تسرّب بيانات Engrenagem Virtual (2020)

أُخذ في الاعتبار أثناء تقييم التحقق اسم Engrenagem Virtual والنطاق engrenagemvirtual.com.br وتوقيت الحادثة في يوليو 2020 وحجم البيانات الذي يتجاوز 430 ألف سجل، إلى جانب ظهور معلومات تجزئة كلمات المرور بصيغة SHA-256 مع التمليح وحقول الملف الشخصي. لم تحظَ الادعاءات الأشد خطورة، مثل وجود حقل CPF أو الهوية الرسمية، بدعم متسق، ولذلك لم تُضف إلى السجل. أُبقي على تصنيف هذا السجل باعتباره حادثة تتعلق بأمان الحساب وبيانات الملف الشخصي، ولم يُوسّع نطاقه ليشمل ادعاءات غير مدعومة بشأن بيانات مالية أو وثائق رسمية.

يعرّض تسرّب بيانات Virtual Gear المستخدمين لمخاطر تشمل الاستيلاء على الحسابات والتصيّد الذي يتخذ من التعليم أو التسويق موضوعًا له والهندسة الاجتماعية الموجّهة. عند الجمع بين حقول البريد الإلكتروني والاسم ورقم الهاتف وتاريخ الميلاد والجنس والحالة الاجتماعية، يمكن للمهاجمين تخصيص رسائل لكل شخص تتعلق بالتدريب أو تطوير الأعمال أو الاشتراكات أو الشهادات أو الحملات. كما أن وجود حقل لكلمة مرور مجزّأة يثير خطر محاولة استخدام كلمات المرور نفسها أو كلمات مرور ضعيفة للدخول إلى خدمات أخرى. لذلك، لا ينبغي اعتبار الحادثة مجرد تسرّب لقائمة جهات اتصال.

تكتسب فئات البيانات الظاهرة في هذه الحادثة أهمية من حيث الملف الشخصي وأمان الحساب. فقد يُساء استخدام تاريخ الميلاد في إجراءات التحقق لدى فرق الدعم. ويسهّل رقم الهاتف استهداف المستخدم عبر الرسائل النصية القصيرة والمكالمات. ويمكن استخدام حقول الملف الشخصي، مثل الحالة الاجتماعية والجنس، لتخصيص الرسائل. ولا تزيل معلومات تجزئة كلمات المرور بصيغة SHA-256 مع التمليح تمامًا خطر التخمين دون اتصال بالإنترنت عندما تكون كلمات المرور ضعيفة أو معاد استخدامها.

ينبغي لمن لديهم حساب لدى Virtual Gear أو يستخدمون عنوان البريد الإلكتروني نفسه إعادة تعيين كلمات المرور في الحساب المعني وفي الحسابات الأخرى التي تستخدم كلمة المرور نفسها. وينبغي البدء بفحص حسابات البريد الإلكتروني ومنصات التعليم وشبكات التواصل الاجتماعي والتسوّق والدفع والعمل. كما ينبغي تفعيل المصادقة متعددة العوامل حيثما أمكن، وإنهاء الجلسات القديمة، ومراجعة تنبيهات تسجيل الدخول غير المتوقعة. ويجب التحقق من روابط الشهادات أو الدورات أو الاشتراكات أو الحملات مباشرةً عبر القنوات الرسمية المعروفة.

بالنسبة إلى المؤسسات، يبيّن تسرّب بيانات Engrenagem Virtual ضرورة حماية بيانات الملف الشخصي وأمان كلمات المرور معًا على منصات التعليم والتسويق الرقمي. وينبغي ألا تُجري فرق الدعم تغييرات على الحسابات بالاعتماد على الاسم أو رقم الهاتف أو تاريخ الميلاد وحده. ويلزم تحقق إضافي لإجراءات مثل تغيير البريد الإلكتروني واستعادة الحساب وتحديث الاشتراك والوصول إلى الشهادات. وينبغي للمؤسسات أن توضّح للمستخدمين كيفية تمييز دعوات التدريب المزيفة أو رسائل الحملات المزيفة، وأن تشجّعهم على التوقف عن استخدام كلمات المرور القديمة.

اقتصر نطاق سجل تسرّب بيانات Virtual Gear على الحقول المدعومة بالأدلة. وأُبقي على عدد السجلات عند 430,936؛ ولم يُضف أي ادعاء بوجود بيانات هوية رسمية أو بطاقة دفع أو حساب مصرفي. وتقتصر فئات البيانات على البريد الإلكتروني والاسم ورقم الهاتف وتاريخ الميلاد وحقول الملف الشخصي ومعلومات كلمات المرور المجزّأة. ومع ذلك، فإن اجتماع بيانات الملف الشخصي وحقول تجزئة كلمات المرور يشكّل خطرًا بالغًا على أمان الحساب. وإذا استُخدمت كلمة المرور نفسها في حسابات أخرى، فقد لا يقتصر الأثر على المنصة المعنية.

قُيّم مستوى الخطر العام بأنه بالغ الخطورة، لأن تسرّب بيانات Engrenagem Virtual يجمع بين حقول الملف الشخصي والمخاطر المرتبطة بأرقام الهواتف وكلمات المرور المجزّأة. وتتمثل أكثر الخطوات العملية للمستخدمين الذين يبحثون عن تسرّب بيانات Engrenagem Virtual في إعادة تعيين كلمات المرور، وتجنّب إعادة استخدام كلمة المرور نفسها، وتفعيل تحقق إضافي في حسابات البريد الإلكتروني والحسابات المهمة، والتحقق بصورة مستقلة من روابط التدريب والحملات، وعدم الوثوق بالرسائل لمجرد احتوائها على معلومات شخصية صحيحة. أُعدّ هذا السجل لشرح الأثر الفعلي على أمان الحساب دون إضافة أنواع بيانات غير مدعومة بالأدلة.