تسرّب بيانات BitRewards (2020)

أُخذ في الاعتبار، خلال تقييم التحقق، ظهور اسم BitRewards والنطاق bitrewards.com وتاريخ يوليو 2020 وعدد يزيد على 427,000 حساب، إلى جانب حقول البريد الإلكتروني والاسم والهاتف وكلمة المرور المجزّأة، معًا ضمن الحادثة نفسها. يكتسب أمان الحساب أهمية خاصة في منصات مكافآت العملات المشفّرة وبرامج الولاء، إذ قد يستخدم المستخدمون البريد الإلكتروني أو رقم الهاتف نفسه لحسابات مختلفة في منصات التداول والمحافظ والتسوّق والمكافآت. واقتصر التوثيق على حقول الحساب المدعومة، ولم يُوسَّع نطاقه بما يوحي بوجود وصول إلى الأصول المالية.

ينشأ عن تسرّب بيانات BitRewards مخاطر على المستخدمين، منها الاستيلاء على الحسابات والتصيّد المرتبط بالعملات المشفّرة والاحتيال في نقاط الولاء. ويسهّل عنوان البريد الإلكتروني ورقم الهاتف الوصول إلى المستخدم عبر البريد الإلكتروني والرسائل النصية على حد سواء. كما يتيح حقل الاسم تخصيص الرسالة. ويزيد حقل كلمة المرور المجزّأة من خطر محاولة استخدام كلمات المرور نفسها أو كلمات مرور ضعيفة على خدمات أخرى. وقد يُعدّ المهاجمون رسائل زائفة تتعلق بالمطالبة بمكافآت أو سحب نقاط أو ربط محافظ أو أمان الحساب أو التحقق من الحملات.

تُعدّ فئات البيانات الظاهرة في هذه الحادثة حساسة لارتباطها بسياق العملات المشفّرة وبرامج المكافآت. ولم يُعتبر السجل محتويًا على مفتاح خاص أو معلومات دفع كاملة، إلا أن حقول البريد الإلكتروني والهاتف وتجزئة كلمة المرور قد تكفي لاستهداف المستخدم. وقد يؤدي استخدام كلمات مرور ضعيفة في البيانات التي تحتوي على كلمات مرور مجزّأة، أو كلمات مرور مستندة إلى كلمات القاموس، أو كلمات مرور ظهرت في تسرّبات أخرى، إلى هجمات تخمين بيانات الحسابات. ويكون الأشخاص الذين يستخدمون بيانات تسجيل الدخول نفسها عبر منصات مختلفة أكثر عرضة للخطر على وجه الخصوص.

ينبغي لمن لديهم حساب على BitRewards أو يستخدمون عنوان البريد الإلكتروني نفسه في برامج العملات المشفّرة أو التسوّق أو المكافآت إعادة تعيين كلمة المرور في الحساب المعني وفي جميع الحسابات التي تُستخدم فيها كلمة المرور نفسها. ويجب إعطاء الأولوية لفحص حسابات البريد الإلكتروني ومنصات تداول العملات المشفّرة والمحافظ والتسوّق والدفع ووسائل التواصل الاجتماعي. كما ينبغي تفعيل المصادقة متعددة العوامل حيثما أمكن، وإنهاء الجلسات القديمة، ومراجعة تنبيهات تسجيل الدخول غير المتوقعة. ويجب التحقق من روابط سحب المكافآت أو ربط المحافظ أو التحقق من الحساب عبر قناة مستقلة.

من منظور المؤسسات، يبيّن تسرّب بيانات BitRewards ضرورة حماية أمان الحساب والتواصل مع العملاء معًا في برامج المكافآت والولاء. وينبغي ألا تُجري فرق الدعم تغييرات على الحسابات اعتمادًا على معلومات البريد الإلكتروني أو الهاتف أو الاسم وحدها. ويلزم إجراء تحقق إضافي عند تحويل النقاط وتغيير البريد الإلكتروني وتحديث رقم الهاتف واسترداد الحساب والتحقق من الحملات. وينبغي للمنصات المرتبطة بالعملات المشفّرة أو المكافآت تقديم تحذيرات أمنية واضحة للمستخدمين وشرح كيفية تمييز روابط المحافظ الزائفة ورسائل سحب النقاط الزائفة.

اقتصر سجل تسرّب بيانات BitRewards على الحقول المدعومة ضمن النطاق المحدد. وقد سُجّل 427,133 حسابًا، ولم تُعتمد أعداد الصفوف الأعلى التي ظهرت مباشرةً بوصفها عددًا للمستخدمين الفريدين. ولم يتضمن السجل ادعاءات بشأن المفاتيح الخاصة للمحافظ أو بطاقات الدفع أو الحسابات المصرفية أو بيانات الهوية الرسمية. ومع ذلك، فإن الجمع بين البريد الإلكتروني والهاتف والاسم وكلمة المرور المجزّأة يشكّل خطرًا بالغًا على أمان الحساب. وقد يدفع سياق مكافآت العملات المشفّرة المهاجمين إلى إظهار رسائلهم بصورة أكثر إغراءً وإلحاحًا.

صُنّف مستوى الخطر العام بأنه حرج، لأن تسرّب بيانات BitRewards يجمع بين حقول معرّف الحساب والهاتف وكلمة المرور المجزّأة وسياق مكافآت العملات المشفّرة. وتتمثل الخطوات الأكثر عملية للمستخدمين الذين يبحثون عن معلومات حول تسرّب بيانات BitRewards في عدم إعادة استخدام كلمة المرور نفسها، وتفعيل تحقق إضافي على حسابات البريد الإلكتروني والعملات المشفّرة، والتحقق بصورة مستقلة من روابط المكافآت أو المحافظ، وعدم الوثوق بطلبات تقديم الرموز الواردة عبر الهاتف، ومراجعة الرسائل المُعدّة باستخدام معلومات قديمة عن الحساب بعناية. وقد أُعدّ التقرير لشرح الأثر الفعلي على أمان الحساب دون إضافة ادعاءات مالية غير مدعومة.