Disqus خرق بيانات

احتوت نسخة قاعدة البيانات المكشوفة على عناوين البريد الإلكتروني وأسماء مستخدمي Disqus وتواريخ التسجيل وآخر تسجيل دخول، وكلها بنص صريح. ويبلغ العدد المؤكد للحسابات المتأثرة 17,551,044 حسابًا مرتبطًا بعناوين بريد إلكتروني فريدة. واشتملت نحو ثلث الحسابات على قيم تجزئة لكلمات المرور بخوارزمية SHA-1 مع إضافة قيم تمليح، بدلًا من كلمات مرور بنص صريح؛ ولذلك تشير فئة البيانات «كلمات المرور» إلى قيم التجزئة تلك، لا إلى بيانات اعتماد قابلة للقراءة. أما المستخدمون الذين سجلوا الدخول عبر موفر مصادقة تابع لشبكة تواصل اجتماعي، فقد تضمنت بياناتهم إشارات إلى تلك الحسابات الخارجية بدلًا من كلمة مرور Disqus. لا تكشف خوارزمية SHA-1 وإضافة قيم التمليح كلمة المرور مباشرة، لكنهما لا توفران حماية كاملة لكلمات المرور القصيرة أو الشائعة من التخمين دون اتصال بالخدمة. ويمكن الجمع بين عنوان البريد الإلكتروني واسم المستخدم وتواريخ النشاط لدعم التصيد الموجّه والرسائل المزعجة، والربط بين الحسابات عبر بياناتها القديمة، وهجمات حشو بيانات الاعتماد على خدمات أخرى غير مرتبطة. ولم يُتحقق من وجود معلومات دفع أو بيانات بطاقات ضمن نطاق هذه الحادثة.

كانت النسخة المكشوفة مأخوذة من قاعدة بيانات المستخدمين لعام 2012، وشملت معلومات يعود تاريخها إلى 2007، ولم تتضمن أي بيانات أحدث من يوليو 2012. لذلك يعتمد السجل 1 يوليو 2012 تاريخًا للحادثة بدقة الشهر فقط؛ إذ لا تحدد الأدلة العامة الموثوقة اليوم الدقيق للوصول إلى البيانات أو الطريقة التقنية المستخدمة للدخول. علمت Disqus بالحادثة بعد سنوات، عندما أبلغ باحث مستقل عن مجموعة البيانات في 5 أكتوبر 2017. وحصلت الشركة على البيانات وبدأت التحقق منها في ذلك اليوم؛ وفي 6 أكتوبر أعادت تعيين كلمات مرور الحسابات التي ظهرت قيم تجزئتها، وتواصلت مع المستخدمين المتأثرين، ونشرت إشعارًا عامًا. وقالت Disqus إنها انتقلت من SHA-1 إلى خوارزمية bcrypt الأقوى لتجزئة كلمات المرور في نهاية 2012. ولم تكن قد رُصدت عند الإفصاح أدلة على عمليات تسجيل دخول غير مصرح بها مرتبطة بالخرق، لكن احتمال استعادة كلمات المرور دون اتصال بالخدمة جعل الحماية من إعادة استخدامها أمرًا ضروريًا.

تضم الفئة الأكثر عرضة للخطر الأشخاص الذين سجلوا مباشرة باستخدام عنوان بريد إلكتروني وكلمة مرور في 2012 أو قبل ذلك، وأعادوا استخدام كلمة المرور نفسها أو كلمة مشابهة في خدمات أخرى. وتكون قيم تجزئة SHA-1 المزوّدة بقيم تمليح، والموجودة في المجموعة التي تمثل نحو ثلث الحسابات، أكثر عرضة للكسر عندما تكون كلمات المرور قصيرة أو مبنية على كلمات شائعة. وإذا استُعيدت كلمة مرور، فقد يجربها المهاجمون على حسابات البريد الإلكتروني أو شبكات التواصل الاجتماعي أو المنتديات أو التسوق. لم تتضمن النسخة كلمات مرور تخص موفري تسجيل الدخول الخارجيين عبر شبكات التواصل الاجتماعي، مع أن عنوان البريد الإلكتروني واسم المستخدم والإشارة إلى الحساب قد تكون انكشفت. ويمكن لتواريخ التسجيل وآخر تسجيل دخول أن تساعد المهاجم على التمييز بين الحسابات النشطة والمهجورة، وأن تجعل رسالته تبدو أكثر إقناعًا. ويواجه الأشخاص الذين غيّروا كلمة المرور لاحقًا واستخدموا بيانات اعتماد فريدة في كل خدمة خطرًا أقل للاستيلاء على حساباتهم، لكن التصيد الذي يستهدف عنوان بريد إلكتروني قديمًا قد يظل فعالًا.

