خرق بيانات Drizly

أنواع البيانات التي جرى التحقق منها في حساب Drizly هي تواريخ الميلاد، ومعلومات الأجهزة، وعناوين البريد الإلكتروني، وعناوين IP، والأسماء، وأرقام الهواتف، والعناوين الفعلية، وقيم تجزئة كلمات المرور باستخدام bcrypt. وتتيح معلومات تاريخ الميلاد والعنوان تكوين صورة أكثر اكتمالًا عن هوية الشخص. وعندما يتوفر رقم الهاتف والبريد الإلكتروني معًا، قد تبدو الرسائل المزيفة المتعلقة بالدعم أو التوصيل أو التحقق من العمر أو تحديث الحساب أكثر إقناعًا. كما يمكن أن توفر معلومات عنوان IP والجهاز مؤشرات إضافية عن سياق الشبكة التقريبي للمستخدم ونوع الجهاز الذي يستخدمه.

إن حماية قيم تجزئة كلمات المرور باستخدام bcrypt أفضل من تسريب كلمات المرور بنص صريح. ومع ذلك، يظل الخطر قائمًا بالنسبة إلى كلمات المرور الضعيفة أو القصيرة أو المعاد استخدامها. فإذا استُخدم البريد الإلكتروني وكلمة المرور نفسيهما في حسابات أخرى للتسوق أو التوصيل أو البريد الإلكتروني أو التواصل الاجتماعي، فقد يحاول المهاجمون استخدام هذا المزيج. كما أن طبيعة الخدمة المخصصة لطلب المشروبات الكحولية تزيد من أهمية جانب الخصوصية؛ إذ يمكن أن يشكل عمر المستخدم وعنوانه وسياق الاستهلاك أساسًا لرسائل أكثر استهدافًا. لذلك، ينبغي تقييم خرق بيانات Drizly ليس من زاوية تغيير كلمات المرور فحسب، بل أيضًا من زاوية أمان الاتصالات والعناوين.

تعود الواقعة التي جرى التحقق منها إلى يوليو 2020، وترتبط بـ 2,479,044 عنوان بريد إلكتروني فريدًا. وقد تذكر مصادر مختلفة نحو 2.5 مليون عميل؛ وهذا الرقم التقريبي يتسق مع عدد عناوين البريد الإلكتروني الفريدة في السجل. وتتناول الوثائق التنظيمية أيضًا الثغرات الأمنية السابقة لدى Drizly وأوجه القصور المتعلقة بأمان حسابات الموظفين. وتوفر هذه المعلومات سياقًا تقنيًا؛ لكن الخطر الأساسي الذي ينبغي عرضه على المستخدم يتمثل في حقول بيانات العملاء التي جرى التحقق منها واحتمال إساءة استخدامها.

من المهم عدم توسيع نطاق الواقعة. فلا يُعرض رقم بطاقة الائتمان الكامل أو الحساب المصرفي أو رقم وثيقة الهوية الرسمية أو محتوى الطلب أو كلمة المرور بنص صريح بوصفها فئات بيانات جرى التحقق منها في هذا السجل. ويُقيَّم خطر كلمات المرور في ضوء تجزئتها باستخدام bcrypt. ولا يلغي إغلاق Drizly لاحقًا أثر بيانات 2020، لأن حقولًا مثل البريد الإلكتروني ورقم الهاتف وتاريخ الميلاد والعنوان قد لا تتغير لفترة طويلة. ويقتصر هذا السجل على واقعة بيانات عملاء Drizly في 2020؛ ولا ينبغي الخلط بينها وبين خدمات Uber الأخرى أو وقائع منفصلة حدثت لاحقًا.

الفئة الأكثر عرضة للخطر هي العملاء الذين أنشؤوا حسابًا لدى Drizly أو طلبوا مشروبات كحولية عبرها قبل 2020. وقد يكون استهداف الأشخاص الذين يستخدمون عنوان البريد الإلكتروني نفسه في حسابات أخرى للتوصيل أو البقالة أو التسوق أو البريد الإلكتروني أسهل. ويمكن أن تجعل معلومات تاريخ الميلاد والعنوان رسائل الاحتيال تبدو مخصصة للشخص. أما المستخدمون الذين تتضمن بياناتهم رقم هاتف، فمن المتوقع أن يتلقوا مكالمات مزيفة بشأن التوصيل أو التحقق من العمر أو تحديث الحساب أو العروض الترويجية.

يتعرض للخطر أيضًا المستخدمون الذين يعيدون استخدام كلمة المرور نفسها عبر خدمات مختلفة. فعلى الرغم من أن حماية التجزئة باستخدام bcrypt تجعل قراءة كلمة المرور مباشرة أمرًا صعبًا، فإن خطر المحاولات يظل قائمًا بالنسبة إلى كلمات المرور القديمة والضعيفة. وحتى إن لم تعد Drizly تُستخدم كخدمة مستقلة، فقد تظل كلمة مرورك القديمة فيها مستخدمة في حساب بريدك الإلكتروني أو حساب Uber أو منصات التوصيل أو حسابات متاجر أخرى. ويمكن استخدام الحقول التي لا تتغير، مثل العنوان الفعلي وتاريخ الميلاد، في رسائل تصيد احتيالي مخصصة حتى بعد مرور سنوات على الواقعة.

