خرق بيانات E-Pal

عندما يجتمع عنوان البريد الإلكتروني واسم المستخدم في سجل E-Pal، قد يحاول مهاجم ربط المستخدم بملفات شخصية مختلفة على منصات الألعاب والتواصل الاجتماعي. أما سجلات المشتريات، فقد تُستخدم في الهندسة الاجتماعية لفهم استخدام الشخص لخدمات المنصة، أو سياق سجل طلباته، أو أنواع الخدمات التي دفع مقابلها. وهذه الحقول وحدها لا تعني وجود معلومات عن بطاقات الدفع؛ لكنها قد تجعل رسائل استرداد الأموال أو التحقق من الطلبات أو الدعم الزائفة أكثر إقناعًا.

نظرًا إلى عدم التحقق من تسريب كلمات المرور في هذا السجل، فإن خطر كسر كلمات المرور مباشرةً محدود. ومع ذلك، يمكن استخدام عنوان البريد الإلكتروني واسم المستخدم معًا كنقطة انطلاق لمحاولات الاستيلاء على الحسابات. وإذا تكرر اسم المستخدم في مجتمعات ألعاب مختلفة أو حسابات على منصات التواصل الاجتماعي، زاد خطر الربط بين الملفات الشخصية. كما يمنح سياق المشتريات المهاجم فرصة لإعداد فواتير أو طلبات دعم أو رسائل تحقق من الحساب زائفة تبدو مخصّصة للمستخدم.

يشمل النطاق الرئيسي الذي تم التحقق منه في هذا السجل 108,887 عنوان بريد إلكتروني فريدًا. أما نحو 1 مليون سجل شراء أو طلب، فيشير إلى عدد الصفوف؛ ولا ينبغي تفسير هذا العدد على أنه عدد الأفراد الفريدين. فقد يكون المستخدم نفسه قد أجرى معاملات متعددة. لذلك، ينبغي عند توضيح الأمر للمستخدم الفصل بين عدد عناوين البريد الإلكتروني الفريدة وعدد سجلات المعاملات.

فئات البيانات التي تم التحقق منها هي عناوين البريد الإلكتروني وأسماء المستخدمين وسجلات المشتريات. ولا ينبغي إضافة كلمات المرور أو عناوين IP أو أرقام الهواتف أو العناوين الفعلية أو بطاقات الدفع أو الحسابات المصرفية أو الأسماء الحقيقية أو الرسائل الخاصة أو أرصدة الحسابات إلى النطاق الذي تم التحقق منه في هذا السجل. ولا تعني بيانات المشتريات أن معلومات بطاقات الدفع أو المعلومات المصرفية قد تسرّبت. ويقتصر النطاق الصحيح على معرّفات حسابات المستخدمين وسياق المعاملات داخل المنصة.

الفئة الأكثر عرضة للخطر هي الأشخاص الذين اشتروا خدمات على E-Pal أو أنشؤوا ملفًا شخصيًا ظاهرًا باسم مستخدم. وقد يُستهدف هؤلاء المستخدمون بتأكيدات طلبات أو إشعارات إرجاع أو طلبات دعم أو تنبيهات عضوية أو روابط تحقق من الحساب زائفة. وعند استخدام عنوان البريد الإلكتروني واسم المستخدم معًا، قد تبدو الرسالة وكأنها تستند إلى سجل فعلي على المنصة.

يزداد خطر الربط بين الملفات الشخصية لدى من يعيدون استخدام اسم المستخدم نفسه في الألعاب والمجتمعات على منصات التواصل الاجتماعي. وإذا وُجد اسم المستخدم نفسه على منصات مختلفة، فقد يحاول المهاجمون استنتاج تفضيلات الشخص في الألعاب أو علاقاته الاجتماعية أو استخدامه للخدمات. وبالنسبة إلى المستخدمين المسجّلين بعنوان بريد إلكتروني تابع لجهة عملهم، قد يظهر الخطر في صورة رسائل تصيّد موجّهة تمتد من حسابهم الشخصي الاجتماعي أو الخاص بالألعاب إلى بريدهم الإلكتروني المهني.

