خرق بيانات Figure في 2026

أنواع البيانات المؤكدة في هذا الخرق هي الاسم الكامل وعنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي وتاريخ الميلاد. وقد لا تشكل هذه الحقول منفردة خطرًا مباشرًا على الوصول إلى الحساب يماثل خطر كلمة المرور؛ لكنها، عند جمعها، تكوّن ملفًا غنيًا بالمعلومات يمكن استخدامه لمطابقة الهوية والهندسة الاجتماعية الموجّهة. ويمكن إساءة استخدام عنوان البريد الإلكتروني للتواصل مع المستخدم، ورقم الهاتف للمكالمات أو حملات الرسائل النصية القصيرة (SMS)، والعنوان الفعلي للإيحاء بوجود علاقة حقيقية مع العميل. وقد يساعد تاريخ الميلاد أيضًا في تخمين إجابات أسئلة التحقق من الهوية المستخدمة في مراكز الاتصال.

في حادثة Figure، لم يُتحقق من وجود حقل لكلمة المرور أو بطاقة الدفع، لذا يتمحور الخطر الأساسي حول المصادقة ومكالمات الدعم الزائفة والتلاعب بالقرارات المالية أكثر مما يتمحور حول الاستيلاء على الحسابات. ويمكن للمهاجمين التواصل مع الشخص بذريعة طلب ائتمان أو مراجعة حساب أو خطة سداد أو تحقق من الهوية أو تحديث مستندات. وقد يتصرف من يعرف اسم المستخدم وعنوانه ورقم هاتفه كما لو كان ممثلًا حقيقيًا للشركة. لذلك، تستدعي الحادثة قدرًا كبيرًا من الحذر، حتى في غياب معلومات تتيح الدخول المباشر إلى الحسابات المالية.

يبلغ العدد المرصود لعناوين البريد الإلكتروني الفريدة التي جرى التحقق منها في هذا السجل 967,178. وتاريخ الحادثة هو 28 يناير 2026، أما نشر السجلات للعامة فكان خلال فبراير 2026. وترتبط البيانات بمنصة Figure، وقد أقرت الشركة بأن الوصول تم باستخدام الهندسة الاجتماعية. وهذا تمييز مهم، لأن المخاطر المرصودة لدى المستخدم لا تتعلق بثغرة تقنية فحسب، بل أيضًا باحتمال التلاعب بإجراءات الوصول الداخلية.

تقتصر الحقول التي جرى التحقق منها في هذا السجل على بيانات الاتصال الشخصية ومعلومات الهوية. ولا تشمل فئات البيانات المتحقق منها كلمة المرور أو قيمة تجزئة كلمة المرور أو تفاصيل بطاقة الدفع أو الحساب المصرفي أو التقرير الائتماني أو الدرجة الائتمانية أو وثيقة إثبات الهوية الرسمية أو أموال العملاء أو رصيد المعاملات. وينبغي للمستخدمين التصرف مع مراعاة هذه الحدود: فلا داعي للذعر كما لو كانت الحقول غير الموجودة ضمن البيانات المتحقق منها موجودة بالفعل، لكن يجب ألا يغيب عن الأذهان أن الجمع بين الاسم والعنوان ورقم الهاتف وتاريخ الميلاد قد يكون عامل إقناع قويًا في محاولات الاحتيال المالي.

الفئة الأكثر تعرضًا للخطر هي الأشخاص الذين تعاملوا عبر Figure مع خدمات الائتمان أو التمويل أو المنتجات المالية المرتبطة بالسكن أو الخدمات المالية الرقمية. وحتى المستخدمون الذين استخدموا المنصة للحصول على معلومات فقط قد يكونون قد شاركوا بيانات بريدهم الإلكتروني وهاتفهم وعنوانهم. كذلك، قد يستجيب الأشخاص الذين يبحثون حاليًا عن خدمات مالية بسرعة أكبر لرسائل مثل الموافقة الزائفة على الائتمان أو أمان الحساب أو المستندات الناقصة أو تغييرات أسعار الفائدة أو تحديثات خطة السداد.

بالنسبة إلى المستخدمين الذين تتضمن البيانات أرقام هواتفهم وتواريخ ميلادهم، يتجاوز الخطر رسائل التصيد التقليدية التي تصل إلى صندوق البريد الإلكتروني. فقد تبدو الاتصالات عبر المكالمات الصوتية والرسائل النصية وتطبيقات المراسلة أكثر إقناعًا. وينبغي توخي حذر خاص لمن يستخدمون رقم الهاتف نفسه لحسابات مثل الحسابات المصرفية وبطاقات الائتمان والاستثمارات والعملات المشفرة والتأمين والحكومة الإلكترونية. كما أن إضافة معلومات العنوان تسهّل على المهاجمين إعداد سيناريوهات تتناسب مع منطقة سكن المستخدم أو سجل عمليات التوصيل إليه.

