خرق بيانات EyeEm

تشمل فئات البيانات التي تأكد كشفها عناوين البريد الإلكتروني والأسماء وأسماء المستخدمين والنبذات التعريفية في الملفات الشخصية وقيم تجزئة كلمات المرور. وقد أُعلن عن الأرشيف المعروض للبيع على أنه يضم 22,360,765 صفًا من بيانات الحسابات، لكن نحو ثلاثة ملايين صف لم تتضمن عنوان بريد إلكتروني بحسب التقارير. لذلك، فإن المقياس الموثوق لحجم التأثر هو 19,611,022 عنوان بريد إلكتروني فريدًا جرى تحديدها بعد إزالة التكرارات؛ ولا يجوز جمع الرقمين أو عرضهما على أنهما يعبران عن المقياس نفسه. كما لا يجوز افتراض أن كل صف يحتوي على الحقول الخمسة جميعها. يمكن للاسم واسم المستخدم والنبذة التعريفية أن تربط الشخص بأعماله الفوتوغرافية وتجعل التصيد الاحتيالي الموجّه أكثر إقناعًا. وتساعد عناوين البريد الإلكتروني على اكتشاف الحسابات، بينما يمكن استخدام قيم تجزئة كلمات المرور في التخمين دون الاتصال بالخدمة، وفي محاولات الدخول إلى الخدمات التي أُعيد استخدام بيانات الدخول فيها. ولا تندرج معلومات بطاقات الدفع والحسابات المصرفية ضمن فئات البيانات التي تأكد كشفها، لذا ينبغي عدم تقديم هذه الواقعة على أنها كشف لبيانات مالية.

أفادت تقارير بأن معلومات الحسابات سُرقت من خوادم EyeEm في فبراير 2018، ثم عُرضت لاحقًا للبيع مع مجموعات بيانات كبيرة أخرى. وأصبحت الواقعة معروفة علنًا في 11 فبراير 2019؛ وأخطرت EyeEm عملاءها في اليوم التالي وألزمتهم بإعادة تعيين كلمات مرور حساباتهم. أما تاريخ 28 فبراير الوارد في السجل، فيشير إلى حدث لا يُعرف سوى أنه وقع خلال ذلك الشهر، ولا يثبت اليوم الدقيق للاختراق. ووُصفت كلمات المرور في الصفوف التي جرى فحصها بأنها قيم تجزئة باستخدام SHA-1. ولا تثبت الأدلة الموثوقة ما إذا كانت EyeEm قد استخدمت قيمة تمليح خاصة بكل كلمة مرور، لذا فإن وصف هذه القيم بأنها «مملّحة» أو «غير مملّحة» سيكون مجرد تكهن. ناتج SHA-1 ليس نصًا صريحًا، لكن قد يكون من الممكن استعادة كلمات المرور الضعيفة عبر التخمين دون الاتصال بالخدمة. ولم تُحدَّد طريقة الوصول الأولي علنًا، لذلك لا ينبغي إرجاع الواقعة إلى ثغرة بعينها أو طرف ثالث أو تصرف من موظف دون دليل.

تضم الفئة الرئيسية المعرّضة للخطر الأشخاص الذين أنشؤوا حسابًا على EyeEm قبل فبراير 2018، أو سجلوا باستخدام عنوان بريد إلكتروني، أو أدرجوا اسمًا حقيقيًا واسم مستخدم ونبذة تعريفية في ملفاتهم الشخصية. وقد يتلقى المصورون وصنّاع المحتوى المرئي والمتخصصون في الترخيص عروضًا احتيالية مقنعة، لأن الأسماء ومعرّفات الحسابات والملفات التعريفية بالأعمال الإبداعية يمكن جمعها معًا. ويظل الحساب القديم ذا صلة بالمخاطر: فقد يتيح بريده الإلكتروني التعرف على حسابات في خدمات أخرى، وقد يساعد نمط كلمة مرور قديمة في توقع الخيارات الأحدث، كما يمكن لتفاصيل الملف الشخصي أن تدعم رسائل تبدو موثوقة. وقد تتجاوز إساءة الاستخدام الاستيلاء على الحساب لتشمل إشعارات زائفة بشأن حقوق النشر، أو استفسارات عن الترخيص، أو طلبات دفع، أو مطالبات بالتحقق من ملف الأعمال، أو طلبات إعادة تعيين كلمة المرور بهدف الحصول على معلومات جديدة. ولا يثبت إدراج الحساب في مجموعة البيانات أن كل حساب أُسيء استخدامه أو أن كلمة المرور المقابلة لكل قيمة تجزئة قد استُعيدت. فكشف البيانات واستعادة كلمات المرور والاختراق المؤكد للحساب نتائج منفصلة.

