خرق بيانات GeniusU

أنواع البيانات التي جرى التحقق منها هي عناوين البريد الإلكتروني والأسماء وعناوين IP والمواقع الجغرافية ومعلومات الجنس والملفات الشخصية على وسائل التواصل الاجتماعي وكلمات المرور. يُعد عنوان البريد الإلكتروني نقطة الربط الأساسية التي تتيح للمهاجم البحث عن المستخدم عبر خدمات مختلفة. وقد يتيح الاسم وروابط الملفات الشخصية الربط بالشخص من خلال حضوره في مجتمع مهني أو مجتمع لريادة الأعمال. ويمكن أن توفّر معلومات عنوان IP والموقع قرائن إضافية عن سياق وصول المستخدم إلى المنصة. أما معلومات الجنس، فرغم أنها لا تكفي وحدها لاختراق حساب، فقد تُستخدم في رسائل مخصّصة للمستخدم.

ينبغي التعامل مع حقل كلمة المرور بوصفه قيم تجزئة محمية باستخدام bcrypt، وليس قيمًا بنص صريح. هذا النوع من التخزين أكثر أمانًا من التخزين بنص صريح؛ لكن المخاطر تظل قائمة عند استخدام كلمات مرور ضعيفة أو مُعاد استخدامها. وقد يختبر المهاجمون على خدمات أخرى توليفات مستخلصة من عناوين البريد الإلكتروني وقيم تجزئة كلمات المرور. ويمكن أن تجعل روابط الملفات الشخصية على وسائل التواصل الاجتماعي ومعلومات الأسماء رسائلَ مثل دعوات الإرشاد الوهمية أو إشعارات الفعاليات أو الوصول إلى الدورات أو رسائل شبكات الاستثمار أو تنبيهات أمان الحساب أكثر إقناعًا. لذلك، لا تقتصر المخاطر على حساب في منصة واحدة.

يُسجَّل تاريخ الخرق في 2 أكتوبر 2020، وتاريخ إضافته إلى فهارس واسعة التغطية لخروقات البيانات في 8 يناير 2021. ويبلغ عدد الحسابات المتحقق منها التي يشملها بحث المستخدمين 1,301,460. وينص القرار التنظيمي على أن البيانات الشخصية لنحو 1.26 مليون مستخدم قد تأثرت، ويحدّد مجموعة البيانات المتأثرة بأنها الاسم وعنوان البريد الإلكتروني والموقع وعنوان IP لآخر تسجيل دخول. ويفيد إعلان الشركة بأن الحقول المتأثرة هي الاسم والبريد الإلكتروني وقيمة تجزئة كلمة المرور والموقع. كما تُدرج فهارس خروقات البيانات معلومات الجنس وروابط الملفات الشخصية على وسائل التواصل الاجتماعي ضمن فئات البيانات الإضافية.

ينبغي توضيح البيانات التي تقع خارج النطاق. فلم يُتحقق من تسرب معلومات بطاقات الائتمان أو الحسابات المصرفية أو البيانات الصحية أو أرقام الهوية الرسمية أو محتوى الرسائل الخاصة أو معاملات الدفع في هذه الحادثة. والمصطلح الصحيح في ما يخص كلمات المرور ليس كلمات مرور بنص صريح، بل معلومات كلمات مرور مجزّأة. ويربط قرار تنظيمي موثوق سبب الحادثة باختراق حساب أحد المطورين والعثور على بيانات اعتماد قاعدة البيانات في بيئة الشيفرة. أما في النص العام الموجّه للمستخدمين، فينبغي تقييم الخطر الرئيسي استنادًا إلى فئات البيانات المتحقق منها والاحتياطات التي ينبغي للمستخدم اتخاذها.

تضم الفئة الأولى المعرّضة للخطر رواد الأعمال والمدربين والمرشدين والطلاب وأعضاء المجتمعات ومتابعي محتوى التطوير المهني ممن فتحوا حسابًا على GeniusU. ويواجه من يستخدمون المنصة ببريد إلكتروني للعمل خطرًا أكبر من الرسائل المستهدفة، لأن عنوان البريد الإلكتروني ومعلومات الاسم قد يتيحان الربط بهويتهم المهنية. ويمكن ربط المستخدمين الذين لديهم رابط لملف شخصي على وسائل التواصل الاجتماعي بحساباتهم على شبكات أخرى. وبالنسبة إلى الأشخاص الذين تتوفر معلومات عن مواقعهم وعناوين IP الخاصة بهم، يصبح تخصيص الرسائل بما يناسب السياق المحلي أو الإقليمي أسهل.

ينبغي لمن يستخدمون كلمة المرور نفسها في حسابات مختلفة للتعليم أو شبكات العمل أو البريد الإلكتروني أو وسائل التواصل الاجتماعي توخي مزيد من الحذر. ففي مجتمعات ريادة الأعمال والتعليم، كثيرًا ما يشارك المستخدمون ملفًا شخصيًا عامًا ومعلومات عن مشاركتهم في الفعاليات وروابط وسائل التواصل الاجتماعي معًا. ويمكن استغلال هذه المعلومات في محاولات الهندسة الاجتماعية، مثل الدعوات الوهمية إلى الفعاليات أو رسائل المستثمرين أو لقاءات المرشدين أو إشعارات الشهادات أو تنبيهات الوصول إلى الدورات. ولا يُعد من توقفوا عن استخدام حساباتهم القديمة بمنأى عن الخطر؛ فقد يظل البريد الإلكتروني والاسم وروابط الملفات الشخصية صالحة لفترة طويلة.

