خرق بيانات ClickASnap

تمثل عناوين البريد الإلكتروني وأسماء المستخدمين وقيم تجزئة كلمات المرور أبرز مصادر الخطر على أمان الحساب في حادثة ClickASnap. فاقتران عنوان البريد الإلكتروني باسم المستخدم يوفر عنصرين لتحديد الهوية يمكن للمهاجمين استخدامهما لاكتشاف الحسابات ومحاولات إعادة تعيين كلمات المرور والتصيد الاحتيالي الموجّه. ورغم أن كلمات المرور محفوظة بصيغة تجزئة SHA-512، فقد يتمكن المهاجمون بمرور الوقت من فك التجزئة إذا اختار المستخدم كلمة مرور قصيرة أو متوقعة أو سبق له استخدامها في خدمة أخرى. لذلك، تُعد إعادة استخدام كلمات المرور من أهم المخاطر العملية لهذه الحادثة.

تضيف المعلومات المرتبطة بسجلات الاشتراكات المدفوعة، مثل الاسم والعنوان الفعلي والمبلغ المدفوع، مستوى آخر من المخاطر. فقد تكشف عن منشئ المحتوى الذي يدفع له المستخدم على المنصة أو عن الاشتراك الذي لديه. ويمكن استغلال هذه المعلومات في رسائل مزيفة تتعلق بإشعارات الدفع أو تجديد الاشتراكات أو تأكيد الأرباح أو النماذج الضريبية أو مدفوعات بيع الصور أو التحقق من الحساب. كما قد تتيح الملفات الشخصية على وسائل التواصل الاجتماعي ربط هوية المستخدم بوصفه مصورًا بملفاته الأخرى على الإنترنت. ويشكل ذلك خطرًا على الخصوصية، ولا سيما لمنشئي المحتوى الذين يعملون بأسماء مستعارة.

يبلغ عدد الحسابات المتأثرة المؤكدة في هذا السجل 3,262,980. والتاريخ المسجل للحادثة هو 24 سبتمبر 2022. أما الحقول المؤكدة فهي عناوين البريد الإلكتروني وأسماء المستخدمين وقيم تجزئة كلمات المرور والأسماء والعناوين الفعلية وسجلات الشراء أو الاشتراك والملفات الشخصية على وسائل التواصل الاجتماعي. ومن المهم التنبيه إلى أن معلومات الاسم والعنوان والمبلغ المدفوع قد تقتصر على سجلات الاشتراكات المدفوعة؛ فلا ينبغي افتراض وجود هذه الحقول لكل مستخدم. كما لا ينبغي اعتبار بيانات حساب المستخدم العادي مشمولة بالنطاق نفسه الذي يشمل سجل الاشتراك المدفوع.

لا يتضمن هذا السجل فئات بيانات مؤكدة تخص محتوى الصور أو بياناتها الوصفية أو أرقام بطاقات الدفع أو المعلومات المصرفية أو وثائق الهوية الرسمية أو أرصدة الأرباح المباشرة على المنصة. وحتى إذا وردت حقول إضافية في بعض الأوصاف الأوسع نطاقًا، فينبغي أن تقتصر قائمة فئات البيانات في هذا السجل على الحقول التي يمكن إثبات وجودها. وبدلًا من إبلاغ المستخدم بعبارة عامة مثل «تسرّبت معلومات مالية»، فإن التوضيح الأدق هو «تضمنت سجلات الاشتراك أو الشراء المبلغ المدفوع».

المستخدمون الأكثر عرضة للخطر هم من يستخدمون كلمة مرور حساب ClickASnap على منصات أخرى أيضًا. وينبغي البدء بفحص الحسابات المرتبطة بمجتمعات التصوير وحسابات وسائل التواصل الاجتماعي والبريد الإلكتروني وإشعارات الدفع. كما أن الأشخاص الذين يعيدون استخدام اسم المستخدم نفسه على مواقع صور متعددة أو في ملفاتهم الشخصية على وسائل التواصل الاجتماعي أكثر عرضة لخطر ربط تلك الملفات ببعضها. فعندما يظهر اسم المستخدم إلى جانب معلومات الملف الشخصي على وسائل التواصل الاجتماعي، يمكن للمهاجم الوصول إلى الشخص نفسه عبر منصات مختلفة.

كذلك يكون المستخدمون الذين لديهم اشتراك مدفوع أو يعملون وفق نموذج إنشاء المحتوى أكثر عرضة لهجمات تستغل رسائل مزيفة تتعلق بالدفع أو الأرباح أو تجديد الاشتراك أو الإشعارات الضريبية. وقد تبدو رسائل التحقق من العنوان أو الشحن أو الفواتير أو إشعارات الاشتراك أكثر إقناعًا للأشخاص الذين تتضمن بيانات تسجيلهم عنوانهم الفعلي. وتكتسب مخاطر الخصوصية أهمية أيضًا لدى المصورين المحترفين وشبه المحترفين؛ إذ إن جمع الاسم الحقيقي والعنوان والملف الشخصي على وسائل التواصل الاجتماعي ضمن بيانات التسجيل نفسها قد يسهل ربط الهوية الإبداعية على الإنترنت بمعلومات الشخص في الحياة الواقعية.