أبطلت إعادة التعيين الإلزامية التي فرضتها EyeEm في 2019 صلاحية كلمة المرور القديمة على تلك المنصة، لكن الخطر يظل قائمًا في أي خدمة أُعيد فيها استخدام كلمة المرور نفسها أو كلمة مشابهة. حدّد تلك الحسابات واستبدل كل كلمة مرور أُعيد استخدامها بـكلمة مرور قوية وفريدة؛ ويسهّل مدير كلمات المرور الحفاظ على ذلك. فعّل المصادقة متعددة العوامل في الخدمات المهمة، بدءًا من البريد الإلكتروني، وراجع بيانات الاسترداد والجلسات النشطة بحثًا عن تغييرات لا تعرفها. تعامل بحذر مع إشعارات EyeEm ومقترحات ترخيص الصور ومطالبات حقوق النشر والعروض المتعلقة بملفات الأعمال، وذلك بالتحقق من النطاق الفعلي للمرسل ووجهة الرابط. لا تفتح المرفقات غير المتوقعة؛ وسجّل الدخول بكتابة عنوان الخدمة بدلًا من اتباع رابط في رسالة. احذف قواعد إعادة توجيه البريد وكلمات مرور التطبيقات وطرق الاسترداد التي لا تعرفها، وأنهِ الجلسات غير المعروفة، وراجع النشاط الأمني الأخير.

لا يعني قِدم هذه الواقعة أن بيانات الهوية المكشوفة أصبحت عديمة القيمة. فقد تظل عناوين البريد الإلكتروني وتفاصيل الملفات الشخصية صحيحة لسنوات، وقد تُدمج مجموعات البيانات القديمة مع مجموعات أحدث لبناء ملفات تُستخدم في الاستهداف. أنشئ كلمة مرور مختلفة لكل خدمة، وفعّل تنبيهات تسريب البيانات وكلمات المرور الضعيفة في مدير كلمات المرور، وفضّل استخدام تطبيق مصادقة أو مفتاح أمان مادي للمصادقة متعددة العوامل. ويمكن لعناوين البريد الإلكتروني البديلة المنفصلة أن توضح الجهات التي شُورك معها عنوان ما، وأن تسهّل تمييز الرسائل المشبوهة. كما أن قصر النبذات التعريفية على المعلومات الضرورية يقلل مخاطر الهندسة الاجتماعية؛ فتجنب نشر عنوانك الشخصي أو رقم هاتفك أو تاريخ ميلادك أو موقع تتردد عليه بانتظام دون حاجة واضحة. راجع الجلسات النشطة والتطبيقات المتصلة وإعدادات الاسترداد بانتظام، وأغلق الحسابات التي لم تعد تستخدمها. تحقّق من التنبيهات عبر التطبيق الرسمي أو عنوان تكتبه مباشرة، لا عبر رابط في الرسالة.

يعني تطابق عنوان البريد الإلكتروني أنه ظهر في مجموعة بيانات EyeEm الخاصة بفبراير 2018. ولا يثبت ذلك أن الحساب لا يزال مفتوحًا، أو أن كلمة المرور متاحة كنص صريح، أو أن أحدًا استولى على الحساب. ميّز بين فترة التسريب والإعلان عنه في فبراير 2019، واسأل نفسك عما إذا كنت قد أعدت استخدام كلمة المرور القديمة في خدمات أخرى. إذا ظهر تطابق، فأمّن بريدك الإلكتروني أولًا، ثم الحسابات التي ربما استخدمت فيها كلمة المرور نفسها أو كلمة مشابهة. وعدم العثور على تطابق لا يشكّل ضمانًا مطلقًا للأمان: فقد تكون سجلت بعنوان آخر، أو ربما كان حسابك ضمن الصفوف التي لم تتضمن بريدًا إلكترونيًا، أو قد تكون هناك واقعة أخرى لم يُتحقق منها بعد. اجمع بين الفحوص الدورية وتنبيهات مدير كلمات المرور والمصادقة متعددة العوامل ومراجعة نشاط الحسابات. وعند تقييم الرسائل المشبوهة، افحص معًا النطاق الفعلي للمرسل ووجهة الرابط ونبرة الاستعجال وأي طلبات لكلمة مرور أو دفع. وبذلك يتحول التحقق من تسريب EyeEm القديم إلى ممارسة أمنية مستمرة.