خرق بيانات EatStreet

يؤدي اجتماع البيانات في سجل EatStreet إلى مخاطر متعددة المستويات. فعندما يجتمع عنوان البريد الإلكتروني ورقم الهاتف والاسم الكامل والعنوان الفعلي، يستطيع المهاجم التواصل مباشرة مع المستخدم وإرسال رسائل مزيفة تتعلق بالتوصيل أو الطلبات أو الإرجاع أو التحقق من البطاقة. وتوفر معلومات تاريخ الميلاد والجنس سياقًا إضافيًا قد يُساء استخدامه في إجراءات استرداد الحساب أو أسئلة التحقق من الهوية. أما الملفات الشخصية على وسائل التواصل الاجتماعي، فقد تساعد على ربط الشخص بحساباته الأخرى على الإنترنت.

تظل المخاطر قائمة حتى إذا كان حقل كلمة المرور بصيغة تجزئة bcrypt. فخوارزمية Bcrypt حديثة وبطيئة، لكن كلمات المرور الضعيفة أو المعاد استخدامها قد تظل هدفًا للمهاجمين. وقد لا تشكل بيانات بطاقات الائتمان الجزئية خطرًا ماليًا مؤكدًا بالقدر نفسه الذي تشكله معلومات البطاقة الكاملة؛ إلا أن جمعها مع الأرقام الأخيرة للبطاقة أو عنوان الفوترة أو رقم الهاتف قد يجعل المكالمات المصرفية المزيفة وعمليات الاحتيال المتعلقة بالتحقق من الدفع أكثر إقناعًا. وبالنسبة إلى الشركاء، ينبغي أيضًا مراعاة المخاطر المرتبطة بمعلومات الحسابات المصرفية والتوجيه المصرفي.

النطاق الأساسي الذي جرى التحقق منه لهذا السجل هو 6,353,564 حسابًا. وتاريخ الحادثة المسجل هو 3 مايو 2019؛ وقد أُفيد بأن الوصول غير المصرح به اكتُشف وأُوقف في 17 مايو 2019. وفئات البيانات واسعة، لكن لا ينبغي افتراض وجود كل حقل لدى كل مستخدم. فقد تختلف الحقول بين سجلات العملاء وسجلات شركاء المطاعم وسجلات شركاء التوصيل. لذلك، ينبغي ألا يتضمن الوصف عبارات جازمة توحي بتسرب بيانات الحسابات المصرفية أو أرقام البطاقات الكاملة لجميع المستخدمين.

تشمل فئات البيانات الرئيسية التي جرى التحقق منها ضمن نطاق الاستعلام المتاح للجمهور تاريخ الميلاد والبريد الإلكتروني والجنس والاسم وبيانات بطاقات الائتمان الجزئية وكلمة المرور والهاتف والعنوان الفعلي والملف الشخصي على وسائل التواصل الاجتماعي. وتظهر في إشعارات الشركاء حقول مثل اسم خدمة التوصيل واسم الشريك والبريد الإلكتروني والهاتف ومعلومات الحساب المصرفي والتوجيه المصرفي؛ وينبغي تقييم هذه الحقول لكل شريك على حدة. أما بالنسبة إلى العملاء، فتزيد بيانات البطاقة الجزئية والمعلومات المتعلقة بالفوترة والتوصيل من مخاطر الهندسة الاجتماعية. وهذا التمييز مهم لاتخاذ الاحتياطات المناسبة دون إثارة قلق المستخدم بلا داعٍ.

الفئة الأكثر عرضة للخطر هي العملاء الذين يطلبون عبر EatStreet ويعيدون استخدام كلمة المرور نفسها في حسابات أخرى. إذ تتيح بيانات البريد الإلكتروني والهاتف والعنوان والمعلومات المتعلقة بالطلب للمهاجم إعداد رسائل عن التوصيل أو الدفع تبدو واقعية. وإذا تضمنت البيانات معلومات جزئية عن البطاقة أيضًا، فقد يسهل إقناع المستخدم أثناء مكالمات مزيفة تزعم أنها من البنك أو تهدف إلى التحقق من البطاقة. وقد تسهّل تواريخ الميلاد تخمين إجابات أسئلة التحقق الضعيفة المستخدمة في إجراءات استرداد الحساب.

تتعرض المطاعم وشركاء التوصيل أيضًا لمخاطر عالية. وبما أن إشعارات الشركاء تتضمن حقولًا مالية مثل أرقام الحسابات المصرفية وأرقام التوجيه المصرفي، فلا ينبغي أن تقتصر احتياطات هذه الفئة على حماية كلمات المرور أو البريد الإلكتروني. وينبغي مراقبة مدفوعات حسابات الأعمال والمعاملات المصرفية ومحاولات تحويل الأموال غير المصرح بها. وقد يُستهدف موظفو المطاعم أو أصحاب الأعمال الذين يسجلون باستخدام عنوان بريد إلكتروني تابع للشركة بفواتير مزيفة وتحديثات للدفع ورسائل تنتحل صفة دعم المنصة.

