خرق بيانات Canva

تشمل فئات البيانات التي جرى التحقق منها عناوين البريد الإلكتروني ومعلومات الموقع الجغرافي والأسماء وكلمات المرور وأسماء المستخدمين. وترتبط كلمات المرور بقيم تجزئة bcrypt للحسابات التي لا تستخدم تسجيل الدخول عبر حسابات التواصل الاجتماعي. ورغم أن bcrypt يُعد أكثر مقاومة لمحاولات الكسر من أساليب تخزين كلمات المرور الأقدم والأسرع، فإن الخطر يبقى قائمًا عند استخدام كلمات مرور ضعيفة أو إعادة استخدامها في خدمات أخرى. وقد يساعد الجمع بين عنوان البريد الإلكتروني واسم المستخدم والاسم المهاجمين على ربط حسابات المستخدم عبر منصات مختلفة. ويمكن أيضًا استخدام معلومات الموقع الجغرافي في رسائل دعم مزيفة، أو عمليات احتيال تستغل حملات إقليمية، أو محاولات تصيّد مخصصة. لذلك، لا ينبغي النظر إلى الحادثة على أنها مجرد مشكلة تخص حسابًا على منصة تصميم؛ فإذا كان البريد الإلكتروني أو كلمة المرور نفسها مستخدمًا في حسابات أخرى، ينشأ خطر أوسع للاستيلاء على الحسابات.

بلغ عدد الحسابات التي جرى التحقق منها في حادثة Canva ما مجموعه 137,272,116 حسابًا. وينبغي اعتماد 24 مايو 2019 بوصفه التاريخ الرئيسي للتسرّب، و9 أغسطس 2019 بوصفه تاريخ الإضافة الذي جرى التحقق منه، وكذلك 9 أغسطس 2019 بوصفه تاريخ آخر تحديث للمصدر. وتقتصر حقول البيانات على عناوين البريد الإلكتروني ومعلومات الموقع الجغرافي والأسماء وكلمات المرور وأسماء المستخدمين. ولا تُعد ملفات التصميم أو معلومات بطاقات الدفع أو محتوى الفرق الخاص أو وثائق الهوية الرسمية أو بيانات العقود المؤسسية ضمن فئات البيانات التي جرى التحقق منها في هذا السجل المحدد المتعلق بأمان الحساب. ويمثل التداول اللاحق لبعض تجزئات كلمات المرور من نوع Bcrypt التي كُسرت بصورة منفصلة عامل خطر إضافيًا؛ ومع ذلك، ينبغي أن يظل المجال الرئيسي المعروض للمستخدم مصنفًا على أنه كلمة مرور. وتمنح هذه الحدود المستخدم صورة واقعية وواضحة عن الخطر.

يكون الخطر أعلى لدى الأشخاص الذين يستخدمون عنوان البريد الإلكتروني الخاص بحساب Canva وكلمة مرور مشابهة في خدمات أخرى. ويُعد المصممون ومديرو حسابات التواصل الاجتماعي والمعلمون والطلاب وفرق التسويق والموظفون الذين يديرون حسابات العلامات التجارية من الفئات ذات الأولوية. وإذا فُتح حساب Canva باستخدام بريد إلكتروني للعمل، فقد يجمع المهاجمون بين هذا العنوان واسم الشركة واسم المستخدم ومعلومات الموقع الجغرافي لإرسال رسائل أكثر إقناعًا. وإذا كان اسم المستخدم نفسه موجودًا أيضًا في مواقع عرض الأعمال أو شبكات التواصل الاجتماعي أو أدوات العمل، يزداد خطر ربط الحسابات ببعضها. كما أن حسابات Canva القديمة مهمة، لأن كلمات المرور المستخدمة في الماضي قد تظل صالحة في خدمات أخرى. وبالنسبة إلى المستخدمين الذين لديهم صلاحية الوصول إلى حسابات الفرق، قد تؤدي إعادة استخدام كلمات المرور إلى تعريض الحساب الفردي وأصول العلامة التجارية المشتركة للخطر معًا.

