خرق بيانات Fashion Nexus

تشمل أنواع البيانات التي تم التحقق منها في هذا السجل عناوين البريد الإلكتروني والأسماء الكاملة وأرقام الهواتف والعناوين الفعلية وسجلات المشتريات وتواريخ الميلاد ومعلومات الجنس وعناوين IP ومعلومات وكيل المستخدم للمتصفح (user-agent) وبيانات كلمات المرور. وينطوي هذا المزيج من البيانات على مخاطر تتجاوز مجرد إرسال المهاجمين رسائل تصيّد عامة. فإذا كان شخص قد تسوق من متجر أزياء خلال فترات معينة، أو استخدم عنوان توصيل محددًا، أو شارك معلومات اتصال معينة، فقد تُستغل هذه المعلومات بطريقة مقنعة في سيناريوهات مثل عمليات إرجاع وهمية، أو تحديثات التوصيل، أو العروض الترويجية، أو رسوم الشحن، أو التحقق من الحساب، أو إلغاء الطلبات.

وجود بيانات كلمات المرور في صورة قيم تجزئة لا يعني أن كلمة المرور بنصها الصريح تكون ظاهرة فورًا للجميع؛ لكن MD5 وSHA-1 يُعدّان ضعيفين وفق متطلبات الأمان الحالية. وتشكّل قيم MD5 التي لم تُضف إليها قيمة عشوائية خطرًا خاصًا، إذ يمكن مقارنتها بسرعة نسبيًا بقوائم كلمات مرور معدّة مسبقًا. وإضافة قيم عشوائية إلى قيم MD5 وSHA-1 تجعل الهجوم أصعب، لكن الخطر يظل قائمًا لكلمات المرور القصيرة أو المعاد استخدامها أو المبنية على كلمات القاموس. لذلك، إذا كانت كلمة المرور المستخدمة لدى Fashion Nexus أو المتاجر المرتبطة بها قد استُخدمت في مواقع أخرى، فينبغي تغييرها في جميع الحسابات التي تستخدمها.

يبلغ عدد الحسابات الفريدة التي تم التحقق منها 1,279,263 عنوان بريد إلكتروني. وتاريخ الواقعة مسجل في 9 يوليو 2018، ويشمل نطاقها عدة مواقع للتجارة الإلكترونية طورتها White Room Solutions بالتعاون مع مجموعة تجارة التجزئة المعروفة باسم Fashion Nexus. وفي هذا السياق، ترد Jaded London وAX Paris ضمن العلامات التجارية المذكورة على سبيل المثال. لذلك، قد يكون المستخدم قد أنشأ حسابًا أو قدم طلب شراء أو شارك معلومات التوصيل لدى متاجر أزياء مرتبطة بالمجموعة، حتى لو لم يكن يتذكر اسم Fashion Nexus مباشرة.

تقتصر الحقول التي تم التحقق منها في هذا السجل على البيانات الشخصية وبيانات الحساب المذكورة أعلاه. ولا تشمل حقول البيانات المتحقق منها في هذا السجل رقم بطاقة الدفع كاملًا، أو رمز أمان البطاقة، أو الحساب المصرفي، أو وثيقة هوية رسمية، أو محتوى الرسائل الخاصة. ومع ذلك، فإن سجل المشتريات ومعلومات العنوان، وإن لم تكن بيانات بطاقات دفع، قد تكشف عن سلوك المستخدم الفعلي في التسوق ومكان التوصيل وقنوات التواصل معه. لذلك، ينبغي تقييم النطاق أساسًا من منظور مطابقة الهوية وأمان الحساب ومخاطر الهندسة الاجتماعية الموجّهة، لا من منظور بيانات البطاقات المالية.

العملاء الأكثر عرضة للخطر هم الذين يستخدمون البريد الإلكتروني نفسه وكلمة المرور نفسها في المتاجر المرتبطة بشبكة Fashion Nexus. وإذا كانت كلمة المرور نفسها تُستخدم أيضًا في حساب بريد إلكتروني، أو حساب على وسائل التواصل الاجتماعي، أو حساب للتسوق أو الشحن أو الدفع غير المصرفي أو العمل، فقد يستهدف المهاجمون خدمات أخرى باستخدام قوائم كلمات مرور لتجربتها. وينبغي توخي مزيد من الحذر، خصوصًا لدى المستخدمين الذين لم يغيروا كلمات مرورهم القديمة منذ سنوات، ويستخدمون كلمة مرور واحدة في مواقع متعددة، ولا يفعّلون المصادقة الثنائية في حساب بريدهم الإلكتروني.

بالنسبة إلى العملاء الذين تتضمن بياناتهم معلومات العنوان والهاتف، لا يقتصر الخطر على محاولات الدخول إلى الحسابات عبر الإنترنت. فقد ينتحل المهاجمون صفة شركة شحن، أو خدمة عملاء متجر، أو قسم إرجاع المنتجات، أو فريق حملة ترويجية، ويعدّون رسائل تتوافق مع معلومات مشتريات الشخص السابقة. كما قد تسهّل المعلومات الإضافية، مثل تاريخ الميلاد والجنس، تخمين إجابات أسئلة التحقق من الهوية أو إعداد رسائل تبدو مخصصة للشخص. وينبغي لمن يستخدمون معلومات الاتصال نفسها في عدة مواقع للأزياء إجراء عمليات التحقق اللازمة، حتى إن لم يتذكروا بوضوح العلامة التجارية التي تأثروا من خلالها بهذه الواقعة.

