خرق بيانات Bukalapak

احتوت مجموعة البيانات الموثّقة على عناوين بريد إلكتروني وأسماء مستخدمين وعناوين IP وأسماء وقيم تجزئة كلمات المرور المحمية باستخدام bcrypt وSHA-512 مع التمليح. لا يوجد دليل على توزيع كلمات مرور بنص صريح، لكن استخدام خوارزميات تجزئة قوية لا يزيل المخاطر الناجمة عن كلمات المرور الضعيفة أو المعاد استخدامها. وزعمت إعلانات في المنتديات أيضاً وجود حقول مثل العناوين وتواريخ الميلاد وأرقام الهواتف، لكن هذه الحقول لم تُدرج لعدم ثبوتها بما يكفي ضمن فئات البيانات المعتمدة. ويعبّر الرقم 13,369,666 عن عدد عناوين البريد الإلكتروني الفريدة؛ ولا يمثل إجمالي عدد الصفوف، أو جميع مستخدمي Bukalapak، أو عدد المتأثرين بكل حقل.

يتعلق السجل ببيانات نسخ Bukalapak الاحتياطية التي تعود إلى الفترة المنتهية في 23 أكتوبر 2017. اكتُشفت الحادثة في مارس 2019، وأُضيفت إلى فهارس خروقات البيانات العامة في أبريل 2019. لم تُؤكَّد طريقة الوصول الأولي أو الثغرة المستغلة أو النظام المحدد الذي أُخذت منه النسخة الاحتياطية، لذلك لا يُعرض أي مسار هجوم مفصّل على أنه حقيقة ثابتة. وفي مايو 2020، فُسّر ظهور نحو 13 مليون سجل من Bukalapak مجدداً على أنه حادثة جديدة. وقالت الشركة إن تحقيقها خلص إلى أن التقارير المتداولة تتعلق بمحاولة العام السابق، وإنه لم يقع خرق جديد. أما مجموعة البيانات المنفصلة التي تضم 91 مليون سجل، والتي أُبلغ عنها في الفترة نفسها تقريباً، فكانت تخص منصة تجارة إلكترونية إندونيسية أخرى، ويجب عدم إضافتها إلى إجمالي Bukalapak.

يتعرض للخطر الأكبر من كان لديهم حساب على Bukalapak قبل أواخر 2017 وأعادوا استخدام كلمة المرور نفسها في خدمات أخرى. وقد يظل من أغلق حسابه أو توقف عن استخدامه منذ سنوات عرضة للخطر، لأن عنوان البريد الإلكتروني واسم المستخدم وقيمة تجزئة كلمة المرور يمكن أن تظل متداولة دون تغيير. وتكون كلمات المرور القصيرة أو المتوقعة أو المستندة إلى كلمات القاموس أضعف في مواجهة التخمين دون اتصال، حتى عندما تكون محمية باستخدام bcrypt أو SHA-512 مع التمليح. وتزداد المخاطر إذا كانت كلمة المرور نفسها تحمي حساب البريد الإلكتروني، إذ قد يتيح الوصول إلى البريد الاطلاع على روابط إعادة تعيين كلمات المرور لخدمات عديدة. وتكون السجلات التي تحتوي على اسم وعنوان IP أكثر فائدة في التصيّد الموجّه الذي يشير إلى موقع جغرافي أو نشاط تسوق سابق. ولا يعني العثور على تطابق أن بطاقات الدفع أو الحسابات المصرفية أو وثائق الهوية قد انكشفت؛ فهذه الحقول ليست ضمن فئات البيانات الموثّقة.

