خرق بيانات Exactis

تتضمن سجلات Exactis حقولًا تتيح التعرف المباشر على الهوية، مثل عناوين البريد الإلكتروني، والأسماء الكاملة، وأرقام الهواتف، والعناوين الفعلية، وعناوين IP، وتواريخ الميلاد. وتُدرج أيضًا بيانات الملف التعريفي، مثل معلومات الوضع الائتماني، والمستوى التعليمي، والخلفية العرقية، والوضع الأسري، والاهتمامات بالاستثمار المالي، والجنس، وحالة ملكية المنزل، ومستوى الدخل، والحالة الاجتماعية، ونطاق صافي الثروة، والمهنة، والاهتمامات الشخصية، والدين، واللغات التي يتحدث بها الشخص. وقد يتيح هذا المزيج للمهاجمين إعداد عمليات احتيال مخصصة، أو رسائل موجّهة، أو مكالمات تنتحل صفة خدمة العملاء، أو سيناريوهات تصيّد، من دون الحاجة إلى كلمة مرور واحدة.

أخطر ما في هذا الخرق هو أنه يجمع أجزاء من البيانات قد تبدو محدودة الأثر عند النظر إلى كل منها على حدة. فعنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي تجعل الوصول إلى الشخص سهلًا، بينما تشير معلومات الدخل والأسرة والاهتمامات إلى الوعود أو أساليب الضغط التي قد تكون أكثر إقناعًا له. لذلك، يزيد انكشاف بيانات Exactis من مخاطر الهندسة الاجتماعية، وإساءة استخدام الإعلانات الموجّهة، والاحتيال، والتمييز القائم على الملف التعريفي، أكثر مما يزيد من خطر الاستيلاء على الحسابات.

ينبغي اعتماد 131,577,763 حسابًا فريدًا بوصفه النطاق المتحقق منه. ويُفصل هذا العدد عن الادعاءات المتعلقة بحجم البيانات الخام الأكبر، وهو الرقم المستخدم في شاشة التحكم الخاصة بالمستخدم. وتاريخ الخرق محدد في 1 يونيو 2018، بينما تاريخا الإضافة وآخر تعديل محددان في 25 يوليو 2018. ويظل نطاق Exactis مسجلًا بصيغة exactis.com، وبلد الشركة هو الولايات المتحدة، ويُصنّف قطاعها ضمن الوساطة في البيانات وبيانات التسويق.

في حالة Exactis، لا تشمل فئات البيانات المتحقق منها حقولًا مثل كلمات المرور، أو بطاقات الدفع، أو الحسابات المصرفية، أو أرقام الضمان الاجتماعي. لكن هذا لا يعني أن المخاطر منخفضة. فعندما تجتمع حقول الملف التعريفي، مثل الوضع الائتماني والدخل والعنوان والأسرة والمعتقدات، قد يصبح الشخص أكثر عرضة لمحاولات استغلال أسئلة الأمان، وسيناريوهات الاحتيال الموجّهة، والمراسلات المزيفة التي تنتحل صفة مؤسسات. لذلك، ظل تصنيف الخطورة «حرجًا»، نظرًا إلى مستوى المخاطر وعدد السجلات وعمق الملفات التعريفية.

الفئة الأكثر احتمالًا للتأثر بهذه الحادثة هي الأفراد المدرجون في ملفات تعريف المستهلكين أو قوائم التسويق في الولايات المتحدة. وحتى إذا لم يسبق للشخص استخدام Exactis، فمن الممكن أن يكون اسمه أو عنوان بريده الإلكتروني أو عنوانه قد جُمع من قوائم جهات خارجية، بحكم نموذج الوساطة في البيانات. لذلك، لا يتوقف الخطر على امتلاك حساب مستخدم فعلي بالمعنى التقليدي.

قد يصبح المستخدمون الذين يتفاعلون كثيرًا مع حملات المبيعات أو العقارات أو التمويل أو الصحة أو التعليم أو جمع التبرعات أهدافًا أكثر وضوحًا. وبالمثل، قد تظل حقول قديمة من الملفات التعريفية للأفراد الذين استخدموا رقم الهاتف وعنوان البريد الإلكتروني نفسيهما لفترة طويلة قابلة للاستخدام في محاولات الاحتيال. ويمكن أن تساعد بيانات مثل الحالة الاجتماعية والمهنة والدخل والاهتمامات المهاجم على جعل الرسالة تبدو شخصية ومقنعة؛ وهذا يستدعي حذرًا أكبر، خصوصًا تجاه الطلبات الواردة عبر المكالمات الهاتفية والرسائل النصية والبريد الإلكتروني.

