خرق بيانات DoorDash

أنواع البيانات التي جرى التحقق منها في سجل DoorDash هي عناوين البريد الإلكتروني والأسماء وأرقام الهواتف وعناوين التوصيل أو الرموز البريدية والمعلومات الأساسية عن الطلبات وبيانات بطاقات الدفع الجزئية. وعندما يجتمع عنوان البريد الإلكتروني والاسم ورقم الهاتف، تصبح الرسائل التي تنتحل صفة الدعم أو تدّعي وجود مشكلة في التوصيل أو تطلب التحقق من الحساب أكثر إقناعًا. ويقدّم عنوان التوصيل والرمز البريدي سياقًا عن المنطقة التي يسكن فيها الشخص أو يطلب منها بصورة متكررة. ورغم أن هذا السياق وحده لا يشكّل سرقة كاملة للهوية، فإنه يسهّل تخصيص الرسائل الاحتيالية لتناسب الشخص المستهدف.

رغم محدودية معلومات البطاقات الجزئية، فإنها ليست عديمة الأهمية تمامًا. فقد يُساء استخدام نوع البطاقة وآخر أربعة أرقام منها في محادثة تنتحل صفة خدمة العملاء لكسب ثقة المستخدم. وبما أن رقم البطاقة الكامل أو الحساب المصرفي غير متاحين في هذا السجل، فلا يمكن الاستدلال منه على وجود خطر سحب الأموال مباشرة من البطاقة؛ ومع ذلك، يمكن توقّع رسائل تحاول إقناع المستخدم بتقديم معلومات إضافية. وإذا جرى الوصول إلى معلومات أساسية عن الطلبات لدى مجموعة أصغر، فقد تبدو محاولات الاحتيال التي تدّعي إرجاع طلب أو عدم وصوله أو تقديم قسيمة أو تعديل رسوم أكثر واقعية.

وقع الحادث الذي جرى التحقق منه في أغسطس 2022، ويرتبط بحملة تصيّد احتيالي بدأت عبر شبكة المورّدين. وذكرت DoorDash أنها عطّلت وصول المورّد واحتوت الحادث بعد ملاحظة نشاط غير معتاد. ويُسجّل هذا التقرير عدد المتأثرين على أساس 367,476 عنوان بريد إلكتروني شخصي فريد. ولا يقول البيان الرسمي إن جميع مستخدمي DoorDash تأثروا؛ بل يشير إلى تأثر بيانات تخص نسبة صغيرة منهم. وقد تختلف حقول البيانات المتأثرة أيضًا من شخص إلى آخر.

من المهم خصوصًا مراعاة حدود هذا الحادث. فلم يُبلّغ عن وجود كلمات المرور أو أرقام بطاقات الدفع الكاملة أو أرقام الحسابات المصرفية أو أرقام الضمان الاجتماعي أو أرقام التأمين الاجتماعي ضمن البيانات التي جرى الوصول إليها. لذلك، ينبغي ألا يُتعامل مع المستخدم على أساس أن كلمة مروره أو بيانات بطاقته الكاملة قد تسرّبت. فبيانات البطاقات الجزئية لا تشير إلا إلى معرّفات محدودة للبطاقة. كذلك، يختلف هذا السجل عن حادث DoorDash في 2019 الذي شمل نحو 4.9 مليون شخص؛ فحادث المورّد في 2022 أضيق نطاقًا، لكنه يستدعي الانتباه بوصفه خرقًا منفصلًا بسبب ارتباط بياناته بالتوصيل ومعلومات الدفع الجزئية.

تتكوّن الفئة الأكثر عرضة للخطر من المستهلكين الذين كانت DoorDash تحتفظ بمعلوماتهم في 2022 والذين تلقّوا إشعارًا متعلقًا بالحادث. وقد يُستهدف الأشخاص الذين تتضمن بياناتهم رقم هاتف وعنوان توصيل برسائل تنتحل صفة سائق توصيل أو خدمة العملاء، أو تدّعي ردّ مبلغ طلب. وبالنسبة إلى المستخدمين في المجموعة الأصغر المرتبطة بمعلومات البطاقات الجزئية أو المعلومات الأساسية عن الطلبات، فقد تكون الرسائل أكثر إقناعًا؛ إذ يمكن للمهاجم محاولة إضفاء المصداقية على المحادثة باستخدام تفاصيل مثل آخر أربعة أرقام من البطاقة أو سياق الطلبات السابقة.

قد يشمل الحادث أيضًا عمال التوصيل المعروفين باسم Dashers. فقد أشار البيان الرسمي إلى احتمال تأثر أسماء أفراد هذه المجموعة أو أرقام هواتفهم أو عناوين بريدهم الإلكتروني. ويمكن استهداف هؤلاء برسائل احتيالية بشأن المدفوعات أو تحويل الأرباح أو التحقق من الحساب، أو بمكالمات تنتحل صفة ممثلي الدعم. ولا ينصبّ التركيز الرئيسي لهذا السجل على بيانات المطاعم والمورّدين؛ لكن نظرًا إلى اختلاف الأدوار ضمن منظومة DoorDash، ينبغي للمستخدمين التحقق بعناية من نوع الحساب الذي تخاطبه الرسالة. ويزيد خرق بيانات DoorDash خصوصًا من خطر الهندسة الاجتماعية عبر الهاتف والرسائل النصية.

