خرق بيانات Couchsurfing (2020)

أظهرت العينة التي جرت مراجعتها آنذاك والتقارير المنشورة في الفترة نفسها وجود عناوين بريد إلكتروني وأسماء حقيقية ومعرّفات مستخدمين وإعدادات حسابات ضمن البيانات المعروضة للبيع. وأفادت التقارير صراحةً بأن حزمة البيانات المعروضة للبيع لم تتضمن كلمات مرور، لذا يجب ألا يدّعي هذا السجل أن قيم تجزئة كلمات المرور أو كلمات المرور بنصها الصريح أو بيانات الاعتماد المباشرة لتسجيل الدخول قد انكشفت. كذلك، لا تثبت الأدلة الموثوقة وجود أرقام هواتف أو بطاقات دفع أو رسائل خاصة أو وثائق هوية أو مواقع جغرافية دقيقة أو سجلات سفر أو نصوص تعريفية من الملفات الشخصية. ومع ذلك، قد يتيح الجمع بين عنوان البريد الإلكتروني والاسم ومعرّف المستخدم الخاص بالمنصة تنفيذ تصيّد موجّه وإرسال رسائل مزعجة ورسائل دعم احتيالية، وربط هذه البيانات بملفات شخصية متاحة في مصادر عامة. ويشير رقم نحو 17 مليون إلى سجلات الحسابات المُعلن عنها، لا إلى عدد جرى التحقق منه بالكامل لأشخاص مختلفين.

ظهرت مجموعة البيانات في أوائل يوليو 2020، أولًا في قنوات مراسلة خاصة، ثم في منتديات عامة يستخدمها مجرمون. وادّعى البائع أن السجلات أُخذت من خوادم Couchsurfing، وعرض الحزمة مقابل US$700. واحتوت عينة صغيرة قُدّمت إلى صحفيين متخصصين في الأمن على معرّفات مستخدمين وأسماء حقيقية وعناوين بريد إلكتروني وحقول لإعدادات الحسابات. وقالت الشركة إنها استعانت بشركة خارجية متخصصة في الأمن السيبراني للتحقيق، وتواصلت مع جهات إنفاذ القانون. ولم يثبت أي تقرير نهائي منشور للعامة عن الحادثة تاريخ الوصول الدقيق أو طريقة اختراق مؤكدة. وطُرح ملف نسخة احتياطية وُضع في غير موضعه الصحيح بوصفه مصدرًا محتملًا، لكن ذلك كان فرضية لا سببًا جذريًا مثبتًا. لذلك، يعتمد هذا السجل أوائل يوليو 2020 بوصفها فترة وقوع الحادثة، من دون الادّعاء بإمكان تحديد يوم بعينه. وتُميّز حقول حسابات Couchsurfing المهيكلة هذه البيانات عن مجموعة عامة من بيانات الاعتماد، بينما يقتضي غياب التحقق العلني الحاسم عرضها في هذا السجل مع التحفظات اللازمة.

الأكثر عرضة لانكشاف بياناتهم هم من كانت لديهم حسابات على Couchsurfing قبل 2020 واستخدموا أسماءهم الحقيقية مع عناوين بريدهم الإلكتروني الرئيسية. فمعرفة المهاجم بالمنصة ووجود الحساب ومعرّف المستخدم تتيح له صياغة إشعارات مقنعة بشأن الأمان أو رسوم العضوية أو التحقق من الملف الشخصي أو طلبات الاستضافة أو رسائل السفر. غياب كلمات المرور عن مجموعة البيانات بحسب التقارير لا يلغي خطر الاستيلاء على الحساب: إذ لا يزال بإمكان المهاجمين استخدام البريد الإلكتروني لسرقة رابط إعادة تعيين كلمة المرور، أو طلب رمز يُستخدم لمرة واحدة، أو توجيه العضو إلى صفحة احتيالية لتسجيل الدخول. وإذا ظهر عنوان البريد الإلكتروني نفسه في خدمات أخرى، فقد تساعد السجلات على ربط الملفات الشخصية وتنفيذ احتيال موجّه إلى الشخص. وقد تجعل بيانات الهوية القديمة عمليات الاحتيال تبدو موثوقة حتى بعد سنوات. ولا يثبت وجود بيانات حساب ضمن الحزمة المعروضة للبيع أن أحدًا دخل إلى الحساب أو قرأ رسائله الخاصة؛ فهذه الاستنتاجات تتطلب أدلة منفصلة.