إذا كان لديك حساب مرتبط بـ Figure، فتحقق أولًا من سجل تسجيل الدخول إلى الحساب وإعدادات الأمان. وحتى إن لم يتضمن هذا السجل حقولًا تأكد احتواؤها على كلمات مرور، ينبغي تفعيل المصادقة الثنائية في الحسابات المالية التي تستخدم عنوان البريد الإلكتروني نفسه. ولأن حساب بريدك الإلكتروني يعمل بوصفه نقطة مركزية لإعادة تعيين كلمات مرور الخدمات المالية، فمن الضروري استخدام كلمة مرور قوية وفريدة له. وإذا لاحظت جهازًا غير معروف أو إشعارًا غير متوقع بإعادة تعيين كلمة المرور أو طلبًا لا يخصك، فتواصل مباشرة مع قناة الدعم الرسمية للمؤسسة المعنية.

لا تستجب لطلبات الائتمان أو التحقق من الحساب أو تحديث المستندات أو خطط السداد أو الفحوص الأمنية التي تصلك عبر الهاتف أو البريد الإلكتروني من خلال الرابط المرفق بها. وبدلًا من النقر على الرابط في الرسالة، سجّل الدخول بكتابة اسم نطاق المؤسسة بنفسك في المتصفح، أو استخدم التطبيق الرسمي المسجّل. وحتى إن كان المتصل يعرف اسمك أو عنوانك أو تاريخ ميلادك، فهذا وحده لا يثبت موثوقيته. ويجب التحقق عبر قناة منفصلة من جميع طلبات المعاملات المالية أو صور الهوية أو الرموز الصالحة للاستخدام مرة واحدة أو كلمات المرور أو المدفوعات.

توضح الحادثة أن مخاطر الهندسة الاجتماعية في الخدمات المالية قد تستهدف الموظفين، لا المستخدمين وحدهم. ولحماية المستخدم على المدى الطويل، ينبغي اعتماد كلمة مرور فريدة ومصادقة ثنائية قوية لكل حساب مالي، مع مراقبة الجلسات بانتظام، بوصفها ممارسات أساسية. ولأن عناوين البريد الإلكتروني وأرقام الهواتف تُستخدم لسنوات دون تغيير، فإن نشر هذه المعلومات قد يتيح إعادة استخدامها مرارًا في حملات مختلفة. لذلك، ينبغي التعامل بجدية مع الاتصالات المشبوهة، ليس خلال فترة وقوع الحادثة فقط، بل أيضًا في السنوات التالية.

أما على مستوى الشركات، فتحتاج شركات التكنولوجيا المالية إلى تقييد وصول الموظفين وفق مبدأ الحد الأدنى من الصلاحيات، ومراقبة الوصول غير المعتاد إلى البيانات فور حدوثه، واستخدام خطوات تحقق إضافية لمواجهة محاولات الهندسة الاجتماعية. وترتبط بيانات العملاء بعلاقة الثقة المالية؛ لذلك، يُتوقع توفير مستوى عالٍ من الحماية لحقول مثل الاسم والعنوان ورقم الهاتف وتاريخ الميلاد، حتى إن لم تتضمن معلومات الدفع مباشرة. ويُعد التواصل بشفافية بعد الحادثة، وتوضيح نطاقها، وتزويد العملاء بخطوات أمنية قابلة للتنفيذ، أمورًا مهمة للحد من المخاطر.

إذا ظهر عنوان بريدك الإلكتروني في هذا السجل، فتحقق من تعاملاتك السابقة مع Figure أو الخدمات المالية المرتبطة بها. وإذا كان لديك حساب، فراجع إعدادات الأمان، وفعّل المصادقة الثنائية، وعزّز حماية حساب بريدك الإلكتروني. وفعّل إعدادات الإشعارات على المنصات المالية التي تستخدم فيها رقم الهاتف وعنوان البريد الإلكتروني نفسيهما. وإذا تلقيت طلب ائتمان أو تغيير عنوان أو طلب مستندات أو رسالة بشأن أمان الحساب على نحو غير متوقع، فاستخدم القنوات الرسمية للمؤسسة بدلًا من الروابط الواردة في الرسالة.

خرق البيانات حادثة تنطوي على مخاطر تتعلق باستخدام الهوية في المعاملات المالية، حتى إن كانت حقول البيانات التي جرى التحقق منها محدودة. ويمثل غياب كلمة المرور أو بطاقة الدفع حدًا مهمًا لنطاق الخطر على المستخدم؛ لكن الجمع بين الاسم والعنوان ورقم الهاتف وتاريخ الميلاد قد يساعد المهاجمين على إعداد محادثات مقنعة. والنهج الأنسب هو استخدام وسائل تحقق قوية في جميع الحسابات المالية، وعدم مشاركة الرموز الصالحة للاستخدام مرة واحدة مع أي شخص، والتوقف عن الاستجابة للطلبات العاجلة إلى حين التحقق منها عبر قناة منفصلة، وتذكّر أن المعلومات الشخصية قد تُستخدم مجددًا بمرور الوقت في محاولات احتيال مختلفة.