خرق بيانات Imgur
تأكّد وقوع خرق بيانات Imgur بعد أن زوّد باحث أمني الشركة ببيانات حسابات تعود إلى فترة سابقة في نوفمبر 2017. ويذكر إشعار Imgur المؤرشف أن نحو 1.7 مليون حساب تأثرت بالخرق في 2014. أما فهرس موثّق لخروقات البيانات فيؤرّخ الحادث، على خلاف ذلك، بسبتمبر 2013، ويذكر أنه شمل 1,749,806 حسابًا. ولأن المصادر لا تفسّر هذا التضارب في السنة، فلا يحدّد العنوان سنة قاطعة للحادث، ولا يُعرض أيٌّ من عامي 2013 و2014 باعتباره تاريخًا لا خلاف عليه.
أنواع البيانات المنكشفة
2- عناوين البريد الإلكتروني
- كلمات المرور
حول خرق البيانات هذا
قالت Imgur إن معلومات الحسابات التي تعرّضت للاختراق اقتصرت على عناوين البريد الإلكتروني وكلمات المرور. وذكرت الشركة أنها لم تطلب من المستخدمين أسماءهم الحقيقية أو عناوينهم الفعلية أو أرقام هواتفهم أو أي معلومات أخرى تكشف هويتهم مباشرة، وأن تلك الحقول لم تكن مشمولة بالخرق. كما أن هذا السجل لا يثبت انكشاف بيانات بطاقات الدفع أو الرسائل الخاصة أو الصور المرفوعة.
كيف كانت كلمات المرور محمية؟
يذكر إشعار الشركة نفسها أن كلمات المرور كانت تُخزّن آنذاك على هيئة تجزئات SHA-256، وأن بعض القيم ربما جرى التوصل إليها بهجمات القوة الغاشمة بسبب قِدم الخوارزمية. ويذكر الفهرس الموثّق أن قيم كلمات مرور بنص صريح ظهرت لاحقًا في البيانات المتداولة، مما يشير إلى احتمال أن تكون تجزئات كثيرة من تلك التي جرى الحصول عليها قد كُسرت لاحقًا. ولا تعارض بين هذين القولين: فتخزين التجزئات في الخدمة لا يمنع المهاجم من تخمين بعض كلمات المرور الأصلية بعد حصوله على تلك التجزئات.
استجابة Imgur والخطوات الآمنة التالية
قالت الشركة إنها تحقّقت من صحة البيانات في 24 نوفمبر 2017، وبدأت بإخطار المستخدمين المتأثرين، وألزمتهم بتغيير كلمات المرور. وقالت أيضًا إنها انتقلت إلى bcrypt في 2016؛ ولا تزال طريقة الوصول الأولي والجهة التي نفّذته غير مؤكّدتين في المصادر العامة. إذا كانت كلمة المرور المستخدمة آنذاك، أو كلمة مشابهة لها، لا تزال مستخدمة في مكان آخر، فاستبدلها بكلمة مرور فريدة وفعّل المصادقة متعددة العوامل. فتطابق عنوان البريد الإلكتروني وحده لا يثبت أن حساب صاحبه الحالي على Imgur مخترق اليوم.
منهجية التحقق والتحرير
تقارن LeakData اسم الحادثة وتاريخها وعدد السجلات المتأثرة وأنواع البيانات المنكشفة بالمصادر المتاحة. لا تُعرض الحقول التي لم يتم التحقق منها على أنها حقائق، وتُحدَّث السجلات عند توفّر أدلة جديدة.
الإبلاغ عن معلومات ناقصة أو غير صحيحة