إذا كانت كلمة المرور المستخدمة في حساب EatStreet تُستخدم أيضًا في حساب آخر، فينبغي تغييرها فورًا. ومع أن استخدام تجزئة Bcrypt يوفر حماية تقنية جيدة، فإنه لا يجعل كلمات المرور المعاد استخدامها آمنة. وينبغي استخدام كلمات مرور فريدة لحسابات البريد الإلكتروني ووسائل التواصل الاجتماعي وتوصيل الطعام والتسوق والحسابات المرتبطة بالدفع، مع تفعيل المصادقة الثنائية. وينبغي أيضًا تجنب استخدام أجزاء أساسية متطابقة أو متشابهة في كلمات المرور؛ فقد يجرب المهاجمون صيغًا مختلفة استنادًا إلى مؤشرات متسربة تتعلق بكلمات المرور.

ينبغي للعملاء مراقبة معاملات البطاقات ورسائل التوصيل المشبوهة وطلبات التحقق من الحساب بعناية. ومن المفيد تفعيل تنبيهات المعاملات المشبوهة لدى الجهة المصدرة للبطاقة. وبما أن معلومات العنوان والهاتف قد تكون تسربت، فينبغي الانتباه إلى الرسائل النصية والمكالمات، لا إلى رسائل البريد الإلكتروني وحدها. وعلى المطاعم وشركاء التوصيل التحقق من معاملات الحسابات المصرفية، وفحص أي تغييرات غير متوقعة في تعليمات الدفع، ومراجعة المستخدمين المخولين بالوصول إلى حسابات الأعمال.

تُظهر حادثة EatStreet ضرورة حماية بيانات العملاء والبيانات المالية للشركاء ضمن إطار أمني واحد في منظومات طلب الطعام وتوصيله. وينبغي للمؤسسات مراقبة الوصول إلى قواعد البيانات عن كثب، وعدم الاحتفاظ بحقول لا حاجة إليها، وتنقية السجلات القديمة بانتظام، وقصر بيانات البطاقات على الرموز البديلة أو الأرقام الأخيرة متى أمكن. وينبغي استخدام وسائل قوية مثل bcrypt لتخزين كلمات المرور، مع تطبيق سياسة قوية لكلمات المرور والمصادقة متعددة العوامل إلى جانب ذلك.

بالنسبة إلى المستخدمين، يتمثل النهج طويل الأمد في فصل حسابات طلب الطعام والتسوق والدفع باستخدام كلمات مرور فريدة، وعدم مشاركة معلومات الملف الشخصي دون حاجة. فمن الصعب تغيير بيانات مثل العنوان ورقم الهاتف وتاريخ الميلاد، ولذلك قد تُستخدم في عمليات احتيال موجهة لفترة طويلة بعد تسربها. وعلى الشركات والشركاء تعزيز إجراءات الوصول القائم على الأدوار والموافقة على المعاملات ومراقبة حركة الحسابات المصرفية في المنصات التي تحتوي على معلومات الحسابات المالية.

إذا ظهر عنوان بريدك الإلكتروني في هذا السجل، فتحقق من حساب EatStreet ومن جميع الحسابات التي تستخدم كلمة المرور نفسها. واحذر من الرسائل المشبوهة المتعلقة بطلبات الطعام والتوصيل والإرجاع والتحقق من البنك أو البطاقة. فقد تجعل بيانات بطاقات الائتمان الجزئية ومعلومات العنوان محادثات خدمة العملاء المزيفة تبدو مقنعة. وإذا وجدت معاملة لا تعرفها على بطاقتك، فتواصل مباشرة مع الجهة المصدرة للبطاقة ولا تنقر على الروابط الواردة في الرسالة.

إذا كنت شريكًا من المطاعم أو شركاء التوصيل، فراجع أيضًا معاملات الحسابات المالية وإعدادات الدفع. فالإشعارات التي تتضمن معلومات الحساب المصرفي أو التوجيه المصرفي تخص الشركاء؛ لذا من المهم التحقق من عدم إجراء تغييرات غير مصرح بها على حسابات الأعمال. ويُظهر تسرب بيانات EatStreet أن اجتماع بيانات الملفات الشخصية للعملاء والبيانات المالية الجزئية وقيم تجزئة كلمات المرور قد يشكل مخاطر طويلة الأمد تتعلق بالهندسة الاجتماعية وأمان الحساب.