خرق بيانات Ducks Unlimited

أنواع البيانات التي جرى التحقق منها هي تواريخ الميلاد، وعناوين البريد الإلكتروني، والأسماء، وأرقام الهواتف، والعناوين الفعلية، وقيم تجزئة كلمات المرور باستخدام MD5 من دون تمليح. وعند الجمع بين البريد الإلكتروني والاسم والهاتف والعنوان، تتضح ملامح هوية المستخدم بدرجة كبيرة. وإضافة تاريخ الميلاد قد تجعل الرسائل المزيفة المتعلقة بالتحقق من العضوية أو تحديث التبرعات أو تأكيد العنوان أو استرداد الحساب أكثر إقناعًا. ويكتسب حقل العنوان الفعلي أهمية خاصة لأن الخطر لا يقتصر على أمان الحساب عبر الإنترنت، بل قد يمهّد أيضًا لاحتيال موجّه عبر البريد والهاتف.

قيمة تجزئة كلمة المرور ليست كلمة مرور بنص صريح، لكن التجزئة باستخدام MD5 من دون تمليح لا تُعد حماية قوية. ويمكن للمهاجمين تخمين كلمات المرور الضعيفة بسهولة أكبر وتجربتها على حسابات أخرى تستخدم البريد الإلكتروني نفسه. وربما استخدم الأشخاص الذين لديهم عضوية في منظمات أو يتبرعون لها البريد الإلكتروني وكلمة المرور نفسيهما لدى جمعيات أخرى أو مواقع تسوق أو منتديات أو حسابات بريد إلكتروني. لذلك، ينبغي تقييم خرق بيانات Ducks Unlimited ليس من حيث خطر الرسائل غير المرغوب فيها فحسب، بل أيضًا من حيث الاستيلاء على الحسابات، والاحتيال على المتبرعين، وخصوصية العناوين.

يُسجَّل تاريخ الواقعة الذي جرى التحقق منه على أنه 29 يناير 2021. وقد وردت تقارير عن مجموعة البيانات في سياق قاعدة بيانات تخص Ducks Unlimited جرى تداولها بالشراء والبيع عبر الإنترنت في منتصف عام 2021، وأُضيفت إلى سجلات خروقات البيانات التي جرى التحقق منها في 16 نوفمبر 2021. ويحتوي السجل على 1,324,364 عنوان بريد إلكتروني فريدًا. وقد تذكر بعض الروايات نحو 1.3 مليون مستخدم أو عضو؛ أما هذه الصفحة فتستند إلى العدد الدقيق لعناوين البريد الإلكتروني الفريدة المستخدمة في الاستعلام.

ينبغي فهم النطاق من خلال قائمتين رئيسيتين: قائمة الأعضاء وقائمة مستخدمي الموقع الإلكتروني. ولا يعني ذلك أن جميع حقول البيانات نفسها متاحة لكل شخص تظهر له مطابقة. فقد ترد بعض السجلات ضمن معلومات الأعضاء، بينما ترد سجلات أخرى ضمن معلومات حسابات الموقع. والحقول التي جرى التحقق منها هي تاريخ الميلاد، والبريد الإلكتروني، والاسم، والهاتف، والعنوان الفعلي، وقيمة تجزئة كلمة المرور. أما بيانات بطاقات الائتمان أو الحسابات المصرفية أو مبالغ التبرعات أو وثائق الهوية الرسمية أو البيانات الصحية الحساسة، فليست من فئات البيانات التي جرى التحقق منها في هذا السجل.

تشمل الفئة الأكثر عرضة للخطر أعضاء Ducks Unlimited والمتبرعين لها والمستخدمين الذين لديهم حساب على موقعها الإلكتروني. وبالنسبة إلى الأشخاص المدرجين في قائمة الأعضاء، قد تشكل حقول مثل العنوان ورقم الهاتف وتاريخ الميلاد خطرًا مباشرًا أكبر على الخصوصية. أما بالنسبة إلى أصحاب حسابات الموقع، فيبرز خطر إعادة استخدام كلمات المرور. وإذا استُخدم البريد الإلكتروني وكلمة المرور نفسيهما في حسابات أخرى، فقد يحاول المهاجمون تجربة هذه المعلومات على خدمات مختلفة. كما يمكن استغلال علاقة التبرع أو العضوية لإضفاء الثقة على رسائل مزيفة تطلب تجديد التبرع أو التحقق من العضوية.

يمكن استهداف الأشخاص الذين تسرّبت عناوينهم الفعلية وأرقام هواتفهم عبر البريد أو الهاتف أو البريد الإلكتروني. وقد يُعدّ المهاجم رسالة مزيفة باسم المنظمة تتعلق بحملة تبرعات أو تحديث العضوية أو إشعار بمكافأة أو التحقق من الحساب. ويمكن أيضًا استخدام تاريخ الميلاد في هذه الرسائل لتعزيز الثقة. وحتى إن كان السجل قديمًا، فقد تظل بيانات مثل العنوان وتاريخ الميلاد دون تغيير مدة طويلة. لذلك، ينبغي للمستخدمين حماية قنوات التواصل الخاصة بهم، لا كلمات مرورهم وحدها.

