خرق بيانات Facebook

تشمل فئات البيانات التي جرى التحقق منها تواريخ الميلاد وعناوين البريد الإلكتروني ومعلومات جهات العمل والجنس والمواقع الجغرافية والأسماء وأرقام الهواتف والحالات العاطفية. وأهم ما يميز مجموعة البيانات هو الانتشار الواسع لأرقام الهواتف فيها؛ أما عناوين البريد الإلكتروني فلا تظهر إلا في جزء أصغر منها، وليس في جميع الحسابات. ولا تُعد أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهات المهاجمة التي لم يُتحقق منها جزءًا من النطاق المعلن لهذه الحادثة. ويشكّل الجمع بين رقم الهاتف والاسم أساسًا قويًا لرسائل مخصصة للشخص، وإشعارات شحن مزيفة، وانتحال تنبيهات البنوك، وعمليات الاحتيال المتعلقة باستعادة الحسابات.

تُعد حقول مثل تاريخ الميلاد والموقع الجغرافي وجهة العمل معلومات مساندة تُكسب رسالة المهاجم مصداقية. ولا تتيح حقول الملف الشخصي، مثل الحالة العاطفية والجنس، الوصول المباشر إلى الحسابات المالية؛ لكنها قد تُستخدم في اختيار المستهدفين وممارسة الضغط الاجتماعي ومحاولات الإقناع الشخصي. ولا يعني غياب كلمات المرور عن فئات البيانات التي جرى التحقق منها زوال الخطر. فإذا كان رقم الهاتف لا يزال كما هو، فقد تكون بحوزة المهاجم بعض المعلومات المطلوبة للتحقق من الهوية في شاشات استعادة الحساب أو أثناء التواصل مع خدمة العملاء.

سُجّل تاريخ التسرب في 1 أغسطس 2019، وتاريخ الإضافة المتحقق منه في 4 أبريل 2021، وتاريخ آخر تغيير في التحقق في 6 أبريل 2021. ويُعد عدد الحسابات المتأثرة 509,458,528 حسابًا. وقد تظهر أرقام أولية أعلى في تقارير إخبارية مختلفة؛ لكن العدد المستخدم هنا يستند إلى عدد السجلات التي جرى التحقق منها لشاشات البحث وإشعارات المستخدمين. وتقتصر الحقول المسربة على بيانات الملفات الشخصية ومعلومات الاتصال؛ فلا تشمل المعلومات المالية أو الصحية أو محتوى الرسائل الخاصة أو كلمات المرور ضمن النطاق المتحقق منه لهذه الحادثة.

يعود السبب الجذري للحادثة إلى إساءة استخدام آلية قديمة للبحث عن الأشخاص، كانت تتيح مطابقة أرقام الهواتف مع الملفات الشخصية للمستخدمين. وأفادت الشركة بأنها أجرت تغييرات على هذه الآلية في 2019. ومع ذلك، لا يمكن اعتبار الخطر قد انتهى في الماضي، لأن مجموعة البيانات جرى تداولها مجانًا وأُتيحت على نطاق واسع في 2021. ولأن البيانات تضمنت أرقام هواتف وأسماء ومعلومات سياقية من الملفات الشخصية بقيت دون تغيير لسنوات طويلة لدى معظم المستخدمين، فقد يستمر أثرها الأمني مدة طويلة.

تكون المخاطر أعلى لدى الأشخاص الذين يضعون رقم هاتفهم في ملفهم الشخصي على Facebook وما زالوا يستخدمون الرقم نفسه. وينبغي للأشخاص الذين يستخدمون رقم الهاتف عنصرًا للمصادقة في الخدمات المصرفية أو الحسابات السحابية أو البريد الإلكتروني أو أنظمة العمل أو المعاملات مع شركة الاتصالات توخي مزيد من الحذر. وقد يتعرض المستخدمون الذين تظهر في ملفاتهم حقول مثل جهة العمل أو الموقع الجغرافي أو تاريخ الميلاد لمحاولات هندسة اجتماعية أكثر إقناعًا. وتتسع المخاطر بالنسبة إلى المجموعة الصغيرة التي تسربت عناوين بريدها الإلكتروني، لأن ظهور رقم الهاتف وعنوان البريد الإلكتروني معًا يجعل توجيه عمليات الاحتيال المتعلقة باستعادة الحسابات وإعادة تعيين كلمات المرور أسهل.

هناك أيضًا خطر غير مباشر على المستخدمين الذين نقلوا رقمهم القديم إلى شخص آخر. فإذا كان الرقم الوارد في مجموعة البيانات يخص الآن مستخدمًا مختلفًا، فقد يتلقى صاحب الرقم الجديد مكالمات أو رسائل موجهة إلى غيره؛ وقد يواجه صاحب الملف الشخصي السابق التباسًا في الهوية بسبب ارتباط الرقم به في الماضي. أما أصحاب الأعمال الصغيرة والمسؤولون الحكوميون وصنّاع المحتوى والموظفون الذين يتواصلون مع العملاء عبر الهاتف، فبياناتهم أكثر ظهورًا، ولذلك قد تتكرر محاولات إساءة استخدامها بوتيرة أعلى.

