انكشاف مزعوم لبيانات ChessHere.com

قد تبدو منصات الشطرنج للوهلة الأولى مواقع ترفيهية منخفضة المخاطر. لكن اجتماع اسم المستخدم وكلمة مرور مخزنة كنص صريح يشكّل خطرًا جسيمًا على أمان الحساب، بصرف النظر عن موضوع المنصة. فإذا استخدم الشخص كلمة المرور نفسها لحسابات البريد الإلكتروني أو الألعاب أو وسائل التواصل الاجتماعي أو التسوق، فقد يحاول المهاجمون استخدامها في أنظمة أخرى أيضًا. لذلك، لا تقتصر تداعيات حادثة ChessHere.com على أمان حسابات الشطرنج.

فئات البيانات التي يمكن التحقق منها في هذا السجل هي أسماء المستخدمين وكلمات المرور. ويكتسب الادعاء بأن كلمات المرور مخزنة كنص صريح أهمية خاصة. فكلمة المرور بنص صريح هي كلمة يستطيع المهاجم استخدامها مباشرة، من دون الحاجة إلى كسر التجزئة أو تنفيذ هجمات القاموس أو إجراء تحليل تقني. أما اسم المستخدم، فيمكن ربطه بالهويات التي يستخدمها الشخص نفسه على منصات مختلفة.

لم يُضف عنوان البريد الإلكتروني بوصفه فئة بيانات مؤكدة في هذا السجل. وهذا قيد مقصود؛ إذ اقتصر الاعتماد على الحقول المتكررة والمدعومة بأدلة قوية، حتى لا تُعرض للمستخدم معلومات غير صحيحة عن نطاق البيانات المتأثرة. وإذا استخدم الشخص في ChessHere.com اسم المستخدم نفسه الذي يستخدمه في منتديات ألعاب أخرى أو شبكات اجتماعية أو مجتمعات للشطرنج، فقد يصبح الربط بين حساباته أسهل.

ينبغي في الأنظمة الحديثة تخزين كلمات المرور على هيئة قيم تجزئة غير قابلة للعكس. وعند استخدام خوارزميات تجزئة قوية وقيم تمليح فريدة، يحتاج المهاجم إلى وقت للوصول إلى كلمة المرور الفعلية، حتى لو تسرّبت قاعدة البيانات. أما التخزين بنص صريح فيزيل هذه الحماية تمامًا. فكل من يطّلع على البيانات يستطيع قراءة كلمة المرور ونسخها وتجربتها في خدمات أخرى.

لهذا السبب، حُدّدت درجة الخطورة في سجل ChessHere.com بأنها مرتفعة. ورغم أن نطاق فئات البيانات المتأثرة يبدو محدودًا، فإن طبيعة كلمة المرور تزيد الخطر. فقد يكون المستخدمون، على وجه الخصوص، قد أعادوا استخدام اسم المستخدم وكلمة المرور نفسيهما لسنوات في مواقع قديمة للألعاب والمنتديات والمجتمعات. وهذا يجعل تسريبًا يعود إلى 2017 قابلًا للاستخدام في الهجمات حتى اليوم.

قبل إضافة سجل جديد، أُجري فحص للتكرار ضمن السجلات القائمة باستخدام ChessHere وchesshere.com وصيغ الأسماء ذات الصلة. ولعدم وجود سجل خرق سابق يحمل اسم النطاق أو العنوان نفسه، عُدّ هذا السجل فريدًا. وقُيّمت الحادثة على أنها تستحق الإدراج لأن اسم النطاق نفسه يظهر في مصادر مفتوحة، مقرونًا بديسمبر 2017 ونحو نصف مليون سجل، وبأسماء المستخدمين وكلمات المرور بنص صريح بوصفها فئات البيانات المتأثرة.

مع ذلك، لم يُعثر على بيان رسمي شامل من مشغّل المنصة يؤكد جميع التفاصيل. لذلك، ظلت حالة التحقق محدودة. ويهدف هذا الاختيار إلى عرض درجة اليقين للمستخدم بدقة. وقد استُكمل السجل بفئات بيانات تم التحقق منها ومعلومات متسقة من مصادر مفتوحة؛ في المقابل، لم يتضمن الوصف معلومات غير مؤكدة عن البريد الإلكتروني أو المدفوعات أو الرسائل أو الملفات الشخصية.

إذا كانت كلمة المرور المستخدمة في حساب ChessHere.com قد استُخدمت في مواضع أخرى أيضًا، فينبغي للمستخدم أن يبدأ بتغيير كلمات المرور في تلك الحسابات. وتأتي الأولوية القصوى لحساب البريد الإلكتروني؛ لأن اختراقه يتيح للمهاجم استخدام إجراءات إعادة تعيين كلمات المرور للحسابات الأخرى. وبعد ذلك، ينبغي مراجعة خدمات الألعاب ووسائل التواصل الاجتماعي والمنتديات ومواقع التسوق وحسابات الدفع.

