خرق بيانات Dymocks في 2023

إن اجتماع عنوان البريد الإلكتروني ورقم الهاتف والاسم الكامل والعنوان الفعلي في سجل لدى Dymocks يسهّل التواصل المباشر مع المستخدم. وفي سياق بيع الكتب بالتجزئة، يتيح ذلك للمهاجمين اختلاق سيناريوهات تتعلق بطلبات شراء أو عروض ترويجية أو شحن أو إرجاع أو تحديثات عضوية زائفة. وإذا شملت البيانات أيضًا تاريخ الميلاد والجنس، فقد تبدو الرسائل أكثر تخصيصًا للمستخدم، وقد يصبح من الممكن توقّع إجابات أسئلة التحقق الضعيفة المستخدمة في بعض إجراءات استرداد الحساب.

لا ينبغي وصف هذا الخرق بأنه حادثة احتيال مباشر ببطاقات الدفع أو كسر كلمات المرور، إذ لم يُؤكَّد تسرّب أي كلمة مرور أو بطاقة دفع. ومع ذلك، تنطوي بيانات الملف الشخصي والاتصال وحدها أيضًا على مخاطر جسيمة مرتبطة بالهندسة الاجتماعية. ويمكن استخدام العنوان الفعلي ورقم الهاتف والبريد الإلكتروني معًا في رسائل تستهدف المستخدم بذريعة التوصيل إلى المنزل أو نقاط العضوية أو طلبات الكتب أو رسوم الشحن. ولذلك، ينبغي اعتبار سجل Dymocks مصدرًا مستمرًا للمخاطر على البيانات الشخصية، حتى إن لم يتضمن بيانات مالية.

العدد الرئيسي المؤكَّد الذي يعبّر عن حجم التأثر في هذا السجل هو 836,120 عنوان بريد إلكتروني فريدًا. أما إجمالي سجلات بيانات الاتصال بالعملاء، فقد أُفيد بأنه يبلغ نحو 1.24 مليون سجل. ويُفهم أن مجموعة البيانات تمتد حتى يونيو 2023، وأن الشركة لاحظت الحادثة في سبتمبر 2023، وقد تأكد تداول سجلات العملاء في بيئات الويب المظلم. لذلك، ينبغي التمييز بين تاريخ الحادثة وتاريخ الإعلان عنها للجمهور.

فئات البيانات المؤكَّدة هي تاريخ الميلاد والبريد الإلكتروني والجنس والاسم ورقم الهاتف والعنوان الفعلي. وتذكر بعض الإشعارات الموجّهة إلى العملاء تفاصيل عن عضوية المتجر، مثل حالة العضوية أو تصنيف بطاقة العضوية؛ لكن ينبغي أن تظل فئات البيانات الرئيسية في هذا السجل مقتصرة على حقول بيانات الاتصال الشخصية والبيانات الديموغرافية. ولا ينبغي إدراج كلمات المرور أو بطاقات الدفع أو جوازات السفر أو رخص القيادة أو أرقام الهوية أو سجل المعاملات ضمن النطاق المؤكَّد لهذا السجل. ويساعد هذا التحديد على وصف المخاطر بدقة دون إثارة ذعر غير ضروري لدى المستخدم.

تضم الفئة الأكثر عرضة للخطر الأشخاص الذين لديهم حساب عميل لدى Dymocks وشاركوا رقم هاتفهم وعنوانهم الحقيقيين لطلب الكتب أو الاشتراك في برنامج الولاء أو التواصل مع المتجر. وقد يُستهدف هؤلاء المستخدمون برسائل زائفة عن حملات ترويج الكتب أو رسوم التوصيل أو تأكيد الإرجاع أو نقاط العضوية أو تحديث الحساب. وينبغي للمستخدمين الذين تتضمن السجلات تواريخ ميلادهم توخّي مزيد من الحذر من رسائل التصيّد التي تتذرع بخصومات أعياد الميلاد أو مزايا العضوية.

يمكن استهداف العملاء في أستراليا والأسواق المحيطة برسائل تستخدم اللغة المحلية المتداولة في المتاجر وخدمات الشحن وبرامج الولاء. أما من يستخدمون عنوان البريد الإلكتروني نفسه في حسابات متاجر أخرى، فيتمثل الخطر عليهم في الربط بين حسابات التسوق المختلفة. وقد يُستهدف المستخدمون المسجّلون بعناوين بريد إلكتروني تابعة للشركات بفواتير زائفة أو دعوات إلى فعاليات أو رسائل تتعلق بمشتريات الشركات. ولأن بيانات يصعب تغييرها، مثل العنوان ورقم الهاتف، قد تسرّبت، فإن الخطر لا يقتصر على فترة الإعلان عن الحادثة.

