خرق بيانات HauteLook لعام 2018

فئات البيانات التي جرى التحقق منها هي تواريخ الميلاد وعناوين البريد الإلكتروني والجنس والمواقع الجغرافية والأسماء وقيم تجزئة كلمات المرور. وعند جمع هذه الحقول معًا، قد تساعد في إنشاء رسائل بريد إلكتروني أو رسائل نصية أو طلبات دعم تبدو مخصصة لأحد العملاء. ويمكن للمعلومات المتعلقة بالاسم وتاريخ الميلاد والموقع أن تجعل الاتصالات الخادعة بشأن مشكلات التسليم أو عروض الخصم أو تجديد العضوية أو التحقق من الدفع تبدو أكثر إقناعًا.

أُدرجت كلمات المرور على هيئة قيم تجزئة bcrypt، لا كنصوص صريحة قابلة للقراءة. وهذا لا يعني أنها كانت ظاهرة مباشرةً، لكن كلمات المرور الضعيفة أو المعاد استخدامها قد تظل مصدر خطر مع مرور الوقت. ولا يثبت التطابق مع قيمة تجزئة لكلمة مرور أن كلمة المرور الحالية قد استُعيدت من تلك القيمة. ويعتمد القرار الأمني المناسب على إعادة استخدام كلمات المرور ومستوى الحماية الحالي للحسابات المعنية.

لا تشمل فئات البيانات التي جرى التحقق منها أرقام بطاقات الدفع أو أرقام الهواتف أو العناوين الفعلية. ولا يعني ذلك أنه لم يتأثر أي سجل آخر لدى الخدمة؛ بل يحدد فقط حدود هذه الواقعة التي جرى التحقق منها. كذلك، لا ينبغي افتراض وجود كل نوع من البيانات في كل تطابق. وينبغي التعامل مع التطابق بوصفه مؤشرًا على خطر شخصي، لا التعامل مع التفاصيل غير المثبتة على أنها حقائق.

التاريخ الوارد في هذه الصفحة هو 7 أغسطس 2018، وعدد السجلات المعتمد هو 28,510,459. ويمثل هذا الرقم نطاق عناوين البريد الإلكتروني الذي جرى التحقق منه؛ وليس إجمالي جميع العملاء الذين خدمتهم الشركة على مرّ الوقت، أو الحسابات النشطة، أو قاعدة المستخدمين الحالية. ولأن عنوان البريد الإلكتروني نفسه قد يظهر في أكثر من سجل، فلا يمكن تحويل إجمالي السجلات مباشرةً إلى عدد الأشخاص.

تُصنَّف HauteLook على أنها خدمة تسوق إلكتروني متخصصة في الأزياء. وترتبط هذه الواقعة بتلك الخدمة وحدها، ولا تدخل العلامات التجارية أو مواقع التسوق الأخرى التي قد تنتمي إلى مجموعة أعمال ذات صلة ضمن النطاق تلقائيًا. وظهور شخص في سجل HauteLook لا يثبت أنه كان يملك حسابًا لدى متجر آخر، أو أن حسابات أخرى قد تأثرت بهذه الواقعة.

لا تثبت المعلومات التي جرى التحقق منها نقطة بداية الاختراق، أو هوية المهاجم، أو موعد نسخ كل ملف بيانات، أو العملاء الذين تلقوا إشعارًا. ويحدد التاريخ الفترة المرتبطة بالواقعة؛ لكنه لا يبيّن بمفرده متى ظهرت البيانات على الإنترنت لأول مرة، أو متى استُخدم كل حساب للمرة الأخيرة. ولا تقلل هذه الجوانب غير المحسومة من أهمية الواقعة، لكنها تستلزم الحذر عند طرح ادعاءات تقنية لا يمكن تأكيدها.

ينبغي إعطاء الأولوية القصوى لحماية الأشخاص الذين أعادوا استخدام كلمة مرور HauteLook في حساب آخر للتسوق أو البريد الإلكتروني أو التواصل الاجتماعي. فالحماية باستخدام bcrypt لا تلغي مخاطر كلمات المرور؛ إذ يمكن تجربة كلمات المرور القصيرة أو المتوقعة أو المعاد استخدامها على أنظمة أخرى. وينبغي لكل من يسجّل الدخول إلى خدمات عديدة باستخدام عنوان البريد الإلكتروني نفسه أن يراجع عاداته في استخدام كلمات المرور، ولا سيما في العضويات القديمة.

ينبغي للأشخاص الذين تتضمن سجلاتهم المطابقة تاريخ ميلاد واسمًا ومعلومات جغرافية أن ينتبهوا إلى الاحتيال المخصص لهم. فقد يستخدم المهاجم هذه التفاصيل في رسائل تتناول تأخر التسليم أو نقاط الولاء أو قسائم الخصم أو تجديد العضوية أو تأكيد الطلبات. ولا تثبت التفاصيل الشخصية الواردة في رسالة أن مرسلها متجر موثوق.

