خرق بيانات CTARS

تتوزع أنواع البيانات المسجلة في CTARS على مستويات متعددة: ترتبط عناوين البريد الإلكتروني وأسماء المستخدمين بالوصول إلى الحسابات، وكلمات المرور بالمخاطر المتعلقة بالهوية، وأرقام الهواتف والعناوين الفعلية بالتواصل المباشر والسياق المكاني، وتواريخ الميلاد ومعلومات الجنس بإجراءات التحقق من الهوية، والأسماء والألقاب بهوية الشخص في الواقع. وتُعد البيانات الصحية الشخصية من أكثر هذه الجوانب حساسية. ففي سياق خدمات الرعاية، يمكن أن تؤثر المعلومات المتعلقة بالحالة الصحية أو احتياجات الدعم أو مسار العلاج أو خطة الرعاية مباشرة في خصوصية الشخص. وعند انكشاف هذه البيانات، لا تقتصر المخاطر على الاستيلاء على الحسابات؛ بل قد تنشأ أيضًا مخاطر التمييز والاحتيال الموجّه والابتزاز والهندسة الاجتماعية.

يزيد وجود حقول كلمات المرور وأسماء المستخدمين من احتمال محاولة الدخول إلى خدمات أخرى باستخدام بيانات حسابات الأشخاص المتأثرين أو موظفي مقدمي الرعاية. ويمكن استخدام معلومات الهواتف والعناوين لجعل محاولات التواصل أكثر إقناعًا، مثل مكالمات الدعم المزيفة أو إشعارات التسليم أو مواعيد خدمات الرعاية أو انتحال صفة جهات رسمية. وترتبط تواريخ الميلاد والأسماء بأسئلة التحقق من الهوية في بعض إجراءات خدمة العملاء، ما قد يساعد المهاجم على تجاوز الفحوص الأمنية في حسابات أخرى. وتمثل البيانات المتعلقة بالصحة المستوى الأكثر حساسية؛ لذلك، لا ينبغي النظر إلى هذا السجل على أنه واقعة يمكن معالجة آثارها بمجرد تغيير كلمة المرور.

يمثل العدد 12,314 الوارد في هذا السجل نطاق عناوين البريد الإلكتروني الفريدة التي جرى التحقق منها. وترتبط الواقعة بحادثة أوسع تخص CTARS وتؤثر في مقدمي خدمات الرعاية في أستراليا؛ وقد أشارت بعض الإشعارات إلى احتمال تأثر عدد كبير من المؤسسات وفئات مختلفة من العملاء. ومع ذلك، يمثل العدد المعروض في هذه الصفحة نطاق الحسابات التي أمكن التحقق منها، ولا يعبر بالضرورة عن العدد الإجمالي الدقيق للأشخاص المتأثرين. ولا ينبغي افتراض وجود الحقول نفسها لكل شخص؛ فقد لا تتوفر لبعض الأشخاص سوى معلومات الاتصال، بينما قد تكون بيانات آخرين قد شملت معلومات أكثر حساسية تتعلق بالرعاية أو الصحة.

صُحح التاريخ الوارد في السجل إلى مايو 2022. وقد أُفيد بأن الوصول غير المصرح به كُشف في منتصف مايو 2022، واتضح لاحقًا أن بعض البيانات شُوركت مع جهات غير مصرح لها بتلقيها. وصُححت السنة الخاطئة الواردة سابقًا لأنها لم تتوافق مع التسلسل الزمني الذي جرى التحقق منه لهذه الواقعة. ويكتسب هذا التصحيح أهمية لأن عرض تاريخ خاطئ للاختراق قد يربك المستخدم بشأن الفترة المحاسبية وعلاقة تقديم الخدمة اللتين يحتاج إلى مراجعتهما. ونظرًا إلى حساسية السجل، ينبغي عرض النتائج فقط على صاحب عنوان البريد الإلكتروني المعني أو شخص مخوّل بإدارة النطاق.

الأشخاص الأكثر عرضة للخطر هم المشاركون في NDIS الذين يتلقون خدمات من مقدمي رعاية يستخدمون CTARS، والأشخاص الذين يتلقون خدمات لذوي الإعاقة، والأفراد المرتبطون بخدمات الأطفال والأسرة، والمقيمون في مرافق رعاية المسنين، ومقدمو الرعاية، والأقارب، والعاملون في هذه الخدمات. وقد تكون هذه الفئات أصلًا أكثر عرضة لمحاولات الاحتيال والإكراه بسبب حاجتها إلى الدعم أو حساسية ظروفها المعيشية. ويمكن للمهاجمين إعداد مكالمات أو رسائل نصية أو رسائل بريد إلكتروني تبدو موثوقة من خلال الجمع بين الأسماء الحقيقية ومعلومات الاتصال وسياق الرعاية. وينبغي إيلاء اهتمام خاص لمحاولات التواصل التي تنتحل صفة جهات رسمية أو مقدمي رعاية أو منسقي دعم أو وحدات للتحقق من الهوية.

كما أن المخاطر مرتفعة بالنسبة إلى موظفي المؤسسات ومقدمي الخدمات. فإذا أُعيد استخدام أسماء المستخدمين وكلمات المرور الخاصة بالموظفين في أنظمة أخرى، فقد يستهدف المهاجمون البريد الإلكتروني للمؤسسة أو نظام إدارة الحالات أو التخزين السحابي أو حسابات الوصول عن بُعد. وقد تتأثر أيضًا سجلات مقدمي خدمات الصيانة القديمة في CTARS، حتى إن لم تعد هذه الخدمات مستخدمة؛ لذلك، ينبغي ألا تقتصر المراعاة على العملاء الحاليين، بل أن تشمل أيضًا الأشخاص الذين كانت لديهم سجلات في النظام سابقًا. ويتعرض أفراد الأسرة والممثلون القانونيون للخطر أيضًا، إذ يمكن استخدام المعلومات المحفوظة عنهم بصفتهم جهات اتصال في محاولات الاحتيال.