إذا كانت كلمة المرور المستخدمة في حساب Drizly لا تزال مستخدمة في مكان آخر، فينبغي تغييرها فورًا. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في البريد الإلكتروني أو التسوق أو التوصيل أو الحسابات المرتبطة بالدفع أو حساب Uber، فينبغي تخصيص كلمة مرور فريدة لكل حساب. ويجب حماية حساب البريد الإلكتروني بالمصادقة الثنائية. وإذا تعذر الوصول إلى حساب Drizly القديم، فينبغي مراجعة الحسابات الأخرى المرتبطة بعنوان البريد الإلكتروني نفسه وإنهاء أي جلسات مشبوهة.

ينبغي الانتباه إلى الرسائل الواردة عبر الهاتف والبريد الإلكتروني بشأن التوصيل أو التحقق من العمر أو تحديث العضوية أو الحملات الترويجية. وحتى إذا ورد تاريخ ميلاد الشخص أو عنوانه أو رقم هاتفه بصورة صحيحة في الرسالة، فلا ينبغي اعتبارها موثوقة. وبدلًا من النقر على الروابط، ينبغي فتح عنوان الخدمة المعنية مباشرة. ويجب رفض الطلبات التي تطلب أرقام البطاقات أو الرموز المستخدمة لمرة واحدة أو المعلومات المصرفية أو كلمات المرور. وحتى إن لم تكن البيانات المالية ضمن البيانات التي جرى التحقق منها في هذا السجل، فقد تُستخدم المعلومات الشخصية المسرّبة لاحقًا لخداع الشخص ودفعه إلى تقديم معلومات مالية.

على المدى الطويل، ينبغي مراجعة معلومات العنوان ورقم الهاتف وتاريخ الميلاد المحفوظة في حسابات التوصيل والتجزئة بانتظام. ويجب إغلاق الحسابات غير المستخدمة، وحذف العناوين القديمة، وتفضيل عناوين بريد إلكتروني منفصلة للحسابات المخصصة للحملات الترويجية بدلًا من البريد الإلكتروني الرئيسي. ويسهّل مدير كلمات المرور التحقق مما إذا كانت كلمة مرور Drizly القديمة لا تزال مستخدمة في حسابات أخرى. وبما أن العنوان الفعلي وتاريخ الميلاد من المعلومات التي لا تتغير، فينبغي التعامل بحذر مع الرسائل المخصصة المرتبطة بهذه المعلومات، حتى بعد مرور سنوات.

على مستوى الشركات، توضح واقعة Drizly أن حسابات المطوّرين ومعلومات الوصول إلى السحابة يمكن أن تشكل خطرًا مباشرًا على قاعدة بيانات العملاء. ويُعد مبدأ الحد الأدنى من الصلاحيات، وتدوير مفاتيح الوصول بانتظام، والمصادقة القوية على حسابات الموظفين، والتنبيه إلى عمليات الوصول غير المعتادة إلى البيانات، وحذف بيانات العملاء غير الضرورية، تدابير أساسية. وتؤكد القرارات التنظيمية المتعلقة بـ Drizly أيضًا أهمية تقليل البيانات إلى الحد الأدنى والمسؤولية الشخصية. فعندما يقتصر تخزين بيانات العملاء على الحد الأدنى، يقل نطاق الأثر أيضًا في حال وقوع خرق.

إذا ظهرت لك نتيجة مطابقة في هذا السجل، فقد يكون عنوان بريدك الإلكتروني ضمن 2,479,044 عنوان بريد إلكتروني فريدًا مرتبطًا بخرق بيانات Drizly. ولا تعني المطابقة أن رقم بطاقتك الكامل أو كلمة مرورك بنص صريح قد تسرّبا. لكنها تشير إلى أن حقولًا مثل تاريخ الميلاد والعنوان ورقم الهاتف ومعلومات الجهاز وعنوان IP وقيمة تجزئة كلمة المرور باستخدام bcrypt تشكل خطرًا أمنيًا. وتتمثل الخطوة الأولى في التحقق مما إذا كانت كلمة المرور التي استخدمتها خلال فترة استخدام Drizly مستخدمة في حسابات أخرى.

حتى إن لم تعد Drizly تطبيقًا مستقلًا، فقد تظل البيانات المسرّبة مؤثرة من خلال معلومات البريد الإلكتروني والهاتف والعنوان القديمة. توخَّ الحذر من الرسائل المتعلقة بالتوصيل أو التحقق من العمر أو تحديثات الحساب أو الحملات الترويجية. واحتواء الرسالة على تفاصيل عنك لا يجعلها جديرة بالثقة. أمّن حساب بريدك الإلكتروني المعني، وحسابات التوصيل، والحسابات المرتبطة بالدفع. والتعامل الصحيح مع خرق بيانات Drizly لا يتمثل في اعتباره مجرد سجلات قديمة لخدمة أُغلقت، بل في إدراك أن حقول البيانات الشخصية التي تبقى لفترات طويلة قد تظل قابلة للاستخدام في الهندسة الاجتماعية.