خرق بيانات Color Dating

فئات البيانات المتحقق منها هي نصوص النبذة الشخصية، وتواريخ الميلاد، وعناوين البريد الإلكتروني، ومعلومات الموقع الجغرافي، والأسماء، وقيم تجزئة كلمات المرور، وصور الملفات الشخصية. وقد تتضمن حقول النبذة الشخصية اهتمامات المستخدم، وتوقعاته من العلاقات، وتفضيلاته الشخصية، أو نصًا حرًا يكتبه للتعريف بنفسه. وتنطوي حقول النص الحر على مخاطر أكبر من حقول النماذج المعتادة، لأن المستخدمين قد يدرجون دون قصد قرائن إضافية، مثل الوظيفة أو المدرسة أو مدينة الإقامة أو حساب على وسائل التواصل الاجتماعي أو عادات خاصة أو معلومات عن الأسرة.

عند جمع تاريخ الميلاد والاسم مع عنوان البريد الإلكتروني، يمكن استخدام هذه المعلومات لتخمين إجابات أسئلة التحقق من الهوية، وإنشاء حسابات مزيفة، ومحاولة تنفيذ عمليات احتيال موجهة. وقد تتيح معلومات الموقع الجغرافي، ولا سيما في سياق تطبيقات التعارف، استنتاج المنطقة التي يعيش فيها المستخدم أو يتردد عليها. أما صور الملفات الشخصية فتنطوي على مخاطر مثل التعرف على الوجوه، والبحث العكسي عن الصور، وربطها بحسابات على وسائل التواصل الاجتماعي، وإنشاء ملفات شخصية مزيفة. لذلك ينبغي تقييم الحادثة من منظور الخصوصية ومخاطر الإضرار بالسمعة أيضًا، لا من منظور أمان كلمات المرور وحده.

يستند هذا السجل إلى 220,503 عنوان بريد إلكتروني فريد. وقد تختلف أعداد الصفوف في بعض القوائم الثانوية، لكن النطاق المستخدم هنا للبحث عن المستخدمين يظل قائمًا على عناوين البريد الإلكتروني الفريدة. وترتبط الحادثة بتسريب Color Dating في سبتمبر 2018، ويُفهم أن البيانات عادت للظهور لاحقًا ضمن مجموعة أكبر من البيانات المسرّبة. ولذلك، حتى إن كانت الحادثة قديمة، فقد يؤدي تداول البيانات مجددًا إلى استمرار الخطر على المستخدمين في الوقت الحاضر.

تشمل فئات الحقول المتحقق منها النبذة الشخصية، وتاريخ الميلاد، وعنوان البريد الإلكتروني، والموقع الجغرافي، والاسم، وكلمة المرور، وصورة الملف الشخصي. وينبغي التعامل مع حقل كلمة المرور على أنه قيمة تجزئة محمية باستخدام bcrypt؛ فهذه العبارة وحدها لا تدل على أن كلمات المرور نُشرت بعد فك تشفيرها. ولا تُعد بيانات بطاقات الدفع أو الحسابات المصرفية أو أرقام جوازات السفر أو أرقام وثائق الهوية الرسمية أو محتوى الرسائل الخاصة أو أرقام الهواتف فئات بيانات متحققًا منها في هذا السجل. ومن المهم توضيح هذه الحدود لنقل المخاطر الفعلية إلى المستخدم بدقة، دون إثارة ذعر غير ضروري.

الأكثر عرضة للخطر هم المستخدمون الذين يضعون اسمهم الحقيقي وعنوان بريدهم الإلكتروني الأساسي وصورة شخصية واضحة والمنطقة التي يعيشون فيها على حسابهم في Color Dating. ولأن المعلومات المستخدمة في تطبيقات التعارف قد ترتبط مباشرة بالحياة الخاصة، فقد يتعرض المستخدمون لمحاولات إحراج موجهة، أو تقرّب زائف، أو انتحال هوية، أو هندسة اجتماعية. كما أن استخدام عنوان البريد الإلكتروني نفسه للعمل أو الخدمات المصرفية أو وسائل التواصل الاجتماعي أو اشتراكات أخرى يسهّل على المهاجمين الربط بين الحسابات المختلفة.

تزداد المخاطر لدى المستخدمين الذين يستخدمون كلمة المرور نفسها في خدمات أخرى أيضًا. ومع أن صيغة التجزئة bcrypt تصعّب مهمة المهاجم، فإن كلمات المرور الضعيفة أو القصيرة أو التي سُرّبت سابقًا قد تظل عرضة لهجمات القوة الغاشمة. وقد يُخدع المستخدمون الذين تتضمن بياناتهم تاريخ الميلاد والموقع الجغرافي من خلال حملات مزيفة بمناسبة أعياد الميلاد، أو دعوات إلى فعاليات محلية، أو رسائل تبدو كأنها واردة من معارفهم. وبالنسبة إلى من لديهم صورة للملف الشخصي، ينبغي أيضًا مراعاة خطر إنشاء ملف مزيف على وسائل التواصل الاجتماعي أو تطبيقات التعارف.