ينبغي عدم النقر على الروابط في رسائل البريد الإلكتروني أو الرسائل النصية غير المتوقعة بشأن DoorDash، والحذر من المكالمات الهاتفية غير المتوقعة المتعلقة بها، وعدم مشاركة الرموز المخصّصة للاستخدام مرة واحدة. وينبغي التحقق مباشرة عبر التطبيق الرسمي أو الحساب على الموقع من الرسائل التي تدّعي أنها تتعلق بعنوان التوصيل أو إرجاع الطلبات أو التحقق من الحساب أو تصحيح المدفوعات. ولا ينبغي الوثوق بالمتصل لمجرد معرفته بمعلومات جزئية عن البطاقة؛ ففرق الدعم الحقيقية لا ينبغي أن تطلب رقم البطاقة الكامل أو الحساب المصرفي أو كلمة المرور أو رمز التحقق المخصّص للاستخدام مرة واحدة.

يظل استخدام كلمة مرور قوية وفريدة لحسابك على DoorDash خطوة أمنية جيدة؛ لكن بما أنه لم يُبلّغ عن الوصول إلى كلمات المرور في هذا الحادث، فإن الإجراء العاجل الأهم هو توخّي الحذر من مخاطر الهندسة الاجتماعية. وإذا زادت الرسائل أو الاتصالات المزعجة على خط الهاتف، فينبغي استخدام وسائل التصفية على مستوى الجهاز ومشغّل الخدمة. وينبغي الاستمرار في مراقبة المعاملات غير المعتادة في كشوف البطاقات بوصفها عادة أمنية عامة؛ إلا أن النطاق الذي جرى التحقق منه في هذا السجل لا يشمل أرقام البطاقات الكاملة أو الحسابات المصرفية. كما ينبغي إجراء تحقق إضافي من طلبات تحويل الأرباح أو تغيير الحساب المصرفي أو مكالمات الدعم الموجّهة إلى Dashers.

على المدى الطويل، ينبغي مراجعة معلومات العنوان ورقم الهاتف ووسائل الدفع المحفوظة في حسابات التوصيل والتسوّق بانتظام. وينبغي حذف العناوين التي لم تعد مستخدمة وإزالة وسائل الدفع غير الضرورية، وتفضيل عناوين بريد إلكتروني منفصلة عن العنوان الرئيسي للحسابات الخاصة بالحملات. كما ينبغي للمستخدمين عدم استخدام نمط كلمة المرور نفسه على منصات توصيل مختلفة. ويجب حماية حساب البريد الإلكتروني حماية قوية، لأن روابط استرداد حسابات التوصيل تصل غالبًا عبر البريد الإلكتروني.

على مستوى الشركات، يبيّن حادث DoorDash أن وصول المورّدين الخارجيين يشكّل خطرًا مباشرًا على بيانات العملاء. ويستلزم التعامل مع المورّدين تطبيق مبدأ الحد الأدنى من الصلاحيات، وإتاحة الوصول المؤقت، واستخدام مصادقة قوية، وإصدار تنبيهات عند الوصول غير المعتاد، والتحقق من هوية الموظفين بوسائل مقاومة للتصيّد الاحتيالي. ويجب على منصات التوصيل حماية بيانات المستخدمين داخل أنظمتها وكذلك من خلال المورّدين الذين تتعامل معهم. وحتى إن بدت بيانات البطاقات الجزئية والطلبات محدودة، فإن أثرها على ثقة العملاء ومخاطر الاحتيال كبير.

إذا ظهر لك تطابق في هذا السجل، فقد يكون عنوان بريدك الإلكتروني قد وُجد ضمن 367,476 عنوان بريد إلكتروني فريد مرتبط بخرق بيانات DoorDash في 2022. ولا يعني التطابق أن كلمة مرورك أو رقم بطاقتك الكامل قد تسرّبا. لكنه يشير إلى أن حقولًا مثل اسمك أو بريدك الإلكتروني أو رقم هاتفك أو عنوان توصيلك، أو معلومات الطلبات الأساسية والبطاقات الجزئية التي تخص مجموعة أصغر، قد تشكّل خطرًا. وتتمثل الخطوة الأولى في التحقق من حسابك على DoorDash عبر القناة الرسمية، والتعامل بحذر وشك مع الرسائل غير المتوقعة.

من الممكن استخدام عنوان توصيلك أو رقم هاتفك أو بعض التفاصيل المتعلقة بالدفع في رسالة احتيالية. لذلك، ينبغي عدم إعطاء الرموز المخصّصة للاستخدام مرة واحدة أو أرقام البطاقات الكاملة أو المعلومات المصرفية أو كلمات المرور لأي شخص يدّعي أنه ممثل للدعم. وينبغي التحقق من طلبات تحويل الأرباح والتحقق من الحساب الموجّهة إلى Dashers مباشرة من التطبيق الرسمي. وتتمثل الاستجابة الصحيحة لخرق بيانات DoorDash في إدراك إمكانية استخدام حقول البيانات التي جرى التحقق منها، والتي مصدرها المورّد، في الهندسة الاجتماعية، من دون تهويل الحادث بوصفه تسرّبًا كاملًا للبيانات المالية، مع تعزيز أمان الحساب والاتصالات.