خرق بيانات GamingMonk

في هذا التسرّب، انكشفت عناوين البريد الإلكتروني وأسماء المستخدمين، إلى جانب الأسماء وأرقام الهواتف وتواريخ الميلاد. ويتيح اجتماع هذه البيانات للمهاجمين صياغة رسائل تبدو مخصّصة للمستلم. ويمكن استخدام أرقام الهواتف في عمليات الاحتيال عبر رسائل SMS، ومكالمات الدعم الزائفة، والاحتيال المتعلق بالتحقق من الحسابات. وتزيد تواريخ الميلاد من مستوى الخطر، إذ تُستخدم في بعض الخدمات للإجابة عن أسئلة الأمان أو للمساعدة في التحقق من الهوية.

يوفّر تخزين كلمات المرور بصيغة تجزئة bcrypt حماية أقوى مقارنة بتخزينها كنص صريح. ومع ذلك، تظل كلمات المرور القصيرة أو الضعيفة أو المعاد استخدامها في حسابات أخرى مصدر خطر. فإذا استُخدمت كلمة المرور نفسها على منصات للبريد الإلكتروني أو الألعاب أو التواصل الاجتماعي أو البطولات أو المدفوعات، فقد يستخدم المهاجمون البيانات القديمة في محاولات تسجيل دخول حالية. لذلك، ينبغي للمستخدمين الذين تأكدت مطابقة بياناتهم مراجعة كلمات مرورهم وإعدادات الأمان في الحسابات المرتبطة بأرقام هواتفهم وتواريخ ميلادهم.

يجب الإبقاء على العدد المؤكد لهذا السجل عند 654,510. ويمثّل هذا العدد نطاق عناوين البريد الإلكتروني الفريدة المشمولة؛ ولا يعني ذلك بالضرورة أن كل سجل يقابل شخصًا حقيقيًا واحدًا. فقد يمتلك المستخدم نفسه حسابات متعددة، أو تظهر عناوين بريد إلكتروني قديمة في سجلات منفصلة، أو توجد بيانات مكررة. ومع ذلك، فإن اجتماع أرقام الهواتف وتواريخ الميلاد وقيم تجزئة كلمات المرور يجعل هذا التسرّب ذا أثر كبير على مجتمع الألعاب.

فئات البيانات المؤكدة هي تواريخ الميلاد وعناوين البريد الإلكتروني والأسماء وكلمات المرور وأرقام الهواتف وأسماء المستخدمين. ويجب توضيح أن حقل كلمة المرور يتضمن قيمة تجزئة باستخدام bcrypt. ولا ينبغي إضافة العنوان الفعلي أو معلومات الدفع أو بيانات الهوية الرسمية أو الرسائل الخاصة أو معلومات الجهاز أو عنوان IP أو مقتنيات اللاعب داخل اللعبة أو سجل المشتريات إلى السجل، لأنها ليست ضمن الحقول المؤكدة. كما أن استمرار المنصة لاحقًا تحت علامة تجارية أخرى لا يُعد دليلًا كافيًا لإضافة فئات بيانات جديدة إلى نطاق الحادثة.

يواجه أعلى مستوى من الخطر المستخدمون الذين يعيدون استخدام كلمة مرور حساب GamingMonk في خدمات أخرى. فكثيرًا ما ينشئ مستخدمو منصات الرياضات الإلكترونية والبطولات حساباتهم باستخدام بريدهم الإلكتروني الشخصي ورقم هاتفهم. ويمكن استخدام هذه المعلومات في مراسلات مثل دعوات البطولات الزائفة أو إشعارات المكافآت أو رسائل التحقق من الحساب أو الدعم. وبما أن رقم الهاتف وتاريخ الميلاد متاحان، يستطيع المهاجمون جعل رسائلهم أكثر تخصيصًا وإقناعًا.

ينبغي أيضًا أن ينتبه اللاعبون النشطون في مجتمعات الألعاب التي تتخذ من الهند مقرًا لها، والمشاركون في البطولات، ومن يستخدمون اسم المستخدم نفسه على منصات مختلفة. فإذا استُخدم اسم المستخدم نفسه أيضًا على وسائل التواصل الاجتماعي أو منصات البث أو متاجر الألعاب، زاد خطر الربط بين الملفات الشخصية. وحتى إذا لم يعد الحساب نشطًا، فإن الخطر يستمر ما دام رقم الهاتف وعنوان البريد الإلكتروني قابلين للاستخدام. لذلك، ينبغي ألا ينحصر اهتمام المستخدم في حسابه القديم على المنصة.