إذا كنت لا تزال تستخدم كلمة مرور Couchsurfing التي كنت تستخدمها في 2020، أو أعدت استخدامها في خدمات أخرى، فغيّر كلمة المرور في كل حساب تستخدمها فيه، واختر لكل حساب كلمة مرور طويلة وفريدة، كإجراء احترازي، رغم أن التقارير لم تذكر وجود كلمات مرور في هذه الحزمة. أمّن حساب بريدك الإلكتروني الرئيسي أولًا: راجع الجلسات غير المألوفة وقواعد إعادة توجيه الرسائل وعناوين استرداد الحساب، ثم فعّل المصادقة متعددة العوامل. تحقّق من إعدادات الملف الشخصي والخصوصية والتواصل في Couchsurfing، وأبلغ عبر قناة الدعم الرسمية عن أي تغييرات لم تُجرها بنفسك. لا تتبع الروابط الواردة في رسائل تتعلق بتجديد العضوية أو مشكلات الدفع أو الموافقة على الملف الشخصي أو طلبات الاستضافة أو المساعدة الطارئة أثناء السفر. افتح الموقع أو التطبيق بنفسك، وافحص نطاق المرسل. ولا تفترض أن من يعرف اسمك أو معرّف المستخدم الخاص بك هو موظف أو مضيف أو مسافر حقيقي. لا تفصح أبدًا عن كلمة مرور أو رمز يُستخدم لمرة واحدة أو معلومات دفع استجابةً لرسالة لم تطلبها؛ وتحقّق من الطلب عبر قناة منفصلة موثوقة.

استخدم مدير كلمات مرور لإنشاء بيانات اعتماد فريدة لكل خدمة، حتى لا يمتد أثر تسريب مستقبلي لبيانات الاعتماد من مصدر آخر إلى حساباتك الأخرى. أبقِ المصادقة متعددة العوامل مفعّلة على البريد الإلكتروني، وراجع خيارات استرداد الحساب بانتظام؛ فقد تكون الرسائل المتعلقة بالسفر بداية لمحاولة اختراق صندوق البريد المرتبط بالحساب. قلّل ظهور تفاصيل الاسم الحقيقي والروابط الشخصية ونصوص الملف الشخصي غير الضرورية عندما تكون متاحة للعامة. أغلق حسابات السفر التي لم تعد تستخدمها، وأزل الروابط القديمة بخدمات الجهات الخارجية، وأنهِ الجلسات القديمة دوريًا. احتواء رسالة على تفاصيل صحيحة عن الحساب لا يثبت أن مرسلها جهة موثوقة؛ فبيانات الخرق تساعد المجرمين على صياغة سياق يبدو دقيقًا. راقب التنبيهات غير المتوقعة بشأن إعادة تعيين كلمة المرور والجلسات الجديدة وتغيير البريد الإلكتروني. ولا تتابع إشعارات الأمان اللاحقة إلا عبر النطاق الرسمي للمؤسسة.

استخدم حقل البحث الآمن في هذه الصفحة للتحقّق من كل عنوان بريد إلكتروني حالي أو سابق ربما استخدمته مع Couchsurfing قبل 2020. قد تشير المطابقة إلى أن العنوان موجود في سجلات مرتبطة بهذه الحادثة؛ لكنها لا تعني أن كلمة المرور انكشفت، أو أن أحدًا استولى على الحساب، أو أن الملف الشخصي كاملًا أصبح متاحًا للعامة. إذا ظهرت نتيجة، فحدّد صندوق البريد المستخدم للحساب، وراجع سجل أمانه وإعدادات Couchsurfing، واستبدل كلمات المرور المعاد استخدامها بكلمات مرور فريدة لكل حساب. وعدم ظهور نتيجة لا يمثل ضمانًا مطلقًا، لأن مجموعة البيانات قد تكون غير مكتملة، أو لأن العنوان ربما كُتب بصيغة مختلفة، أو لأن حادثة أخرى قد تكون ذات صلة. أدخل المعرّف المدعوم فقط؛ ولا ترسل أبدًا كلمة مرور أو رمزًا يُستخدم لمرة واحدة أو بطاقة دفع أو محتوى رسائل خاصة إلى أداة للتحقّق من خروقات البيانات. وإذا ظهر تنبيه غير متوقع، فتجنّب الرابط المضمّن فيه، وافتح حسابك عبر التطبيق أو النطاق الرسمي.