ينبغي للمستخدم المتأثر أن يبدأ بتغيير كلمة مرور حساب Canva إلى كلمة مرور فريدة وقوية. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في خدمات أخرى، فينبغي إعطاء الأولوية لتغيير كلمات المرور في حسابات البريد الإلكتروني وحسابات التواصل الاجتماعي والتخزين السحابي وأدوات التعاون والحسابات الإعلانية والخدمات المرتبطة بوسائل الدفع. ويجب اختيار كلمة مرور مستقلة لكل خدمة باستخدام مدير كلمات المرور، وتفعيل التحقق متعدد الخطوات في الحسابات حيثما أمكن. كما ينبغي التحقق من عنوان الرابط قبل النقر عليه في الرسائل التي تبدو وكأنها واردة من Canva أو على هيئة إشعار من فريق التصميم. ويجب فحص رسائل البريد الإلكتروني بعناية إذا تضمنت مشاركة قوالب مزيفة، أو دعوات إلى ملفات العلامة التجارية، أو فواتير، أو دعوات للانضمام إلى فرق، أو ادعاءات بتعليق الحساب. وفي فرق العمل المؤسسية، ينبغي أيضًا مراجعة جلسات حسابات المسؤولين والتطبيقات المتصلة وعضويات الفريق.

على المدى الطويل، ينبغي حماية منصات التصميم وإنشاء المحتوى بالعناية نفسها التي تُحمى بها حسابات البريد الإلكتروني الرئيسية والحسابات المالية. فاستخدام كلمة مرور فريدة لكل خدمة يحد من الضرر الناتج عن تسرّب بيانات واحد. ويُفضّل اعتماد الوصول القائم على الأدوار في حسابات الفرق، وإلغاء صلاحيات الموظفين الذين غادروا المؤسسة، وعدم السماح باستخدام كلمات مرور مشتركة. وبالنسبة إلى العلامات التجارية المؤسسية، ينبغي التعامل مع ملفات التصميم وحسابات التواصل الاجتماعي ولوحات التحكم الإعلانية بوصفها أجزاء من سلسلة أمان واحدة. وعلى المستخدمين مراجعة حسابات Canva القديمة وحسابات أدوات الإبداع الأخرى التي أُنشئت باستخدام عنوان البريد الإلكتروني نفسه بانتظام. وينبغي أن يصبح استخدام مديري كلمات المرور والتحقق متعدد الخطوات ومراقبة الجلسات وتتبع صلاحيات وصول الفريق عادة أمنية دائمة.

عندما تظهر نتيجة Canva على LeakData، فهذا يعني أن عنوان البريد الإلكتروني مُدرج في مجموعة بيانات حسابات Canva لعام 2019. ولا تثبت هذه النتيجة أن ملفات التصميم أو معلومات الدفع الخاصة بالمستخدم قد تعرّضت للاختراق؛ فهي تقتصر على حقول ملف المخاطر وأمان الحساب التي جرى التحقق منها. وينبغي للمستخدم أن يراجع حساب Canva أولًا، ثم كلمات المرور المستخدمة خلال الفترة نفسها والحسابات المهمة التي فُتحت باستخدام عنوان البريد الإلكتروني نفسه. ويجب إعطاء الأولوية لفحص حساب البريد الإلكتروني وحسابات التواصل الاجتماعي ولوحات تحكم العلامات التجارية والتخزين السحابي وأدوات التعاون بين أعضاء الفريق. وتعود الفترة الرئيسية للحادثة إلى مايو 2019، أما تاريخ الإضافة الذي جرى التحقق منه فهو أغسطس 2019. ويمنع هذا التسلسل الزمني شاشة أمان الحساب من رصد أحداث راهنة على نحو غير صحيح، ويساعد المستخدم على ترتيب أولوياته ترتيبًا صحيحًا.