الأولوية هي التحقق من الحسابات التي لا تزال تستخدم رقم الهاتف وسيلةً للمصادقة أو لاستعادة الحساب. وحيثما أمكن، يُفضّل استخدام تطبيق مصادقة أو مفتاح أمان مادي بدلًا من الرسائل النصية. وفي حسابات التواصل الاجتماعي، ينبغي التحقق ممن يمكنه العثور على رقم الهاتف، ومن يمكنه الاطلاع على معلومات الملف الشخصي، وما إذا كانت خيارات استعادة الحساب محدّثة. ويجب التحقق بشكل مستقل، عبر القناة الرسمية للخدمة، من رموز التحقق أو تنبيهات البنوك أو رسائل التوصيل أو عروض العمل أو رسائل تتعلق بمكالمات الدعم الواردة من أشخاص غير معروفين، قبل النقر على أي روابط.

إذا كان الحساب لدى شركة الاتصالات يتيح خيارات أمنية مثل كلمات مرور إضافية أو التحقق من الهوية داخل المتجر عند استبدال شريحة SIM أو نقل الرقم، فينبغي تفعيلها. وعلى المستخدمين المتأثرين أيضًا استخدام كلمات مرور فريدة، ومصادقة ثنائية قوية، ومراجعة سجل الجلسات في الحسابات المهمة المرتبطة بعنوان البريد الإلكتروني نفسه. وينبغي إنهاء الجلسات غير المعروفة في حساب Facebook، ومراجعة قائمة الأجهزة الموثوقة، وتقليل إتاحة معلومات الملف الشخصي للآخرين. فرغم أن هذه الحادثة لا تشمل كلمات المرور، يمكن للمهاجمين استخدام معلومات الملف الشخصي المتاحة لهم ذريعةً لإعادة تعيينها.

رغم أن رقم الهاتف وسيلة عملية للتواصل، فإنه يعمل كمُعرّف للهوية يدوم طويلًا. لذلك، بدلًا من إبقاء رقم الهاتف نفسه ظاهرًا في كل خدمة، يكون من الأكثر أمانًا استخدامه فقط في الحسابات التي تحتاج إليه فعلًا. وينبغي تقليل الإتاحة العامة لحقول مثل تاريخ الميلاد وجهة العمل والموقع الجغرافي والحالة العاطفية في ملفات التواصل الاجتماعي. كما أن استخدام قنوات تواصل مختلفة للحسابات المهنية والشخصية يجعل ربط حسابات كثيرة من خلال مجموعة بيانات واحدة أكثر صعوبة.

ينبغي لفرق المؤسسات ألا تعتمد على الطلبات الهاتفية وحدها في إجراءات الدعم والموارد البشرية والشؤون المالية، وأن تضع في الحسبان احتمال تداول أرقام هواتف الموظفين ومعلومات جهات عملهم خارج المؤسسة. وفي إجراءات خدمة العملاء ومكاتب المساعدة، يجب ألا تكون المعلومات التي يسهل الحصول عليها، مثل تاريخ الميلاد أو رقم الهاتف أو العنوان، الوسيلة الوحيدة للتحقق. أما المستخدمون الأفراد، فينبغي لهم جعل ممارسات مثل مراجعة إعدادات الخصوصية بانتظام، وتحديث خيارات استعادة الحساب، والإبلاغ عن الرسائل النصية المشبوهة، وتحديث المصادقة الثنائية جزءًا من روتين حماية طويل الأمد.

لا تعني النتيجة أن كلمة مرورك قد تسربت أو أن حسابك قد جرى الدخول إليه مباشرة. ومع ذلك، ينبغي أن تتوخى الحذر من الرسائل الموجّهة التي قد تصل إلى رقم هاتفك، ومكالمات الدعم المزيفة، ومحاولات تبديل شرائح SIM، وعمليات الاحتيال المتعلقة باستعادة الحسابات. والأولوية هي تعزيز المصادقة الثنائية في الحسابات المهمة المرتبطة برقم هاتفك، وتقليل إتاحة معلومات ملفك الشخصي، وعدم مشاركة رموز التحقق غير المتوقعة مع أي شخص.

إذا كانت نتيجة التحقق سلبية، فهذا يعني فقط أنه لم يُعثر على تطابق في مجموعة البيانات هذه؛ وقد يلزم إجراء عمليات تحقق منفصلة لحوادث أخرى أو مجموعات بيانات أحدث. وإذا كنت تستخدم رقم هاتفك منذ سنوات، فمن الأنسب اتخاذ القرارات الأمنية مع مراعاة أن معلومات ملفك الشخصي القديمة قد لا تزال متداولة. وخاصةً إذا غيّرت رقمك، فتحقق من إزالة الرقم القديم من خيارات استعادة الحساب، ومن استخدام الرقم الجديد للخدمات الضرورية فقط. وتهدف هذه الصفحة إلى توضيح البيانات التي تنطوي على مخاطر، والخطوات التي ينبغي إعطاؤها الأولوية، للمستخدم بهدوء.