إذا ظهر عنوان بريدك الإلكتروني في سجل E-Pal، فراجع بعناية رسائل الطلبات أو الإرجاع أو الدعم أو التحقق من الحساب أو الحملات الترويجية في صندوق الوارد. وبدلًا من النقر على الرابط الوارد في الرسالة، سجّل الدخول إلى الحساب المعني مباشرةً من عنوانه الرسمي. ورغم أن هذا السجل لا يؤكد تسريب كلمات المرور، فإن تفعيل المصادقة الثنائية على الحسابات الأخرى التي تستخدم البريد الإلكتروني واسم المستخدم نفسيهما، ومراجعة إعادة استخدام كلمات المرور، إجراء احترازي مناسب.

قد تبدو رسائل الإرجاع أو التحقق من الدفع الزائفة أكثر إقناعًا بسبب سياق سجل المشتريات. وبما أن وجود معلومات البطاقات لم يُتحقق منه في هذا السجل، فينبغي التحقق من طلبات الدفع عبر القنوات الرسمية بدلًا من الذعر. راجع إعدادات الخصوصية في حسابات الألعاب والتواصل الاجتماعي والمجتمعات التي تستخدم فيها اسم المستخدم نفسه. فتقليل ظهور اسم المستخدم في الحسابات غير المستخدمة أو إغلاق تلك الحسابات يخفّض الخطر.

يُظهر حادث E-Pal أن سجلات المشتريات قد تجعل المستخدم عرضة لهندسة اجتماعية موجّهة، حتى إن لم تتضمن بيانات بطاقة دفع. وينبغي للمنصات ألا تحتفظ ببيانات المعاملات مدة أطول من اللازم، وأن تقلّل معرّفات المستخدمين إلى الحد الأدنى، وأن تراقب الوصول إلى سجلات المشتريات بصرامة. ومن جانب المستخدم، فإن استخدام عناوين بريد إلكتروني مستعارة منفصلة لخدمات التواصل الاجتماعي والألعاب المختلفة يجعل الربط بين الملفات الشخصية أكثر صعوبة.

على المدى الطويل، ينبغي للمستخدمين إدارة حسابات الألعاب والتواصل الاجتماعي والأسواق والدفع بكلمات مرور منفصلة. وحتى إن لم تكن كلمات المرور من فئات البيانات التي تم التحقق منها في هذا السجل، فإن تسريب عنوان البريد الإلكتروني قد يزيد محاولات تسجيل الدخول الموجّهة. وتحدّ المصادقة الثنائية وكلمات المرور الفريدة وتقليل تكرار اسم المستخدم والاعتياد على التحقق من رسائل المعاملات المشبوهة عبر القنوات الرسمية من أثر هذه السجلات.

إذا ظهر عنوان بريدك الإلكتروني في هذا السجل، فلا تستنتج أن بيانات بطاقة الدفع أو كلمة المرور الخاصة بك قد تسرّبت؛ فهذه الحقول ليست ضمن النطاق الذي تم التحقق منه. لكن عنوان بريدك الإلكتروني واسم المستخدم وسياق مشترياتك قد تكون موجودة في مجموعة بيانات. وقد يُستخدم هذا المزيج في رسائل دعم أو استرداد أموال أو تحقق من الطلبات أو رسائل ترويجية زائفة.

الإجراء الصحيح هو تجنّب الروابط المشبوهة، والتحقق مباشرةً من حساب E-Pal وحسابات التواصل الاجتماعي والألعاب ذات الصلة، ومراجعة إعدادات الخصوصية في الحسابات التي تستخدم فيها اسم المستخدم نفسه، وتفعيل المصادقة الثنائية على الحسابات المهمة. ويُظهر خرق بيانات E-Pal أن السجلات التي لا تتضمن كلمات مرور قد تخلق أيضًا مخاطر تتعلق بالهندسة الاجتماعية وخصوصية الملفات الشخصية عند اقترانها بسياق سجل المشتريات.