الخطوة الأولى هي تغيير كلمة المرور المستخدمة في المتاجر التي قد تكون مرتبطة بشبكة Fashion Nexus فورًا. وإذا كانت كلمة المرور نفسها قد استُخدمت في حساب آخر، فينبغي أيضًا تعيين كلمة مرور فريدة وقوية لكل حساب من تلك الحسابات. ويسهّل استخدام مدير كلمات المرور تعيين كلمات مرور مختلفة وطويلة لكل موقع. وينبغي إعطاء الأولوية لحماية حساب البريد الإلكتروني، لأن روابط إعادة تعيين كلمات مرور حسابات التسوق تصل عادةً عبر البريد الإلكتروني. وإذا لم تكن المصادقة الثنائية مفعّلة في حساب البريد الإلكتروني، فينبغي تفعيلها فورًا.

الخطوة الثانية هي توخي الحذر من الرسائل المتعلقة بالطلبات القديمة وعمليات التوصيل والإرجاع. فإذا طُلب من المستخدم النقر على رابط، أو فتح مرفق، أو إجراء دفعة مرة أخرى، أو تأكيد عنوان، أو إدخال معلومات الهوية، فينبغي التحقق من صحة الرسالة مباشرةً عبر النطاق الرسمي للمتجر المعني. وحتى إن كان المتصلون هاتفيًا يعرفون تفاصيل طلبات سابقة، فإن ذلك وحده لا يثبت موثوقيتهم. وينبغي التحقق بهدوء من الطلبات العاجلة التي ترد بذريعة الشحن أو الإرجاع أو خدمة العملاء.

تُظهر هذه الواقعة أن حسابات التجارة الإلكترونية القديمة قد تظل مصدرًا للمخاطر لفترة طويلة. وينبغي للمستخدمين أن يغلقوا بانتظام حسابات التسوق التي لم يعودوا يستخدمونها، وأن يقللوا معلومات العنوان والهاتف المخزنة، وأن يستخدموا كلمة مرور مختلفة لكل متجر. فقد تحتوي الحسابات المنشأة منذ سنوات، على وجه الخصوص، على كلمات مرور قصيرة أو مكررة، أو عناوين بريد إلكتروني لم يعد من الممكن الوصول إليها. وعندما تُنسى هذه الحسابات، قد تنشأ مخاطر لا تُلاحظ إلا بعد مرور وقت على التسريب.

أما على مستوى الشركات، فتحتاج شركات تجارة التجزئة إلى تحديث أساليب تخزين كلمات المرور باستخدام خوارزميات قوية وحديثة، وتجنب الاحتفاظ ببيانات شخصية غير ضرورية، والقدرة على تتبع سجلات العملاء بحسب مزوّد الخدمة المرتبط بها، والتواصل بشفافية بعد الوقائع. فالأساليب القديمة مثل MD5 وSHA-1 لا توفر حماية كافية حتى إن كانت بيانات كلمات المرور مخزنة في صورة قيم تجزئة. وإذا كانت بيانات العملاء تتداول بين عدة علامات تجارية ومزوّدي خدمات تقنية، فيجب إدارة حدود المسؤولية ودورات حياة السجلات بوضوح.

قد يطابق عنوان البريد الإلكتروني المدرج في هذا السجل حساب عميل استُخدم لدى Fashion Nexus أو أحد متاجر الأزياء المرتبطة بها. وإذا وُجد تطابق، فينبغي للمستخدم تغيير كلمة المرور القديمة، وتحديث أي حسابات أخرى تستخدم كلمة المرور نفسها، ومراجعة سجل تسجيل الدخول إلى حساب البريد الإلكتروني. وإذا لوحظ أي تسجيل دخول مشبوه، أو إشعار غير متوقع بإعادة تعيين كلمة المرور، أو طلب شراء غير معروف، أو تغيير في التوصيل، فينبغي التواصل مع قنوات الدعم التابعة للخدمات المعنية.

التعامل الصحيح مع تسريب بيانات Fashion Nexus يقتضي عدم النظر إلى الواقعة على أنها مجرد مشكلة تخص موقع تسوق قديم. فعندما تتسرب بيانات البريد الإلكتروني والهاتف والعنوان وسجل المشتريات وكلمات المرور في الوقت نفسه، قد يظهر الخطر مجددًا بعد سنوات في سيناريوهات التصيّد ومحاولات اختبار بيانات الدخول إلى الحسابات ومطابقة الهوية. وينبغي للمستخدمين أن يجعلوا تخصيص كلمة مرور فريدة لكل حساب، واستخدام مصادقة ثنائية قوية، والتحقق بعناية من الروابط، وتقليل الحسابات القديمة غير الضرورية عادات أمنية دائمة.