قامت شركة MasterCard الدولية لبطاقات الدفع بإصلاح خطأ واضح في إعدادات خادم اسم المجال الخاص بها والذي سمح لأي شخص بتسجيل أسماء النطاقات التي بها أخطاء إملائية لاعتراض أو تحويل حركة مرور شبكة MasterCard. استمر هذا الخطأ لمدة 5 سنوات، بدءًا من 30 يونيو 2020، وانتهاء في 14 يناير 2025. وكانت المشكلة الرئيسية هي أن مهندسي Mastercard كتبوا بطريق الخطأ akam.net باسم akam.ne أثناء التكوين.
اسم النطاق NE هو اسم نطاق المستوى الأعلى على مستوى الدولة (ccTLD) للدولة الإفريقية النيجر. وبعد اكتشاف هذا الخطأ، أنفق الباحث 300 دولار أمريكي لتسجيل اسم النطاق هذا من النيجر على نفقته الخاصة، ومن ثم يمكنه تلقي حركة المرور المحولة بواسطة Mastercard.
يعتمد اسم النطاق الرسمي لشركة MasterCard، MasterCard.com، على خمس مجموعات من خوادم DNS من مزود خدمة البنية التحتية للإنترنت Akamai، والتي يعد akam.net واحدًا منها، وقد وضحها مهندسو MasterCard باسم akam.me.
من الناحية النظرية، يجب أن تقوم المجموعات الخمس من الخوادم باستقصاء حل حركة المرور، ولكن في الواقع يوفر خادم DNS عادةً تحليل حركة المرور الرئيسي للمجموعة الأولى، ويتم استخدام المجموعات التالية كنسخ احتياطية. حتى لو واجه أحدهم مشكلة، فلا يهم، فسوف يتحول تلقائيًا إلى DNS آخر لحلها.
لم يكن لشركة Mastercard أي تأثير على الأعمال الفعلية بعد تعيين مجموعة من تكوين DNS الخاص بها على akam.ne. والسبب هو أن اسم النطاق هذا كان غير صالح في السابق وبالتالي لن يشارك في الحل الفعلي حتى يقوم الباحثون بتسجيل اسم النطاق هذا.
بعد أن يقوم الباحث بتسجيل اسم النطاق، نظريًا، يمكن للباحث تسجيل اسم المجال كخادم DNS، ومن ثم توجيه MasterCard.com إلى عنوان IP الخاص بالخادم الخاص به. ثم هناك العديد من العمليات الضارة التي يمكن تنفيذها، مثل التقدم بطلب للحصول على شهادة TLS لاسم النطاق بغرض الاختراق.
الأمر المضحك هو أنه بالتأكيد ليست Mastercard فقط هي التي ترتكب مثل هذه الأخطاء ذات المستوى المنخفض، لأن الباحثين قاموا بتسجيل akam.ne كخادم DNS، ثم تلقوا أكثر من 100000 طلب DNS كل يوم، مما يعني أنه لا يزال هناك عدد كبير من الشركات التي ترتكب أخطاء منخفضة المستوى في كتابة اسم مجال خادم DNS بشكل خاطئ عند استخدام خدمات Akamai.
وبما أن اسم النطاق قد تم تسجيله بالفعل من قبل الباحث، فلن تكون هناك مشكلة كبيرة، لذلك أعلن الباحث عن الخطأ على موقع LinkedIn الخاص به. وسرعان ما اعترفت ماستركارد بالخطأ وأصلحته، مؤكدة أن المشكلة ليس لها أي تأثير.
ومع ذلك، فإن فشل الباحث في النشر أولاً تسبب في عدم الرضا عن ماستركارد. أرسلت Mastercard رسالة إلى الباحث من خلال Bugcrowd، وهي منصة خارجية لأبحاث الثغرات الأمنية والمكافآت. وأشار Bugcrowd إلى أن نهج الباحث لا يتماشى مع ممارسات الأمن الأخلاقي، كما نقل طلب ماستركارد بحذف المنشور.
والباحث الذي اكتشف المشكلة أخيرًا هو فيليب كاتوريجلي، مؤسس شركة الأمن السيبراني Seralys. كما ذكّر فيليب كاتوريجلي الجميع بعدم تجاهل المخاطر، وعدم اتباع Mastercard، وعدم السماح لفريق التسويق الخاص بك بالتعامل مع مشكلات الكشف الأمني.