ينبغي للمستخدم الذي يرد عنوان بريده الإلكتروني في هذا السجل التأكد من أن كلمة المرور القديمة لحسابه على GamingMonk لم تعد صالحة لأي حساب آخر. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في خدمات أخرى، فيجب تغييرها فورًا إلى كلمة مرور طويلة وفريدة ويصعب تخمينها. ويقلّل استخدام مدير كلمات المرور من خطر إعادة استخدامها. وعلى الرغم من أن التجزئة باستخدام Bcrypt وسيلة تخزين أقوى، فإنها لا تجعل إعادة استخدام كلمات المرور آمنة.

ينبغي تفعيل المصادقة متعددة العوامل على حسابات البريد الإلكتروني والألعاب والتواصل الاجتماعي والخدمات التي تتضمن مدفوعات، وكذلك الحسابات المرتبطة برقم هاتف. وينبغي أيضًا مراجعة إجراءات أمان حساب المستخدم لدى شركة الاتصالات وتبديل بطاقة SIM. وعند تلقي دعوة غير معروفة إلى بطولة، أو إشعار بمكافأة، أو رسالة للتحقق من الحساب، أو مكالمة دعم، ينبغي للمستخدم التحقق من العنوان والمرسل عبر وسيلة مستقلة قبل النقر على الرابط. كما ينبغي التعامل بجدية مع رسائل SMS والمكالمات المشبوهة.

تُظهر حادثة GamingMonk أن البيانات التي تُجمع في حسابات منصات الرياضات الإلكترونية ومجتمعات الألعاب، مثل أرقام الهواتف وتواريخ الميلاد، قد تنطوي على مخاطر طويلة الأمد. وينبغي للمستخدمين تجنّب تكرار أنماط كلمات المرور وأسماء المستخدمين نفسها في حسابات البطولات والألعاب والتواصل الاجتماعي. ويجب إغلاق الحسابات غير المستخدمة أو عزلها باستخدام كلمة مرور فريدة. كما ينبغي إبقاء تنبيهات الأمان مفعّلة في الحسابات المرتبطة برقم هاتف، ومراجعة خيارات الاسترداد دوريًا.

الدرس الأهم لمقدّمي الخدمات هو عدم الاكتفاء بالتركيز على أمان كلمات المرور، بل العمل أيضًا على الحد من جمع البيانات الشخصية غير الضرورية. فلا ينبغي الاحتفاظ ببيانات مثل رقم الهاتف وتاريخ الميلاد ما لم تكن ضرورية فعلًا؛ وإذا كانت مطلوبة، فيجب إدارة ضوابط الوصول وسجلات التدقيق ومدد الاحتفاظ بالبيانات بصرامة. وينبغي استخدام أساليب قوية لتخزين كلمات المرور، وأن توضح تقارير الحوادث الحقول المتأثرة والحقول التي لم يُتحقق من تأثرها.

عند فحص السجل بحثًا عن بيانات مرتبطة بتسرّب GamingMonk، تبيّن النتيجة ما إذا كان عنوان البريد الإلكتروني المُدخل موجودًا في مجموعة البيانات المؤكدة هذه. وإذا كانت النتيجة إيجابية، فينبغي اعتبار عنوان البريد الإلكتروني والاسم واسم المستخدم ورقم الهاتف وتاريخ الميلاد وقيمة تجزئة كلمة المرور باستخدام bcrypt معرّضة للخطر. أما النتيجة السلبية فتعني عدم العثور على تطابق في مجموعة البيانات المحددة هذه؛ ولا تثبت أن بيانات الشخص لم تتأثر بتسرّبات أخرى. وينبغي تفسير النتيجة في سياق حادثة GamingMonk وحدها.

الإجراء الصحيح للمستخدم هو التوقف تمامًا عن استخدام كلمة المرور القديمة، وتغيير جميع كلمات المرور المعاد استخدامها، وتفعيل الحماية متعددة العوامل على حسابات البريد الإلكتروني والألعاب، وفحص الحسابات المرتبطة بأرقام الهواتف، وتعزيز خيارات الأمان في الخدمات التي تستخدم تاريخ الميلاد للتحقق من الهوية. ولا ينبغي للمستخدم اعتبار الخطر ضئيلًا لمجرد أن الحادثة قديمة أو أن ملكية المنصة انتقلت إلى جهة أخرى. فمعلومات مثل أرقام الهواتف وتواريخ الميلاد قد تُستخدم في الاحتيال الموجّه حتى بعد مرور سنوات.