار المستخدمين المتضررين بناءً على تقييم مفاده أن الحادثة لا تمثل خطراً أو ضرراً ذا أهمية. وأشارت الشركة إلى معايير تنظيمية حددتها الهيئة الوطنية لحماية البيانات (ANPD) لتبرير هذا الموقف. وأضافت أن جميع الاتصالات الرسمية تتم حصراً عبر قنواتها المعتمدة.
الجدل حول عدم إخطار المستخدمين
القرار أثار نقاشاً حول مدى شفافية الشركات في التعامل مع خروقات البيانات. فرغم أنها التزمت حرفياً بنصوص القانون، إلا أن الخبراء يرون أن إخفاء الإخطار الفردي قد يحرم المستخدمين من فرصة حماية أنفسهم. فالـ CPF هو معلومة حساسة يمكن استغلالها في عمليات احتيال متطورة. وأكدت الشركة أنها لم تخطر الهيئة الوطنية بحسب ما ورد في البيان، لكنها لم تحسم ما إذا كانت ستخطر الأفراد المعنيين مستقبلاً.
تحذيرات من هجمات الهندسة الاجتماعية
يرى مختصو الأمن السيبراني أن تسريب الأسماء وأرقام CPF يفتح الباب أمام هجمات الهندسة الاجتماعية. فهذه البيانات تجعل من السهل على المحتالين انتحال شخصية الشركة أو المؤسسات الرسمية. ورغم أن كلمات المرور والبيانات المالية لم تسرب، إلا أن وجود الـ CPF وحده يعد مادة خصبة للاحتيال. ونصحت الشركة عملاءها بالحذر من الرسائل غير الرسمية التي قد تنتشر حول الحادثة. وشددت على أن أي تواصل شرعي سيأتي فقط من قنواتها الرسمية.
غياب المعلومات عن مصدر الاختراق
لم تقدم iFood أي تفاصيل حول مصدر التسريب أو الجهات المسؤولة عن الهجوم. وظل البيان الرسمي خالياً من الإشارة إلى ما إذا تم إبلاغ السلطات المختصة. وأثار هذا الغموض مزيداً من التساؤلات حول مدى جدية التحقيقات الداخلية. فبدون تحديد الثغرة، يظل المستخدمون في حالة من عدم اليقين. ويعزز ذلك المخاوف من أن تكون البيانات قد وصلت إلى شبكات إجرامية متخصصة.
الحادثة تضع الضوء على الفجوة بين النص القانوني والممارسة العملية في حماية البيانات. فبينما تركز الشركات على تجنب العقوبات، يظل المستخدمون عُرضة لتبعات لا تظهر فوراً. وغياب التواصل المباشر يترك المتضررين دون إرشادات واضحة حول كيفية التصرف. وقد يؤدي هذا إلى تآكل الثقة في منصات التوصيل الرقمية. ويبقى ملف التسريب مفتوحاً في انتظار أي تطورات بشأن تحقيقات الجهات الرقابية.