خرق بيانات Condo.com

أنواع البيانات التي جرى التحقق منها هي عناوين البريد الإلكتروني والأسماء وأرقام الهواتف والعناوين الفعلية. ويمكن استخدام عنوان البريد الإلكتروني للربط بين المستخدم وحساباته الأخرى على الإنترنت. وتصبح الأسماء وأرقام الهواتف ذات قيمة في مكالمات خدمة العملاء الزائفة، ورسائل التحقق من الإعلانات، وانتحال صفة وكلاء العقارات، أو محاولات توجيه المدفوعات إلى جهة أخرى. أما السجلات التي تتضمن عنوانًا فعليًا، فقد تتيح الحصول على معلومات أكثر مباشرة عن المكان الذي يقيم فيه المستخدم أو يهتم به.

لم يجرِ التحقق من وجود كلمات مرور ضمن أنواع البيانات في هذا السجل؛ لذلك يتركز الخطر على التصيد الاحتيالي والاحتيال الهاتفي والهندسة الاجتماعية ذات الطابع العقاري، لا على كلمات مرور الحسابات. ويوفر الجمع بين الاسم والبريد الإلكتروني ورقم الهاتف وسائل اتصال كافية للوصول إلى الشخص. وإذا افترض المهاجم أن المستخدم مهتم بالبحث عن منزل أو شقة أو بالاستئجار أو الشراء، فيمكنه تخصيص الرسائل وفقًا لهذا السياق. وقد تكون هذه الرسائل المخصصة أكثر إقناعًا من الإعلانات العامة أو رسائل التصيد الجماعية.

يشمل هذا السجل 1,481,555 حسابًا متأثرًا، وتاريخ الحادثة المسجّل هو 1 يونيو 2019. ويُفهم أن البيانات عادت لاحقًا إلى التداول ضمن تجميع أكبر لبيانات خروقات. وهذا يعني أنه، رغم قِدم الحادثة، قد يُعاد استخدام معلومات البريد الإلكتروني والهاتف في قوائم احتيال حالية. وينبغي تقييم نطاق السجل بناءً على عدد الحسابات الفريدة، وعدم افتراض أن كل صف يمثل ملف مستخدم حاليًا أو نشطًا أو مكتملًا.

الحقول التي جرى التحقق منها هي عنوان البريد الإلكتروني والاسم ورقم الهاتف، إضافة إلى عدد قليل من العناوين الفعلية. ولا تُعد كلمات المرور أو بيانات بطاقات الدفع أو الحسابات المصرفية أو أرقام الضمان الاجتماعي أو تواريخ الميلاد أو وثائق الهوية أو مستندات المعاملات العقارية من أنواع البيانات التي جرى التحقق منها في هذا السجل. كذلك، لا يظهر حقل العنوان الفعلي في جميع السجلات، بل في جزء صغير منها. وهذا تمييز مهم؛ فعند توضيح الخطر الفعلي للمستخدم، يجب عدم التقليل من قيمة بيانات الاتصال، وفي الوقت نفسه عدم عرض أنواع بيانات لم يجرِ التحقق منها كما لو كانت موجودة.

الأكثر عرضة للخطر هم من استخدموا أسماءهم الحقيقية وعناوين بريدهم الإلكتروني الأساسية وأرقام هواتفهم النشطة على Condo.com. فعادةً ما ينشغل المستخدمون الذين يبحثون عن عقارات بقرارات ذات قيمة مالية كبيرة، مثل الانتقال أو الاستثمار أو الاستئجار أو الشراء. لذلك قد يستهدفهم المهاجمون بموضوعات مثل الاستشارات الوهمية والإعلانات الوهمية وتحويل العربون إلى جهة أخرى والموافقة المسبقة على الائتمان ورسوم التقييم العقاري وإشعارات رسوم الصيانة أو خدمات نقل الأثاث.

بالنسبة إلى المستخدمين الذين تتضمن بياناتهم عنوانًا فعليًا أيضًا، يصبح الخطر أكثر ارتباطًا بظروفهم الشخصية. فإذا كانت معلومات العنوان دقيقة، فقد يحاول المهاجم إضفاء المصداقية على الرسالة باستخدام تفاصيل تتعلق بالحي أو المبنى أو التوصيل أو الصيانة أو الاشتراكات أو إعلانات الإدارة. ويمكن استهداف المستخدمين الذين تتضمن بياناتهم رقم هاتف مباشرةً عبر الرسائل النصية والمكالمات. أما المسجلون ببريد إلكتروني خاص بالعمل، فيواجهون أيضًا خطر التصيد الموجّه إلى الشركات، لأن الرسائل المتعلقة بالعقارات وإدارة المرافق قد تبدو منطقية في بيئة العمل.

