CashCrate خرق بيانات

في حالة CashCrate، تتمثل أنواع البيانات التي جرى التحقق منها في عناوين البريد الإلكتروني والأسماء والعناوين الفعلية وكلمات المرور. ويجعل انكشاف عنوان البريد الإلكتروني مع الاسم رسائل التصيد الموجّه أكثر إقناعًا. أما معلومات العنوان الفعلي، فتوسّع نطاق الخطر إلى ما يتجاوز أمان الحساب على الإنترنت؛ إذ يمكن إعداد إشعارات مزيفة عن الشحن أو المكافآت أو السحوبات على الجوائز أو الضرائب أو المدفوعات بناءً على موقع المستخدم وظروف التسليم. ويمكن استخدام هذه المعلومات لأغراض الهندسة الاجتماعية حتى بعد مرور سنوات، ولا سيما لدى المستخدمين الذين أقاموا في العنوان نفسه فترة طويلة.

أخطر جوانب الحادثة هو أن بعض كلمات المرور مخزن بصيغة نصية صريحة، بينما يرتبط بعضها الآخر بتجزئات MD5 ضعيفة. وتعني كلمة المرور النصية الصريحة أن المهاجم يستطيع محاولة تسجيل الدخول إلى خدمات مختلفة دون الحاجة إلى أي عملية لفك التشفير. كذلك، لا توفر طرق التجزئة الضعيفة والسريعة الحساب، مثل MD5، حماية كافية في مواجهة أدوات الهجوم الحديثة. وإذا كان المستخدم قد استخدم كلمة المرور نفسها لحسابه على البريد الإلكتروني أو موقع تسوق أو شبكة اجتماعية أو خدمة دفع أو حساب العمل، فقد تكون حساباته خارج CashCrate معرضة للخطر أيضًا.

يبلغ عدد الحسابات المتأثرة التي جرى التحقق منها في هذا السجل 6,844,490. ويُعد نوفمبر 2016 تاريخ الحادثة، بينما أُعلن الخرق للعامة في 2017. وتقتصر فئات البيانات التي جرى التحقق منها على الاسم وعنوان البريد الإلكتروني والعنوان الفعلي وكلمة المرور. وقد ورد في المعلومات المتاحة للعامة أن كلمات مرور بعض الحسابات مخزنة بصيغة نصية صريحة، بينما تستخدم الحسابات الأحدث تجزئات MD5. لذلك، ينبغي مراعاة الحالتين عند تقييم أمان كلمات المرور.

لم تُضف إلى فئات البيانات في هذا السجل حقول مثل رقم الهاتف أو تاريخ الميلاد أو بطاقة الدفع أو الحساب المصرفي أو رقم وثيقة الهوية الرسمية أو إجابات الاستطلاعات، لعدم وجود أدلة عليها جرى التحقق منها بالدرجة نفسها. وبما أن معلومات العنوان الفعلي قد جرى التحقق منها، فينبغي التعامل معها بوصفها فئة مستقلة من المخاطر على أمان المستخدم. كذلك، لا يثبت عدد الحسابات المتأثرة أنه يشمل جميع من استخدموا المنصة عبر تاريخها، ولا أن كل صف من البيانات يخص شخصًا مختلفًا؛ فالعدد المستخدم هنا يمثل نطاق الحسابات التي جرى التحقق منها.

المستخدمون الأكثر عرضة للخطر هم من يستخدمون كلمة مرور حساب CashCrate على منصات أخرى أيضًا. ويُعد استخدام كلمة مرور مطابقة لكلمة مرور حساب البريد الإلكتروني أو مشابهة لها خطرًا على نحو خاص، لأن اختراق حساب البريد الإلكتروني قد يتيح الوصول إلى حسابات أخرى عبر روابط إعادة تعيين كلمات المرور. وإذا استُخدمت كلمة المرور نفسها في مواقع التسوق أو خدمات الدفع أو حسابات الشبكات الاجتماعية، فستكون هذه أولى الوجهات التي سيجربها المهاجم. وإذا كان العنوان الفعلي قد تسرّب أيضًا، فقد يجعل الرسائل الاحتيالية تبدو أكثر تخصيصًا للمستخدم.

تضم الفئة الثانية المعرضة للخطر المستخدمين الذين قد يستجيبون بطبيعتهم بسرعة أكبر للرسائل المتعلقة بالمكافآت والاستطلاعات والعروض الترويجية والشحن. فقد يكون مستخدمو منصات المكافآت مثل CashCrate معتادين على إشعارات الدفع أو نتائج السحوبات على الجوائز أو تسليم الشحنات أو رسائل التحقق من الحساب. ويمكن للمهاجمين استغلال هذا التوقع بإرسال روابط مزيفة أو ملفات ضارة أو نماذج تطلب معلومات شخصية. وعند مطابقة معلومات الاسم والعنوان نفسها مع مجموعات بيانات مختلفة، قد يصبح ملف المستخدم على الإنترنت وخارجه أكثر تفصيلًا.