إذا كانت كلمة المرور المستخدمة لحساب Ducks Unlimited لا تزال مستخدمة في حساب آخر، فينبغي تغييرها فورًا. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في حسابات البريد الإلكتروني أو التبرعات أو التسوق أو وسائل التواصل الاجتماعي أو المنتديات، فينبغي تخصيص كلمة مرور فريدة لكل حساب من هذه الحسابات. ويجب تفعيل المصادقة الثنائية على حساب البريد الإلكتروني الرئيسي. فإذا اختُرق حساب البريد الإلكتروني، تصبح روابط إعادة تعيين كلمات المرور للحسابات الأخرى معرّضة للخطر أيضًا. ويسهّل استخدام مدير كلمات المرور العثور على مواضع إعادة استخدام كلمات المرور القديمة.

ينبغي التدقيق في طلبات التبرع أو تجديد العضوية أو التحقق من العنوان أو تحديث الحساب التي تَرِد عبر الهاتف والبريد والبريد الإلكتروني. وحتى إذا ورد اسمك أو عنوانك أو تاريخ ميلادك بصورة صحيحة في الرسالة، فهذا وحده ليس دليلًا على أمانها. وعند تلقي طلبات للدفع أو لتقديم رقم بطاقة أو معلومات مصرفية أو رمز يُستخدم مرة واحدة أو كلمة مرور، ينبغي التوقف عن الاستجابة والتحقق من المعاملة عبر القنوات الرسمية المعروفة. وفي هذه الواقعة، حتى إن لم يتم التحقق من الجهة المتلقية للدفع، فقد تُستخدم معلومات الاتصال المسرّبة لاحقًا لخداع الأشخاص والحصول على معلومات الدفع منهم.

على المدى الطويل، ينبغي استخدام كلمات مرور منفصلة وفريدة لحسابات العضوية والتبرعات. فاستخدام عنوان البريد الإلكتروني نفسه في عدة حسابات للتبرعات والحملات والعضوية يزيد خطر الاحتيال الموجّه. وينبغي للمستخدمين إغلاق حسابات المواقع التي لم يعودوا يستخدمونها، ومراجعة تفضيلات التواصل، وتقليل حقول الملف الشخصي غير الضرورية إلى الحد الأدنى. كما ينبغي فحص الحسابات التي تحتوي على معلومات العنوان الفعلي والهاتف بانتظام. فحتى العناوين القديمة قد تُستخدم في الهندسة الاجتماعية بوصفها معلومات سابقة للتحقق من الهوية.

على مستوى المؤسسات، تُظهر هذه الواقعة ضرورة التعامل مع بيانات العضوية والتبرعات باعتبارها بيانات شخصية حساسة. وينبغي عدم تخزين قيم تجزئة كلمات المرور باستخدام أساليب ضعيفة مثل MD5 من دون تمليح، بل استخدام أساليب تجزئة حديثة ومملّحة وعالية الكلفة الحسابية. ويجب عدم الاحتفاظ بقوائم الأعضاء ومستخدمي الموقع مدة أطول من اللازم، وتقليص صلاحيات الوصول إلى الحد الأدنى، ومراقبة عمليات تصدير البيانات بكميات كبيرة، وتقديم إشعارات واضحة بعد الخرق. فثقة المتبرعين لا تعتمد على حماية بيانات الدفع وحدها، بل على حماية العناوين ومعلومات الاتصال أيضًا.

إذا ظهرت لك مطابقة في هذا السجل، فقد يكون عنوان بريدك الإلكتروني قد وُجد ضمن 1,324,364 عنوان بريد إلكتروني فريدًا مرتبطًا بخرق بيانات Ducks Unlimited. ولا تعني المطابقة أن بيانات بطاقة الدفع أو معلوماتك المصرفية قد تسرّبت. فالحقول التي جرى التحقق منها هي تاريخ الميلاد، والبريد الإلكتروني، والاسم، والهاتف، والعنوان الفعلي، وقيمة تجزئة كلمة المرور باستخدام MD5 من دون تمليح. والخطوة الأولى هي معرفة الحسابات الأخرى التي أعدت فيها استخدام كلمة المرور القديمة لهذا الحساب.

إذا كانت كلمة مرورك القديمة مستخدمة في حسابات أخرى، فغيّرها. وفعّل التحقق بخطوتين على حساب بريدك الإلكتروني، وتحقق مباشرة عبر القنوات الرسمية من الرسائل المتعلقة بالعضوية أو التبرعات. ولا تتسرع في مشاركة معلومات الدفع أو التحقق استجابةً لرسائل تتضمن تفاصيل عنوانك ورقم هاتفك. والتعامل الصحيح مع خرق بيانات Ducks Unlimited لا يقتصر على اعتباره تسرّبًا لقائمة أعضاء، بل يتطلب إدراك أن قيم تجزئة كلمات المرور الضعيفة، عند اقترانها ببيانات العنوان والهاتف، قد تشكل مخاطر طويلة الأمد على الحسابات وتزيد مخاطر الاحتيال.