خرق بيانات bigbasket في 2020

فئات البيانات التي تم التحقق من انكشافها هي تواريخ الميلاد، وعناوين البريد الإلكتروني، وعناوين IP، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية. يمكن لهذا المزيج أن يساعد المهاجمين على استخدام الاسم الحقيقي وتفاصيل الاتصال وسياق التوصيل لإنشاء رسائل مزيفة بشأن الشحنات أو إلغاء الطلبات أو استرداد الأموال أو تحديث العناوين. لم تكن كلمات المرور مخزنة كنص صريح؛ بل استُخدمت صيغة التجزئة القديمة Django(SHA-1)، التي لا تفي بالمتطلبات الحديثة لتخزين كلمات المرور ولا تلغي خطر تخمين كلمات المرور الضعيفة دون الاتصال بالخدمة. ولا تُعد بطاقات الدفع والحسابات المصرفية من فئات البيانات التي تم التحقق من انكشافها في هذا السجل.

التاريخ المعتمد للخرق هو 14 أكتوبر 2020. وقرب نهاية أكتوبر 2020، عُرضت للبيع قاعدة بيانات قيل إن حجمها يبلغ نحو 15 GB وتحتوي على ما يقارب 20 مليون صف من بيانات العملاء. وفي نوفمبر 2020، قالت bigbasket إنها تقيّم احتمال وقوع خرق للبيانات، وتحقق في نطاقه بمساعدة مختصين في الأمن، وإنها قدمت شكوى إلى وحدة مكافحة الجرائم الإلكترونية في بنغالورو. وقالت الشركة أيضًا إنها لا تخزن بيانات مالية أو أرقام بطاقات. ونُشرت البيانات على نطاق أوسع في أبريل 2021، وتحقق التحليل المعتمد من وجود 24,500,011 عنوان بريد إلكتروني فريد. التقدير الأولي البالغ نحو 20 مليون صف وعدد عناوين البريد الإلكتروني الفريدة البالغ 24,500,011 لا يمثلان المقياس نفسه ولا المرحلة نفسها من التحليل. ولم يُكشف علنًا عن الطريقة التقنية الدقيقة التي استُخدمت للدخول.

يواجه العملاء الذين كان لديهم حساب لدى bigbasket وشاركوا رقم هاتف أو عنوان توصيل خلال الفترة المتأثرة الخطر الأكثر مباشرة. وكل من أعاد استخدام كلمة المرور نفسها في حسابات البريد الإلكتروني أو التسوق أو الدفع أو العمل يكون أكثر عرضة لمحاولات تسجيل الدخول باستغلال إعادة استخدام كلمات المرور. ويمكن أن يجعل الجمع بين الاسم ورقم الهاتف وتاريخ الميلاد والعنوان مكالمات دعم العملاء المزيفة والرسائل المتعلقة بالتوصيل أكثر إقناعًا. ولا يكشف عنوان IP وحده عن الموقع الدقيق، لكنه قد يوفر سياقًا يساعد على الربط بين الحسابات والاستهداف عند دمجه مع حقول أخرى في الملف الشخصي.

إذا كانت كلمة مرور استُخدمت لدى bigbasket خلال فترة الخرق لا تزال مستخدمة في أي حساب، فغيّرها فورًا وتوقف عن استخدام الصيغ المشابهة لها. أمّن حساب البريد الإلكتروني أولًا، وراجع الجلسات النشطة وخيارات استرداد الحساب، وفعّل المصادقة متعددة العوامل حيثما كانت مدعومة. لا تفتح الروابط المرسلة بذريعة طلب أو قسيمة أو استرداد أموال أو تصحيح دفعة أو تحديث عنوان؛ بل افتح بنفسك الموقع الذي تعرفه أو التطبيق الرسمي. وجود اسمك الحقيقي أو رقم هاتفك أو عنوانك في رسالة لا يثبت أن مرسلها موثوق، ويجب ألا تشارك رموز التحقق المستخدمة لمرة واحدة مطلقًا.

استخدم مديرًا لكلمات المرور لإنشاء كلمة مرور مختلفة لكل خدمة، وافصل حسابات التسوق باستخدام عناوين بريد إلكتروني بديلة مخصصة لها متى كان ذلك عمليًا. احذف عناوين التوصيل وأرقام الهواتف من الحسابات القديمة التي لم تعد تستخدمها، واحرص على تحديث تفاصيل استرداد الحساب. أبقِ تنبيهات تسجيل الدخول مفعّلة لحسابات البريد الإلكتروني والحسابات المالية، وتحقق عبر قناة مستقلة من الإشعارات غير المتوقعة بشأن إعادة تعيين كلمات المرور أو الطلبات. ولأن التفاصيل التي يصعب تغييرها، مثل العناوين وتواريخ الميلاد، قد تُستخدم في الهندسة الاجتماعية بعد سنوات، فلا تعتبر تغيير كلمة المرور مرة واحدة كافيًا لإنهاء مخاطر هذا الحادث.

تحقق من وجود بياناتك في هذا السجل باستخدام عنوان البريد الإلكتروني الذي استخدمته لدى bigbasket. وجود تطابق يعني أن العنوان وارد في مجموعة بيانات bigbasket المعتمدة؛ ولا يعني أن معلومات بطاقات الدفع أو المعلومات المصرفية قد انكشفت. إذا كانت النتيجة إيجابية، فاستبدل كلمة المرور القديمة في كل حساب أعدت استخدامها فيه، وأعطِ الأولوية لأمان البريد الإلكتروني، وانتبه لعمليات الاحتيال التي تتخذ من التوصيل ذريعة. وإذا كانت النتيجة سلبية، فتذكر أنها تخص مجموعة البيانات هذه وحدها، ولا تستبعد انكشاف بياناتك في خروقات أخرى.