ينبغي للمستخدم الذي يجد تطابقًا في هذا السجل أن يحذر بالدرجة الأولى من الرسائل ذات الطابع العقاري التي تصله عبر البريد الإلكتروني والهاتف. ولا ينبغي اعتبار عروض الإعلانات غير المتوقعة أو طلبات العربون أو تعليمات الدفع السريع أو روابط طلبات القروض أو ملفات عقود الإيجار أو رسائل التحقق من الحساب موثوقة تلقائيًا. وعند إجراء معاملة عقارية، ينبغي التحقق بصورة مستقلة من هوية الطرف الآخر ومصدر الإعلان ومعلومات الدفع وقناة التواصل.

ينبغي تفعيل المصادقة متعددة العوامل على حساب البريد الإلكتروني ومراجعة الجلسات المشبوهة. فحتى إن لم يتضمن السجل حقلًا لكلمات المرور جرى التحقق منه، قد يظل حساب البريد الإلكتروني هدفًا رئيسيًا لرسائل الاحتيال. وينبغي عدم مشاركة رموز الاستخدام الواحد المرسلة إلى رقم الهاتف، أو طلبات وثائق الهوية، أو تعليمات دفع العربون، أو طلبات الوصول عن بُعد. وعلى المستخدمين الذين ربما تسرّبت عناوينهم الفعلية أن يتعاملوا أيضًا مع الرسائل الواردة بحجة التحقق من العنوان أو التوصيل بوصفها رسائل مشبوهة.

تُظهر حادثة Condo.com أن معلومات الاتصال قد تترتب عليها آثار خطيرة على الأمان والخصوصية، حتى إن لم تتضمن كلمة مرور. وينبغي للمستخدمين، متى أمكن، استخدام عناوين بريد إلكتروني منفصلة أو حلول لإخفائها عند التعامل مع خدمات العقارات والإعلانات والاشتراكات والتسوق. ولا ينبغي مشاركة رقم الهاتف إلا إذا كان ذلك إلزاميًا؛ وفي هذه الحالة، يجب الانتباه إلى احتمال تلقي رسائل تسويقية أو احتيالية أو رسائل تصيد لاحقًا. أما العنوان الفعلي، فلا ينبغي مشاركته إلا في المعاملات التي تتطلبه فعلًا.

على المدى الطويل، ينبغي للمستخدمين مراجعة حساباتهم العقارية القديمة وملفاتهم الشخصية على خدمات الإعلانات. وينبغي إغلاق الحسابات غير المستخدمة وتقليل المعلومات الظاهرة للعامة في الملفات الشخصية، ومتابعة الخدمات التي سُجّل فيها باستخدام معلومات الاتصال نفسها. ونظرًا إلى القيمة المالية الكبيرة للمعاملات العقارية، يجب عدم تنفيذ خطوات الدفع اعتمادًا فقط على تعليمات واردة عبر البريد الإلكتروني أو الرسائل النصية. وينبغي التحقق من ترخيص الطرف الآخر وملكية العقار المعلن عنه والمعلومات المصرفية وتفاصيل العقد عبر قنوات منفصلة.

يشير وجود تطابق في هذا السجل إلى أن عنوان البريد الإلكتروني المعني وارد ضمن السجلات المرتبطة بتسريب Condo.com. ويوضح التطابق أن النطاق الذي جرى التحقق منه يقتصر على معلومات الاتصال والهوية؛ فليست كلمات المرور أو معلومات الدفع ضمن أنواع البيانات التي جرى التحقق منها في هذا السجل. ومع ذلك، قد يوفر الجمع بين البريد الإلكتروني والاسم ورقم الهاتف بيانات كافية لإنشاء رسائل تبدو مخصصة للمستخدم. لذلك يظل الحذر ضروريًا حتى لو كان السجل قديمًا.

ينبغي للمستخدم أولًا تأمين حساب بريده الإلكتروني، والتحقق عبر قناة منفصلة من الرسائل غير المتوقعة المتعلقة بالعقارات والانتقال، ورفض طلبات الدفع أو إثبات الهوية الواردة عبر الهاتف. وعلى المستخدمين الذين يعتقدون أن عناوينهم الفعلية قد تكون معروفة أن يفحصوا بعناية الرسائل المتعلقة بالتوصيل أو الصيانة أو إدارة المباني أو الاشتراكات. وفي المعاملات العقارية، ينبغي التحقق من الإعلانات والأفراد والشركات ومعلومات الحسابات عبر مصادر مستقلة قبل تحويل أي أموال.