ينبغي للمستخدم الذي يجد تطابقًا في هذا السجل أن يبدأ بتغيير كلمة المرور المستخدمة في Color Dating، وكذلك كلمات مرور أي حسابات ربما استخدم فيها كلمة المرور نفسها. ويجب أن تكون كلمة المرور الجديدة فريدة لكل خدمة، وطويلة، وصعبة التخمين. كما ينبغي تفعيل المصادقة متعددة العوامل على حساب البريد الإلكتروني، وفحص الجلسات الأخيرة وقواعد إعادة التوجيه. وإذا كان المستخدم يسجل الدخول إلى حسابات التواصل الاجتماعي أو التسوق أو الخدمات المالية أو العمل باستخدام عنوان البريد الإلكتروني نفسه، فعليه أيضًا مراجعة إشعارات الأمان وسجلات الجلسات المشبوهة في تلك الحسابات.

نظرًا إلى سياق تطبيق التعارف، ينبغي إيلاء اهتمام خاص للرسائل الواردة. فالرسائل التي تشير إلى معلومات قديمة في الملف الشخصي أو صور أو تاريخ الميلاد أو منطقة الإقامة لا ينبغي اعتبارها صحيحة تلقائيًا، حتى إن بدت موثوقة. وينبغي التحقق بصورة مستقلة من الروابط المرسلة بذريعة اللقاء، أو التحقق من الحساب، أو إزالة الصور، أو إغلاق الشكاوى، أو استعادة العضوية قبل فتحها. ويجب عدم مشاركة الصور الشخصية أو وثائق الهوية أو رموز التحقق أو المعلومات المالية مع من يطلبونها.

توضح حادثة Color Dating أن معلومات الملف الشخصي التي تُشارك على تطبيقات التعارف واكتشاف أشخاص جدد قد تؤثر في المستخدم حتى بعد مرور سنوات. وينبغي للمستخدمين تجنب الإفراط في مشاركة أسمائهم الحقيقية وتواريخ ميلادهم ومواقعهم الدقيقة وأماكن عملهم ومدارسهم وحساباتهم على وسائل التواصل الاجتماعي في هذه التطبيقات. وعند اختيار صور الملف الشخصي، ينبغي تذكر أن استخدام الصور نفسها على منصات أخرى قد يسهّل الربط بينها والتعرف على الهوية. كما ينبغي إغلاق الحسابات القديمة أو تحديثها، وتقليل معلومات الملف الشخصي في التطبيقات غير المستخدمة قدر الإمكان.

إدارة كلمات المرور جزء أساسي من الحماية على المدى الطويل. فاستخدام كلمة مرور فريدة لكل خدمة، وإنشاء كلمات مرور قوية باستخدام مدير كلمات المرور، وحماية حساب البريد الإلكتروني بوسيلة تحقق إضافية، كلها إجراءات تحد من الآثار المتسلسلة لهذه التسريبات. وينبغي للمستخدمين أيضًا التحقق دوريًا من وجود ملفات شخصية مزيفة أُنشئت باستخدام أسمائهم وصورهم وعناوين بريدهم الإلكتروني. وبما أن البيانات المتحقق منها في هذه الحادثة ترتبط بالخصوصية على وجه الخصوص، فينبغي النظر إلى أمان الحساب من الناحية التقنية، والسمعة على الإنترنت، والسلامة الشخصية معًا.

يشير وجود تطابق في هذا السجل إلى أن عنوان البريد الإلكتروني المعني من بين العناوين الفريدة التي رُصدت في تسريب Color Dating. ولا يعني التطابق بالضرورة أن جميع تفاصيل الملف الشخصي للمستخدم متاحة للعامة؛ لكن بالنظر إلى فئات البيانات المرتبطة بهذا السجل، ينبغي للمستخدم توخي الحذر بشأن النبذة الشخصية والاسم وتاريخ الميلاد والموقع وصورة الملف الشخصي وأمان كلمة المرور. ولا ينبغي تأخير اتخاذ الإجراءات، خصوصًا لمن يستخدمون عنوان البريد الإلكتروني وكلمة المرور نفسيهما في خدمات مختلفة.

ينبغي للمستخدم أولًا تخصيص كلمة مرور فريدة لكل حساب، وتعزيز أمان حساب بريده الإلكتروني، والتحقق من عمليات تسجيل الدخول المشبوهة. ثم عليه مراجعة المعلومات المتاحة للعامة على تطبيقات التعارف وملفاته على وسائل التواصل الاجتماعي. وينبغي حذف المعلومات غير الضرورية، مثل تاريخ الميلاد والموقع والصورة، لأنها تزيد خطر الربط بين الحسابات والتعرف على الهوية. ومع أن الحادثة تعود إلى 2018، فإن تداول البيانات مجددًا في وقت لاحق يعني أن السجلات القديمة قد تُستخدم في محاولات احتيال حالية.