ينبغي للمستخدم الذي يتبين له أنه تأثر بالحادثة أن يتحقق أولًا مما إذا كان قد استخدم كلمة مرور GeniusU في حسابات أخرى. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في مكان آخر، فينبغي تعيين كلمة مرور فريدة وطويلة وقوية لكل حساب. ويجب إعطاء الأولوية لحسابات البريد الإلكتروني ومديري كلمات المرور وحسابات وسائل التواصل الاجتماعي والشبكات المهنية والمنصات التعليمية. وإذا كان الوصول إلى حساب GeniusU متاحًا، فينبغي مراجعة الجلسات والملفات الشخصية الاجتماعية المرتبطة به ومدى ظهور الملف الشخصي وحقل الموقع وتفضيلات البريد الإلكتروني.

ينبغي عدم فتح الروابط مباشرةً إذا كانت تتناول الوصول إلى الدورات أو دعوات الإرشاد أو تذاكر الفعاليات أو الشهادات أو شبكات الاستثمار أو إعادة تعيين كلمة المرور أو أمان الحساب. وإذا لزم الوصول إلى الخدمة، فينبغي إدخال عنوانها يدويًا في المتصفح أو استخدام صفحة تسجيل دخول رسمية معروفة. ويجب عدم مشاركة رموز التحقق أو كلمات المرور استجابةً لطلبات تصل عبر الهاتف أو البريد الإلكتروني أو وسائل التواصل الاجتماعي. وينبغي لمن يستخدمون بريد العمل إبلاغ فريق الأمن الداخلي بظهور بياناتهم في هذه المطابقة، والتأكد من عدم استخدام كلمة المرور نفسها في أدوات العمل.

على المدى الطويل، يُعد استخدام كلمات مرور فريدة لحسابات التعليم والمجتمعات والعمل خط الدفاع الأساسي. ويسهّل مدير كلمات المرور العثور على كلمات المرور القديمة والمُعاد استخدامها. وينبغي عدم مشاركة روابط الملفات الشخصية على وسائل التواصل الاجتماعي إلا عند الحاجة، ومراجعة حقول الملف الشخصي العامة بانتظام. كما أن استخدام عنوان بريد إلكتروني منفصل لحسابات المجتمعات المهنية يجعل الربط بين الهوية الشخصية وهوية العمل في التسرب نفسه أكثر صعوبة. وإذا لم يكن حقل الموقع إلزاميًا، فينبغي تقليل المعلومات الواردة فيه إلى الحد الأدنى.

ينبغي تناول منصات التدريب الخارجية وحسابات شبكات الأعمال كسيناريو مستقل في التدريب على التصيد الاحتيالي لمستخدمي المؤسسات. ويجب أن تكون المصادقة متعددة العوامل وأدوات إدارة الأسرار وعمليات التدقيق الدوري في صلاحيات الوصول إلزامية لحسابات المطورين ومستودعات الشيفرة والوصول إلى قواعد البيانات. وعلى المستوى الفردي، يساعد إبقاء تنبيهات الحساب مفعّلة والحد من الارتباطات بوسائل التواصل الاجتماعي والتحقق من دعوات الفعاليات غير المعروفة وإغلاق حسابات المجتمعات القديمة على خفض المخاطر بصورة مستمرة.

إذا ظهر خرق GeniusU في نتيجة البحث، فقد يكون عنوان بريدك الإلكتروني قد أُدرج ضمن مجموعة بيانات جرى التحقق منها وتضم 1,301,460 حسابًا. ولا تعني هذه النتيجة أن بيانات بطاقة الدفع أو الحساب المصرفي أو البيانات الصحية أو رقم الهوية الرسمي قد تسربت. والحقول المتحقق منها هي عنوان البريد الإلكتروني والاسم وعنوان IP والموقع ومعلومات الجنس وروابط الملفات الشخصية على وسائل التواصل الاجتماعي وقيمة تجزئة كلمة المرور. وأول ما ينبغي التحقق منه هو ما إذا كانت كلمة المرور المستخدمة في GeniusU قد أُعيد استخدامها في حسابات أخرى.

إذا كانت كلمة المرور مُعاد استخدامها، فغيّر كلمات المرور في الحسابات المعنية واحدًا تلو الآخر، وفعّل وسائل تحقق إضافية حيثما أمكن. وقلّل روابط ملفاتك الشخصية والمعلومات الواردة في حقل الموقع والمعلومات الشخصية المتاحة للعامة إذا لم تكن ضرورية. ولا تفتح الروابط المشبوهة التي تتناول الأنشطة أو الدورات أو المرشدين أو الشهادات أو أمان الحساب. ادخل إلى الخدمة عبر عنوانها المعروف، وراجع إعدادات أمان حساب بريدك الإلكتروني. ويتمثل النهج الصحيح للتعامل مع هذه الحادثة في تقليل المخاطر طويلة الأمد على أمان الحساب الناشئة عن البريد الإلكتروني والملف الشخصي والموقع وعنوان IP وقيمة تجزئة كلمة المرور، بدلًا من تضخيم ادعاءات مالية لم يُتحقق منها.