ينبغي تغيير كلمة المرور المستخدمة لحساب ClickASnap. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في حسابات أخرى، فينبغي أيضًا تغيير كلمات مرور تلك الحسابات إلى كلمات قوية ومختلفة لكل حساب. ويجب إعطاء الأولوية لحسابات البريد الإلكتروني والملفات الشخصية على وسائل التواصل الاجتماعي ومواقع مشاركة الصور وإشعارات الدفع وخدمات التخزين السحابي. ويسهل استخدام مدير كلمات المرور إنشاء كلمة مرور فريدة لكل خدمة. فاستخدام تجزئة SHA-512 لا يجعل إعادة استخدام كلمة مرور ضعيفة أمرًا آمنًا.

ينبغي للمستخدمين مراجعة التطبيقات المتصلة والجلسات في حساباتهم على وسائل التواصل الاجتماعي. ويجب إزالة الاتصالات غير المعروفة وتفعيل المصادقة متعددة العوامل. كما ينبغي فحص الروابط بعناية في الرسائل المتعلقة بـ ClickASnap أو بيع الصور أو الاشتراكات أو مدفوعات الأرباح أو إشعارات حقوق النشر أو التحقق من الحساب. وحتى وإن لم يكن رقم بطاقة الدفع من الحقول المؤكدة في هذا السجل، فينبغي اعتبار الرسائل التي تطلب من المستخدم معلومات البطاقة أو التفاصيل المصرفية عالية الخطورة. وإذا أراد المستخدم إجراء معاملة، فعليه الدخول إلى المنصة مباشرة عبر عنوان معروف.

لا يقتصر أمان الحساب على منصات منشئي المحتوى على حماية كلمة المرور؛ بل ينبغي النظر معًا إلى الهوية الحقيقية والسياق المرتبط بالمدفوعات وروابط الملفات الشخصية على وسائل التواصل الاجتماعي. وعلى المدى الطويل، ينبغي للمستخدمين تخصيص كلمات مرور مختلفة لحسابات مشاركة الصور والبيع ووسائل التواصل الاجتماعي والبريد الإلكتروني. أما من يعملون بأسماء مستعارة، فينبغي لهم مشاركة أسمائهم الحقيقية وعناوينهم في الحقول الإلزامية فقط، وعدم ترك معلومات شخصية غير ضرورية في الملفات الشخصية العامة. كما ينبغي مراجعة سجلات الاشتراكات والمدفوعات القديمة بانتظام.

أما من منظور المنصات، فتتطلب الاشتراكات المدفوعة وبيانات منشئي المحتوى طبقات حماية منفصلة. وعندما تنكشف بيانات المستخدمين ومعلومات المبالغ المدفوعة وروابط الملفات الشخصية على وسائل التواصل الاجتماعي في حادثة واحدة، يمكن للمهاجمين بناء سيناريوهات أكثر إقناعًا. لذلك، ينبغي اختبار صلاحيات الوصول وضوابط تصدير البيانات وطرق تخزين كلمات المرور وإجراءات الإخطار بالحوادث بانتظام. وينبغي للمستخدمين أيضًا تقييم حساباتهم في مجتمعات التصوير بوصفها حسابات مرتبطة بعلامتهم الشخصية ومصدر دخلهم، لا بوصفها حسابات هوايات منخفضة المخاطر.

يشير وجود تطابق في هذا السجل إلى أن عنوان البريد الإلكتروني المعني من بين الحسابات المرتبطة بتسريب بيانات ClickASnap. ولا يعني التطابق أن بطاقة الدفع أو الحساب المصرفي أو ملفات الصور الخاصة بالمستخدم مشمولة بالنطاق المؤكد لهذا السجل. ويرتبط الخطر بحقول مثل البريد الإلكتروني واسم المستخدم وقيمة تجزئة كلمة المرور والملف الشخصي على وسائل التواصل الاجتماعي، إضافة إلى الاسم والعنوان والمبلغ المدفوع في بعض سجلات الاشتراكات المدفوعة. وينبغي للمستخدم أن يبدأ بالتوقف عن إعادة استخدام كلمات المرور وتأمين حساب بريده الإلكتروني.

والخطوة التالية هي مراجعة الاتصالات في الملفات الشخصية على وسائل التواصل الاجتماعي وحسابات منشئي المحتوى. وينبغي إنهاء الجلسات غير المعروفة وإزالة التطبيقات المرتبطة وتفعيل المصادقة متعددة العوامل. كما ينبغي عدم اتخاذ أي إجراء استجابةً لرسائل تتعلق بالاشتراكات أو المدفوعات قبل التحقق منها عبر القناة الرسمية. وعلى المستخدمين الذين ربما أُدرجت عناوينهم الفعلية في سجلات الاشتراكات المدفوعة توخي الحذر من الرسائل المزيفة المتعلقة بالفواتير أو التسليم أو التحقق من الحساب.