تستحق حسابات التسوق القديمة التي لم تعد تُستخدم الاهتمام أيضًا. فقد يظل عنوان البريد الإلكتروني المسجّل وسيلة لاسترداد الحسابات في خدمات أحدث. وينبغي لمن يستخدمون صندوق البريد نفسه أن يفحصوا بعناية الجلسات غير المألوفة وقواعد إعادة التوجيه وخيارات استرداد الحساب والإشعارات غير المتوقعة بإعادة تعيين كلمة المرور.

أولًا، إذا كنت قد استخدمت كلمة مرور HauteLook في خدمات أخرى، فغيّر كلمات المرور في تلك الخدمات إلى كلمات قوية وفريدة. وإذا كان حساب HauteLook لا يزال متاحًا، فغيّر كلمة مروره أيضًا وفعّل المصادقة متعددة العوامل حيثما يتوفر هذا الخيار. وتُستخدم حسابات البريد الإلكتروني لاسترداد الحسابات في خدمات كثيرة، لذا يجب إعطاء مراجعة كلمة مرور صندوق البريد وتفاصيل استرداده الأولوية.

راجع نشاط الحساب وصندوق البريد الإلكتروني بحثًا عن أحداث غير معتادة. وعند وصول إشعار بتسجيل دخول غير مألوف، أو عرض قسيمة خصم، أو تنبيه بشأن طلب، أو رسالة لإعادة تعيين كلمة المرور، افحص نطاق المرسل والإجراء المطلوب قبل فتح أي رابط. وللتأكد من صحة التنبيه، انتقل مباشرةً إلى العنوان الرسمي المعروف للخدمة بدلًا من اتباع العنوان الوارد في الرسالة.

استخدم قناة الدعم الرسمية للخدمة المعنية عند ظهور نشاط مشبوه. وألغِ صلاحية الوصول إذا أظهرت إعدادات الحساب جهازًا أو جلسة أو عنوان استرداد أو تطبيقًا متصلًا لا تعرفه. ورغم أن تفاصيل بطاقات الدفع ليست ضمن فئات البيانات التي جرى التحقق منها، فمن الحكمة متابعة تنبيهات البنوك والبطاقات لرصد أي نشاط غير معتاد إذا كان حساب التسوق الإلكتروني يحتفظ بوسيلة دفع محفوظة.

يُعد استخدام كلمة مرور طويلة ومختلفة لكل موقع تسوق وخدمة إلكترونية من أقوى وسائل الحماية. ويمكن لمدير كلمات المرور إنشاء كلمات مرور عشوائية وتقليل إعادة استخدامها. وحيثما تتوفر المصادقة متعددة العوامل، يُفضَّل استخدام تطبيق مصادقة أو مفتاح أمان مادي؛ فرُموز الرسائل النصية تضيف حماية، لكنها لا تمنع كل محاولة احتيال مقنعة.

قلّل الإفصاح عن حقول الملف الشخصي غير الضرورية في حسابات التسوق، مثل تاريخ الميلاد والجنس والموقع وتفضيلات التواصل. وتساعد مراجعة تفاصيل الملف الشخصي الظاهرة والعناوين المحفوظة في الحسابات القديمة على تقليل المعلومات التي يمكن استخدامها للاستهداف مستقبلًا. كما يمكن أن يحدّ تقليل المشاركة مع الأطراف الخارجية في إعدادات خصوصية الخدمة من التوزيع غير الضروري للمعلومات الشخصية.

راجع أمان استرداد الحساب على فترات منتظمة. وينبغي إبقاء عناوين البريد الإلكتروني الثانوية وأرقام الهواتف والأجهزة المتصلة والجلسات محدّثة. وأبقِ تنبيهات تسجيل الدخول مفعّلة حيثما أمكن، واستجب سريعًا عند ظهور جلسة غير مألوفة أو تغيير في العنوان. وتحمي هذه الممارسات حسابات جميع العملاء، لا حسابات الأشخاص الذين ظهر لديهم تطابق مع هذه الواقعة وحدهم.

استخدم فحص السجل في هذه الصفحة لمعرفة ما إذا كان عنوان بريدك الإلكتروني يطابق سجلات واقعة HauteLook. ويشير التطابق إلى أن العنوان يقع ضمن النطاق الذي جرى التحقق منه؛ لكنه لا يثبت أن كل نوع من البيانات ظهر في السجل الخاص بك، أو أن كلمة مرور قد استُعيدت، أو أن حسابًا حاليًا قد اختُرق. وتعامل مع النتيجة بوصفها مؤشرًا على خطر شخصي يساعدك على إعطاء الأولوية لمعالجة إعادة استخدام كلمات المرور ومراجعة إعدادات استرداد الحساب.

إذا لم يظهر تطابق، فقد يظل من المفيد تذكّر عناوين البريد الإلكتروني القديمة والتسجيلات البديلة وحسابات التسوق المغلقة. فعدم وجود تطابق لا يضمن عدم وجود معلومات شخصية في مواضع أخرى على الإنترنت. وتظل كلمات المرور الفريدة والمصادقة متعددة العوامل والمراجعة الدورية للحسابات والتحقق المستقل من الرسائل المشبوهة أكثر وسائل الحماية موثوقية.