بما أن كلمات المرور ليست ضمن فئات البيانات المتحقق منها في سجل Exactis، فلا ينبغي أن تقتصر الخطوة الأولى على تغيير كلمة المرور وحده. وعلى المستخدمين، في المقام الأول، التدقيق بدرجة أكبر في الطلبات غير المتوقعة التي تصل إلى عناوين بريدهم الإلكتروني وهواتفهم وعناوينهم الفعلية. وعند تلقي رسائل تتذرع بأمور مالية أو شحنات أو مؤسسات حكومية أو تأمين أو مدارس أو حملات خيرية أو تجديد اشتراكات، يجب التحقق منها عبر قناة التواصل الرسمية للمؤسسة قبل النقر على أي روابط.

ينبغي استخدام كلمة مرور قوية وفريدة لحساب البريد الإلكتروني، وتفعيل المصادقة متعددة العوامل حيثما أمكن. وبالنسبة إلى الحساب لدى مشغّل الهاتف، ينبغي إعداد رمز PIN إضافي أو كلمة مرور أمنية لعمليات تغيير شريحة SIM، ونقل رقم الهاتف، ومعاملات خدمة العملاء. ولأن بيانات Exactis تشمل العناوين وأرقام الهواتف، فلا ينبغي مشاركة المعلومات مباشرة استجابةً لإشعارات توصيل مزيفة، أو إشعارات ديون، أو عروض استثمار، أو مكالمات استطلاع رأي؛ كما ينبغي التعامل بحذر مع النماذج التي تطلب تاريخ الميلاد والدخل ومعلومات الأسرة.

عند انكشاف البيانات لدى وسطاء من هذا النوع، ينبغي أن تركز الاستراتيجية طويلة الأجل على جعل إعادة استخدام الملف التعريفي الشخصي أصعب، بدلًا من الاكتفاء بتأمين حساب واحد. ويمكن للمستخدمين اختيار عناوين بريد إلكتروني منفصلة للمعاملات المالية والتسوق ووسائل التواصل الاجتماعي والنشرات البريدية، بدلًا من استخدام عنوان واحد لجميع الخدمات. وإذا كان استخدام خدمة ما سيقتصر على حملة أو فترة تجريبية، فإن استخدام عنوان منفصل بدلًا من عنوان البريد الإلكتروني الرئيسي الدائم يقلل من خطر الربط مستقبلًا بين البيانات.

ينبغي مراجعة التقارير الائتمانية والمعاملات المالية على فترات منتظمة، وتفعيل الخدمات التي ترسل إشعارات عند فتح حسابات جديدة أو إجراء استعلامات مشبوهة. ويمكن الاطلاع على النماذج الرسمية لطلب الحذف من قوائم وسطاء البيانات؛ لكن يجب تذكّر أن هذه الإجراءات لا تحقق دائمًا نتائج دائمة. وأقوى سبل الدفاع هي تجنّب القرارات المتسرعة عند تلقي اتصالات غير متوقعة، وعدم إدخال معلومات الملف التعريفي الشخصي في نماذج غير ضرورية، واستخدام وسائل تحقق إضافية للحسابات ذات القيمة العالية.

ينبغي للمستخدمين الذين تظهر بياناتهم ضمن نتائج Exactis على LeakData التعامل مع هذا السجل بوصفه انكشافًا لملف تعريفي مفصّل، لا تسربًا لكلمة مرور. فظهور عناوين البريد الإلكتروني وأرقام الهواتف والعناوين والحقول الديموغرافية معًا قد يسهّل محاولات إرسال رسائل تصيّد مقنعة، وإجراء مكالمات مخصصة للشخص، وتخمين إجابات أسئلة الأمان. لذلك، عند ظهور تحذير، ينبغي مراجعة جميع الحسابات المهمة التي تستخدم عنوان البريد الإلكتروني ورقم الهاتف نفسيهما، بدلًا من الاكتفاء بفحص الموقع المعني.

أنسب الخطوات بعد التحقق هي تعزيز أمان حساب البريد الإلكتروني، وتفعيل المصادقة متعددة العوامل، وإضافة رمز أمان إضافي إلى الحساب لدى مشغّل الهاتف، ومراقبة المعاملات المالية، وتجنّب التفاعل مع اتصالات غير متوقعة. وينبغي أيضًا التدقيق في الرسائل التي تبدو رسمية وتصل إلى العنوان الفعلي، وطلبات تقديم رموز التحقق عبر الهاتف، واستطلاعات الرأي التي تطلب تفاصيل شخصية. ويجب النظر إلى سجل Exactis بوصفه خرقًا ذا أثر كبير، يدل على إمكانية استهداف وسائل التواصل الرقمية والفعلية للشخص، حتى إن لم تتسرب معلومات المصادقة.