إذا ظهر عنوان بريدك الإلكتروني في سجل Dymocks، فراجع بعناية أي رسائل في صندوق الوارد تتعلق بطلبات الكتب أو الشحن أو نقاط العضوية أو الإرجاع أو التحقق من الحساب. وبدلًا من النقر على الرابط في الرسالة، ادخل إلى حسابك مباشرة من المتصفح أو التطبيق الرسمي. ورغم عدم تأكيد تسرّب كلمات المرور في هذا السجل، فإن تحديث كلمات مرور حسابات التسوق والبريد الإلكتروني المهمة يُعدّ إجراءً احترازيًا جيدًا إذا كنت تستخدم كلمات مرور ضعيفة أو معاد استخدامها خلال الفترة نفسها.

توخَّ الحذر من الطلبات التي تتلقاها عبر الرسائل النصية والمكالمات والبريد، فقد يكون رقم هاتفك وعنوانك الفعلي قد تسرّبا. ولا تستجب للرسائل التي تطلب الدفع بذريعة رسوم الشحن أو تأكيد التوصيل أو بطاقات الهدايا أو نقاط العضوية دون التحقق منها. وتحقق من وجود جلسات غير معروفة وقواعد لإعادة توجيه الرسائل في حساب بريدك الإلكتروني. وإذا كانت حسابات المتاجر الأخرى المسجّلة بعنوان البريد الإلكتروني نفسه تتيح المصادقة الثنائية، ففعّلها.

تُظهر حادثة Dymocks أن شركات البيع بالتجزئة تحتاج إلى مراجعة دورية لمدة احتفاظها بالبيانات الشخصية التي تبقى ثابتة لفترات طويلة، مثل تاريخ الميلاد والجنس والعنوان، ولأغراض الاحتفاظ بها. وينبغي للمؤسسات تقليل جمع البيانات غير الضرورية، والحدّ من الاحتفاظ بسجلات العملاء القديمة أو غير النشطة من خلال سياسات للاحتفاظ بالبيانات، وإجراء تدقيق دوري لشركاء البيانات من الجهات الخارجية. فغياب كلمات المرور عن البيانات الشخصية لا يلغي الحاجة إلى تقليل البيانات وضبط الوصول إليها.

أما النهج طويل الأمد للمستخدم، فيتمثل في تجنّب ملء حقول الملف الشخصي غير الضرورية في حسابات المتاجر، وتخصيص عناوين بريد إلكتروني مختلفة بحسب الغرض من استخدامها. ولا يمكن التراجع عن تسرّب المعلومات الدائمة، مثل العناوين الفعلية وأرقام الهواتف؛ لذلك من المهم عدم مشاركة هذه البيانات في نماذج الحملات الترويجية والعضوية غير الموثوقة. وينبغي لمستخدمي الشركات تجنّب فتح حسابات تسوق شخصية بعناوين بريدهم الإلكتروني الخاصة بالعمل، وتقييم رسائل التسوق والشحن الواردة من حيث مخاطر التصيّد.

إذا ظهر عنوان بريدك الإلكتروني في هذا السجل، فلا تستنتج أن كلمة مرورك أو بطاقة الدفع الخاصة بك قد تسرّبت؛ فهذه الحقول ليست ضمن النطاق المؤكَّد. لكن قد تجتمع في السجل بيانات اسمك وعنوان بريدك الإلكتروني ورقم هاتفك وعنوانك وتاريخ ميلادك وجنسك. وهذا المزيج كافٍ لتخصيص رسائل الاحتيال بما يلائمك. تجنّب الروابط المشبوهة، وتحقق من حسابك لدى Dymocks مباشرة، وتحقق من طلبات التواصل غير المتوقعة عبر القنوات الرسمية.

الإجراء المناسب هو التركيز على منع إساءة استخدام بيانات الاتصال الشخصية. تحقق من أمان بريدك الإلكتروني، وتوخَّ الحذر من الرسائل المشبوهة التي تتلقاها على حسابات المتاجر الأخرى التي تستخدم بيانات الاتصال نفسها، ولا تقبل طلبات الدفع أو التحقق عبر الهاتف. ويُظهر خرق بيانات Dymocks أن التسريبات قد تنطوي على مخاطر طويلة الأمد للهندسة الاجتماعية، حتى إن لم تتضمن بيانات مالية، ما دامت تشمل بيانات ثابتة مثل تاريخ الميلاد ورقم الهاتف والعنوان.