ينبغي عدم اعتبار كلمة المرور المستخدمة في CashCrate آمنة. وعلى المستخدم أن يحدد أولًا جميع الحسابات التي استُخدمت فيها كلمة المرور نفسها، وأن ينشئ لكل منها كلمة مرور فريدة وطويلة ويصعب تخمينها. وتأتي حسابات البريد الإلكتروني وخدمات الدفع ومواقع التسوق وحسابات الشبكات الاجتماعية في مقدمة الأولويات. وينبغي استخدام مدير كلمات مرور لمنع إعادة استخدامها، وعدم إعادة استخدام كلمات المرور السابقة بعد إجراء تعديلات طفيفة عليها. فالمهاجمون قد يجربون أيضًا كلمات مرور جديدة مشتقة من كلمة المرور القديمة.

ينبغي تفعيل المصادقة متعددة العوامل في حساب البريد الإلكتروني، ومراجعة الجلسات الأخيرة وعناوين البريد الإلكتروني المخصصة للاسترداد وأرقام الهواتف والتطبيقات المرتبطة. وبسبب انكشاف معلومات العنوان الفعلي، ينبغي الحذر من الرسائل المتعلقة بالشحن أو المكافآت أو السحوبات على الجوائز أو مدفوعات الاستطلاعات أو استرداد الضرائب. وينبغي ألا تطلب أي منصة كلمة مرور المستخدم عبر البريد الإلكتروني. ويجب عدم فتح الروابط غير المتوقعة مباشرة؛ بل على المستخدم كتابة عنوان الخدمة المعنية بنفسه في المتصفح. كما ينبغي عدم التعامل مع إشعارات الدفع أو الشحن المشبوهة قبل التحقق منها عبر القنوات الرسمية.

تُظهر حادثة CashCrate أن المعلومات المحفوظة لدى منصات المكافآت والاستطلاعات ذات قيمة كبيرة أيضًا. وعلى المدى الطويل، ينبغي للمستخدمين تخصيص كلمة مرور مختلفة لكل خدمة، وإغلاق الحسابات التي لم يعودوا يستخدمونها، وعدم تخزين معلومات شخصية على المنصات أكثر مما يلزم. ويجب ألا تُشارك معلومات مثل العنوان الفعلي إلا عند الضرورة الفعلية. وإذا تعذر إغلاق الحساب، فينبغي حذف المعلومات غير الضرورية من الملف الشخصي واستخدام كلمة مرور فريدة للحساب. ويمكن للمستخدم حماية حساب بريده الإلكتروني الرئيسي بصورة أفضل باستخدام عنوان بريد إلكتروني منفصل لخدمات الاستطلاعات والمكافآت.

في مجال أمان المؤسسات، ينبغي أيضًا أخذ إعادة استخدام كلمات المرور الشخصية على محمل الجد. ويجب ألا يستخدم الموظفون كلمات مرور منصاتهم الشخصية في حسابات العمل. ويمكن للمؤسسات تقليل هذا الخطر بسياسات تدعم المصادقة متعددة العوامل، واكتشاف عمليات تسجيل الدخول المحفوفة بالمخاطر، والتحقق من كلمات المرور التي ظهرت في تسريبات، واستخدام مديري كلمات المرور. وينبغي أن يوضح تدريب توعية المستخدمين أن نقاط الضعف في أمان الحساب لا تقتصر على خروقات الشبكات الاجتماعية الكبرى، بل قد تشمل أيضًا منصات المكافآت والاستطلاعات التي تبدو صغيرة.

تشير مطابقة عنوان بريد إلكتروني في هذا السجل إلى أن العنوان المعني يظهر في قائمة الحسابات التي جرى التحقق منها في خرق بيانات CashCrate. ولا تعني المطابقة أن جميع حسابات المستخدم مخترقة اليوم؛ لكن الخطر قد يستمر إذا استُخدمت كلمة المرور المسرّبة في مواضع أخرى. والخطوة الأولى هي محاولة تذكّر كلمة المرور المستخدمة في CashCrate وتغيير كلمات المرور في جميع الحسابات التي ربما استُخدمت فيها كلمة المرور نفسها. وإذا تعذر تذكّرها، فينبغي أيضًا اعتبار أنماط كلمات المرور القديمة المستخدمة في 2016 مصدرًا للخطر.

ينبغي للمستخدمين تقييم الرسائل التي تتضمن الاسم وعنوان البريد الإلكتروني والعنوان الفعلي بمزيد من الحذر. فقد تكون إشعارات الشحن أو المكافآت أو الدفع التي تبدو حقيقية مزيفة أيضًا. وينبغي متابعة التنبيهات الأمنية بعد تغيير كلمات المرور، وإذا وردت إشعارات غير متوقعة بتسجيل الدخول، فيجب إنهاء جميع الجلسات في الحساب المعني. ويرجع الأثر المستمر لهذه الحادثة أساسًا إلى إعادة استخدام كلمات المرور؛ لذلك، ينبغي عدم اعتبار تغيير كلمة المرور مرة واحدة كافيًا، ويجب تطبيق معايير كلمات المرور الفريدة والمصادقة متعددة العوامل على جميع الحسابات المهمة.