إذا كانت كلمة مرور Disqus التي استخدمتها في 2012 لا تزال مستخدمة في خدمة أخرى، فاستبدل كل نسخة مُعاد استخدامها بكلمة مرور طويلة وفريدة. أعادت Disqus تعيين كلمات المرور المتأثرة في 2017، لكن ذلك الإجراء لم يكن قادرًا على تغيير النسخ المستخدمة في مواقع أخرى غير مرتبطة بها. أعطِ الأولوية لحساب بريدك الإلكتروني الأساسي، ومدير كلمات المرور، وشبكات التواصل الاجتماعي، والخدمات التي تحتفظ بوسيلة دفع محفوظة. فعّل المصادقة متعددة العوامل على البريد الإلكتروني والحسابات المهمة الأخرى، ثم راجع الجلسات النشطة وعناوين الاسترداد والأجهزة المعروفة. لا تثق برسالة لمجرد أنها تذكر تعليقًا قديمًا لك على Disqus أو اسم مستخدمك أو تاريخ تسجيلك. وبدلًا من اتباع الروابط في الرسائل التي تزعم إتاحة إعادة تعيين كلمة المرور أو التحقق من الحساب أو إزالة تعليق، انتقل بنفسك إلى العنوان الرسمي للخدمة. ولا تفصح أبدًا عن رمز مصادقة يُستخدم لمرة واحدة، أو كلمة مرورك الحالية، أو كلمة المرور الرئيسية لمدير كلمات المرور، عبر رسالة أو مكالمة.

استخدام مدير كلمات مرور يُنشئ كلمة مرور عشوائية وفريدة لكل خدمة يمنع امتداد أثر استعادة كلمة مرور من قيمة تجزئة قديمة إلى حسابات أخرى. أبقِ المصادقة متعددة العوامل مفعّلة دائمًا على الخدمات المهمة، واحفظ رموز الاسترداد بأمان دون اتصال بالإنترنت. أغلق حسابات التعليقات والمنتديات وشبكات التواصل الاجتماعي التي لا تستخدمها، أو قلّل معلومات الملف الشخصي المتروكة فيها، لأن الحسابات المنسية قد تساعد على الربط بين هوياتك. لا تفترض أن خرقًا وقع في 2012 غير ضار لمجرد أنه قديم؛ فبياناته تظل ذات قيمة ما دامت كلمة المرور نفسها مستخدمة اليوم أو ظل ارتباط البريد الإلكتروني بالحسابات قائمًا. راقب تنبيهات تسجيل الدخول وإعادة تعيين كلمات المرور غير المتوقعة، وراجع قواعد إعادة توجيه البريد الإلكتروني دوريًا، وتجنب إعادة استخدام إجابات لأسئلة الأمان يسهل العثور عليها بالبحث. افترض أن أسماء المستخدمين القديمة قد تُربط بملفات شخصية عامة، وأجرِ تحققًا إضافيًا من الرسائل المبنية على تلك التفاصيل القديمة.

استخدم حقل البحث الآمن في هذه الصفحة للتحقق من كل عنوان بريد إلكتروني حالي أو قديم استخدمته مع Disqus. وجود تطابق يعني أن العنوان أحد عناوين البريد الإلكتروني الفريدة البالغ عددها 17,551,044 في نسخة قاعدة البيانات التي جرى التحقق منها؛ ولا يثبت أن كلمة المرور قد استُعيدت أو أن الحساب قد جرى الاستيلاء عليه. إذا ظهر تطابق، فحدّد الخدمات التي أعدت فيها استخدام كلمة المرور التي كانت مستخدمة في 2012، واستبدل كل نسخة لا تزال مستخدمة منها. وعدم ظهور نتيجة لا يقدم ضمانًا مطلقًا، فقد يظل هناك عنوان مكتوب بصيغة مختلفة، أو سجل خارج مجموعة البيانات هذه، أو خرق آخر. لا تُدخل أبدًا كلمة مرور، أو بيانات اعتماد لتسجيل الدخول عبر شبكات التواصل الاجتماعي، أو رمز مصادقة في حقل البحث عن بيانات الخروقات. وقد يكشف التحقق الدوري من العناوين القديمة سجلات خروقات نُشرت حديثًا في وقت مبكر، ويمنحك وقتًا لتعزيز أمان حساباتك قبل إساءة استخدام البيانات المسروقة.