يؤدي انكشاف اسم المستخدم، عند اقترانه بكلمة المرور، إلى خطر إضافي. فقد يبحث المهاجم عن اسم المستخدم نفسه على منصات مختلفة، ويعثر على حسابات أخرى يستخدمها الشخص المستهدف، ثم يجرّب كلمة المرور نفسها أو صيغًا مشابهة لها. ويكتسب خطر الربط هذا أهمية خاصة لأن الاستمرار في استخدام اسم المستخدم نفسه شائع في مجتمعات الشطرنج والألعاب والمنتديات.

• ينبغي تغيير كلمة المرور المستخدمة في حساب ChessHere.com في جميع الخدمات الأخرى أيضًا.
• ينبغي أيضًا تجنّب الصيغ المختلفة المبنية على نمط كلمة المرور نفسه.
• ينبغي تفعيل التحقق بخطوتين في حساب البريد الإلكتروني.
• ينبغي إنشاء كلمة مرور فريدة لكل خدمة باستخدام مدير كلمات المرور.
• ينبغي مراجعة حسابات المنتديات والألعاب القديمة التي أُنشئت باسم المستخدم نفسه.
• ينبغي التحقق من الجلسات النشطة والتطبيقات المتصلة.
• ينبغي متابعة تنبيهات تسجيل الدخول المشبوه عن كثب لفترة من الوقت.

في مجتمعات الألعاب والهوايات، كثيرًا ما يستخدم الأشخاص الاسم المستعار نفسه لسنوات. وقد يرتبط هذا الاسم بوسائل التواصل الاجتماعي أو المنتديات أو منصات البث أو برامج الألعاب أو الأجزاء الأولى من عناوين البريد الإلكتروني. وعندما يظهر اسم المستخدم وكلمة المرور معًا في مجموعة بيانات ناتجة عن خرق، يحاول المهاجم الوصول ليس إلى تلك المنصة وحدها، بل إلى أجزاء أخرى من شبكة الهويات الرقمية للمستخدم أيضًا.

لذلك، لا ينبغي التقليل من أهمية بيانات اسم المستخدم. فحتى في غياب عنوان البريد الإلكتروني، يستطيع المهاجم ربط اسم المستخدم بحسابات أخرى عبر محركات البحث والمنتديات وملفات الألعاب ووسائل التواصل الاجتماعي. وإذا كانت كلمة المرور نفسها مستخدمة في مواضع أخرى، يصبح اسم المستخدم مفتاحًا مباشرًا لمحاولات تسجيل الدخول. وينبغي للمستخدمين أيضًا تقييم أمان كلمات المرور في الحسابات التي أُنشئت بأسمائهم المستعارة القديمة.

يبيّن السجل المتعلق بـ ChessHere.com أن منصات المجتمعات الصغيرة والمتوسطة ينبغي أن تطبّق معايير أمان كلمات المرور نفسها التي تطبّقها المنصات الكبيرة. فلا ينبغي أبدًا تخزين كلمات المرور كنص صريح. وتشمل المتطلبات الأساسية خوارزميات قوية لتجزئة كلمات المرور، وقيم تمليح فريدة، وإدارة آمنة للجلسات، وحماية لوحة الإدارة، وتحديثات أمنية منتظمة.

تُعد المكوّنات البرمجية القديمة وإضافات المنتديات ولوحات الإدارة وملفات النسخ الاحتياطي من مواضع الخطر الشائعة في منصات المجتمعات. وينبغي عدم حفظ النسخ الاحتياطية لقواعد البيانات في المجلد الجذر للويب، واستخدام المصادقة متعددة العوامل لحسابات الإدارة، وتسجيل مسارات إعادة تعيين كلمات المرور، ومراقبة عمليات التصدير الجماعي المشبوهة. وفي حال الاشتباه بوقوع خرق، يجب فرض إعادة تعيين كلمات مرور المستخدمين.

قد يبدو خرق يعود إلى ديسمبر 2017 قديمًا اليوم؛ لكن عادات استخدام كلمات المرور وأسماء المستخدمين تستمر طويلًا. فكثيرون ينشئون كلمة مرور جديدة بإضافة رقم أو علامة تعجب أو سنة إلى كلمة المرور القديمة. ويجرّب المهاجمون هذه الأنماط بأدوات آلية. لذلك، قد تظل كلمة مرور قديمة بنص صريح مفيدة لمهاجمة الحسابات الحالية.

إضافة إلى ذلك، يمكن دمج مجموعات البيانات القديمة مع مجموعات جديدة. فقد يتضمن تسريب آخر عنوان بريد إلكتروني مرتبطًا باسم المستخدم نفسه، بينما يظهر رقم هاتف في موضع آخر ورابط لملف شخصي على منصة أخرى. وعند جمع هذه الأجزاء، يصبح بإمكان المهاجم تكوين ملف أكثر اكتمالًا عن الشخص المستهدف. وينبغي للمستخدمين النظر إلى مجمل آثارهم الرقمية، لا إلى كل تسريب على حدة.