تتمثل الخطوة الأولى للمستخدمين الذين تظهر مطابقة بياناتهم لسجل CTARS في تحديث جميع الحسابات التي تستخدم كلمة المرور نفسها أو كلمة مرور مشابهة. وينبغي إعطاء الأولوية عند المراجعة لحسابات البريد الإلكتروني وبوابات خدمات الرعاية الصحية وحسابات الخدمات العامة والخدمات المصرفية والتخزين السحابي وأنظمة مقدمي خدمات الصيانة. ويجب استخدام كلمات مرور فريدة وتفعيل المصادقة متعددة العوامل في الحسابات المهمة. وفي حساب البريد الإلكتروني، ينبغي مراجعة قواعد إعادة التوجيه وخيارات استرداد الحساب ونشاط تسجيل الدخول الأخير. وإذا لوحظت عمليات تسجيل دخول مشبوهة أو أجهزة غير معروفة أو رسائل غير متوقعة لإعادة تعيين كلمة المرور، فينبغي التواصل مباشرة مع مقدم الخدمة المعني.

تتمثل الخطوة الثانية في تقليل مخاطر سرقة الهوية والاحتيال. وينبغي عدم مشاركة المعلومات الصحية أو معلومات الرعاية أو الدفع أو وثائق الهوية أو الحسابات مع متصلين أو مرسلي رسائل نصية لم يُتحقَّق من هويتهم. وعند تلقي تواصل يبدو صادرًا عن جهة رسمية أو مقدم رعاية، ينبغي الرد عبر قناة الاتصال المعروفة للجهة، من دون استخدام الرابط الموجود في الرسالة. وإذا كان الشخص المتأثر مشاركًا في NDIS أو متلقيًا لخدمات الرعاية أو ممثلًا قانونيًا، فينبغي إبلاغ منسق الدعم أو مقدم الخدمة. وعند الحاجة، ينبغي الاستعانة بخدمات الدعم المجانية المتعلقة بالهوية وتوثيق محاولات التواصل المشبوهة.

توضح هذه الواقعة مدى حساسية البيانات المسجلة في خدمات الرعاية والصحة. وينبغي للمستخدمين ترسيخ عادة التحقق بمزيد من الصرامة من الطلبات الواردة عبر البريد الإلكتروني والهاتف على المدى الطويل. ويمنع استخدام مدير كلمات المرور إعادة استخدام كلمات المرور في خدمات مختلفة. كما توفر المصادقة متعددة العوامل ومراجعة سجل الجلسات وتحديث معلومات استرداد الحسابات المهمة حماية مستمرة. وبالنسبة إلى الأشخاص الذين يتلقون خدمات الصحة والرعاية، من المفيد أيضًا وضع خطة مشتركة للتحقق من التواصل مع أفراد الأسرة أو الممثلين القانونيين أو موظفي الدعم.

أما بالنسبة إلى مقدمي الرعاية وموردي البرمجيات، فتشمل الاستراتيجية طويلة الأمد نطاقًا أوسع. وينبغي حفظ بيانات الصحة والرعاية الحساسة وفق مبدأ الحد الأدنى من الصلاحيات، وعدم الاحتفاظ بالسجلات القديمة دون ضرورة، ومراجعة سجلات الوصول بانتظام، وفرض مصادقة قوية على الحسابات عالية المخاطر. وعند الاستجابة للحوادث، لا يكفي الإيقاف التقني وحده؛ بل ينبغي إبلاغ الأشخاص المتأثرين بوضوح بالجوانب المعرضة للخطر، وقنوات الدعم التي يمكنهم استخدامها، وسيناريوهات الاحتيال التي ينبغي الحذر منها. كما ينبغي للمؤسسات التي تستعين بموردين أن تحدّث بانتظام قوائم حصر بياناتها وتقييماتها لمخاطر الأطراف الثالثة.

إذا أظهرت نتيجة التحقق في هذه الصفحة تطابقًا مع سجل CTARS، فينبغي للمستخدم التعامل مع النتيجة بوصفها حساسة، وعدم مشاركة المعلومات مع أشخاص لا حاجة إلى إطلاعهم عليها. أولًا، يجب تأمين حساب البريد الإلكتروني وأي حسابات أخرى ربما استخدمت كلمة المرور نفسها. ثم ينبغي التواصل عبر قناة جرى التحقق من موثوقيتها مع مقدم خدمات الصيانة أو منسق الدعم أو المؤسسة المعنية للاستفسار عن البيانات التي قد تكون تأثرت. وإذا وردت مكالمة أو رسالة نصية أو رسالة بريد إلكتروني مشبوهة، فينبغي عدم الرد عليها مباشرة، بل التحقق منها بشكل منفصل عبر قناة موثوقة.

يتطلب اختراق CTARS اهتمامًا طويل الأمد لارتباطه بالصحة والرعاية. وينبغي للشخص المتأثر أو ممثله مراقبة مؤشرات إساءة استخدام الهوية وطلبات الخدمة غير المتوقعة وإشعارات استرداد الحساب والمراسلات الرسمية المشبوهة. وعندما لا تُعالج حماية كلمات المرور والمصادقة والوعي بالاحتيال معًا، قد تستمر آثار اختراقات البيانات الحساسة هذه لسنوات. لذلك، ينبغي التعامل مع السجل بوصفه أمرًا يستدعي إجراءات أوسع لحماية الأمن الشخصي والخصوصية، لا مجرد تنبيه إلى كلمة المرور لمرة واحدة.