إذا كنت تتذكر كلمة المرور التي استخدمتها في Bukalapak عام 2017، فحدّد جميع الحسابات التي لا تزال تستخدم كلمة المرور نفسها أو كلمة مشابهة. ابدأ بحسابات البريد الإلكتروني والخدمات المصرفية والتسوق والتواصل الاجتماعي، وأنشئ كلمة مرور فريدة وطويلة لكل خدمة؛ فاستخدام مدير كلمات مرور موثوق يسهّل التخلص من إعادة استخدام كلمات المرور. فعّل التحقق بخطوتين على Bukalapak وحساب البريد الإلكتروني، ثم راجع الجلسات النشطة والأجهزة المتصلة. وافحص عنوان البريد الإلكتروني المخصص للاسترداد ورقم الهاتف وقواعد إعادة توجيه الرسائل بحثاً عن تغييرات لا تعرف مصدرها. لا تستجب لرسالة تتخذ من طلب شراء على Bukalapak أو استرداد مبلغ أو دفعة لبائع أو تعويض عن الخرق ذريعة لطلب كلمة مرور أو رمز يُستخدم لمرة واحدة أو دفعة مالية. افتح التطبيق أو اكتب العنوان الرسمي بنفسك بدلاً من اتباع الرابط المرفق. وإذا ظهر تنبيه بمحاولة تسجيل دخول فاشلة، أو إعادة تعيين غير متوقعة لكلمة المرور، أو إشعار بجهاز جديد، فغيّر كلمة المرور المعنية فوراً وأنهِ الجلسات الأخرى. احتفظ بتاريخ أي تواصل مشبوه وبيانات مرسله، وأبلغ مقدم الخدمة عنه.

قد تظل بيانات الاعتماد القديمة المأخوذة من النسخ الاحتياطية متداولة لسنوات، لذا ينبغي ألا تنتهي الحماية عندما يتراجع الاهتمام بالحادثة. استخدم تقارير الأمان في مدير كلمات المرور لاستبدال كلمات المرور المعاد استخدامها أو الضعيفة أو التي سبق انكشافها، وفق جدول منتظم. تعامل مع حساب البريد الإلكتروني باعتباره محور هويتك الرقمية، واحمه بكلمة مرور قوية وتحقق بخطوتين وخيارات استرداد محدّثة. وإذا كنت تستخدم اسم مستخدم واحداً عبر منصات عديدة، فتذكّر أن المهاجمين قد يربطون تلك الحسابات بعضها ببعض. ولا تصبح رسالة متعلقة بالتسوق موثوقة تلقائياً لمجرد أنها تذكر اسماً أو تفصيلاً من تفاصيل الطلب بصورة صحيحة؛ تحقّق منها بصورة مستقلة بالرجوع إلى سجل الطلبات في التطبيق. وقبل إغلاق حساب غير مستخدم، أزل وسائل الدفع المحفوظة والتطبيقات المتصلة وحقول الملف الشخصي غير الضرورية. وتحتاج سياسات الاحتفاظ بالنسخ الاحتياطية والوصول إليها إلى الحماية نفسها التي تحتاجها أنظمة الإنتاج. وعندما يظهر ادعاء آخر بشأن Bukalapak، قارن تاريخه وإجمالي الحسابات الفريدة والحقول المكشوفة لتحديد ما إذا كان يتعلق بحادثة جديدة أم بإعادة تداول بيانات قديمة.

ابحث في LeakData.io باستخدام عنوان البريد الإلكتروني الذي استخدمته مع Bukalapak قرابة عام 2017 للتحقق مما إذا كان يطابق هذا السجل. يدل التطابق على وجود العنوان في مجموعة البيانات الموثّقة؛ لكنه لا يعني أن اسم المستخدم وعنوان IP والاسم وقيمة تجزئة كلمة المرور كانت جميعها مكتملة في السجل نفسه. ولا تثبت النتيجة الخالية عدم وجود حساب أُنشئ بعنوان آخر، لذا افحص عناوين العمل والعناوين الشخصية القديمة كلّاً على حدة. لا تقدّم أبداً كلمة مرور أو قيمة تجزئة كلمة مرور أو رمزاً يُستخدم لمرة واحدة أو معلومات دفع أو وثيقة هوية استجابةً لنتيجة بحث. وإذا ظهر تطابق، فامنح الأولوية للتوقف عن إعادة استخدام كلمات المرور القديمة، وتأمين حساب البريد الإلكتروني، وتفعيل التحقق بخطوتين. لا تضف إعلانات بيع بيانات Bukalapak من عام 2020 إلى الإجمالي على أنها حادثة منفصلة تشمل 13 مليون حساب. وبالمثل، لا تنسب إلى هذا السجل رقم 91 مليون سجل الخاص بمنصة أخرى. ويساعد الفصل بين نطاق الحوادث ومقاييسها على تجنب المبالغة في تقدير المخاطر أو نسبتها إلى المؤسسة الخطأ.