خرق بيانات ChessHere.com هو سجل خرق أُفيد بأنه مرتبط بمنصة الشطرنج عبر الإنترنت ويؤثر في نحو 526,686 سجلًا للمستخدمين. وفئات البيانات الرئيسية التي أُفيد بانكشافها هي أسماء المستخدمين وكلمات المرور بنص صريح. ويزيد هذا الجمع خطر الوصول غير المصرّح به إلى حسابات أخرى لدى المستخدمين الذين يعيدون استخدام كلمات المرور. ولم تُضف بيانات البريد الإلكتروني أو المدفوعات إلى فئات البيانات لأنها لم تُؤكَّد في هذا السجل.

لم يُصنَّف السجل على أنه مؤكَّد، لعدم وجود تأكيد رسمي من مصدر أولي. ومع ذلك، أُضيف لتنبيه المستخدمين، إذ يتسق اسم النطاق والتاريخ وعدد السجلات وفئات البيانات مع السجلات المتاحة للعامة. وينبغي لمستخدمي ChessHere.com تغيير كلمات مرورهم القديمة في جميع الخدمات، ومراجعة الحسابات المرتبطة باسم المستخدم، وتفعيل المصادقة الثنائية حيثما أمكن.

تتمثل الخطوة الأولى في تذكّر كلمة المرور المستخدمة في ChessHere.com وإعداد قائمة بجميع الحسابات التي تستخدم كلمة المرور نفسها أو كلمة مشابهة. والخطوة الثانية هي مراجعة إعدادات أمان حساب البريد الإلكتروني. أما الخطوة الثالثة فهي الانتقال إلى استخدام مدير كلمات المرور وإنشاء كلمة مرور فريدة لكل حساب. والخطوة الرابعة هي تسجيل الخروج من حسابات المنتديات والألعاب القديمة.

ينبغي للمستخدم الآن إغلاق الحسابات التي لم يعد يستخدمها أو تغيير كلمات مرورها إلى كلمات عشوائية وفريدة. فقد تصبح الحسابات القديمة المنسية نقطة ضعف يستغلها المهاجم. ولا سيما عند استخدام اسم المستخدم وكلمة المرور نفسيهما؛ فحتى الحسابات المهجورة يمكن أن تُستخدم طريقًا إلى حسابات أخرى. لذلك، ينبغي إدراج منصات الهوايات القديمة أيضًا ضمن قائمة الحسابات التي تُراجع أمنيًا.

غالبًا ما تخص كلمات المرور المستخدمة في منصات الهوايات مثل ChessHere.com حسابات يعتبرها المستخدم منخفضة المخاطر. وتكمن المشكلة في أن كلمة المرور نفسها، التي يعدّها المستخدم منخفضة المخاطر، تُجرَّب أيضًا في خدمات أشد أهمية. فالمهاجمون لا يتعاملون مع سجلات الشطرنج والألعاب والمنتديات القديمة بمعزل عن غيرها؛ بل يدمجونها مع عناوين البريد الإلكتروني الحالية وأسماء المستخدمين على وسائل التواصل الاجتماعي ومجموعات بيانات أخرى. لذلك، حتى إذا لم يعد المستخدم يستعمل الحساب القديم، ينبغي له التحقق من المواضع الأخرى التي يعيد فيها استخدام كلمة المرور.

يُعد اسم المستخدم أيضًا دليلًا مهمًا في هذه السلسلة. فقد توجد حسابات للبث أو الألعاب أو المنتديات أو وسائل التواصل الاجتماعي أُنشئت بالاسم المستعار نفسه. وتتيح المعلومات المتاحة للعامة في هذه الملفات الشخصية للمهاجم إعداد رسائل أكثر إقناعًا. وإلى جانب تغيير كلمة المرور، فإن تقليل المعلومات غير الضرورية في الملفات الشخصية للحسابات القديمة التي أُنشئت باسم المستخدم نفسه، وإغلاق الحسابات غير المستخدمة، يوفّران حماية أفضل.

قد يعتقد بعض المستخدمين أن الخطر في هذا السجل منخفض لأن عنوان البريد الإلكتروني لم يُؤكَّد. لكن وجود اسم المستخدم وكلمة المرور بنص صريح معًا قد يوفّر للمهاجم ما يكفي لمحاولة الدخول. ولا سيما إذا كان اسم المستخدم مطابقًا للاسم في بداية عنوان البريد الإلكتروني، أو كان يُستخدم بالطريقة نفسها على منصات أخرى، فقد لا يكون الوصول إلى عنوان البريد الإلكتروني صعبًا. لذلك، ينبغي ألا يستند تقييم المخاطر إلى عدد فئات البيانات وحده، بل أيضًا إلى كون كلمة المرور بنص صريح وإمكانية إعادة استخدام اسم المستخدم.