خرق بيانات James Delivery لعام 2020

يحتوي السجل الخارجي الذي جرى التحقق منه على عناوين بريد إلكتروني، ومواقع جغرافية عامة، وأزواج من قيم خط العرض وخط الطول، وقيم تجزئة كلمات المرور من نوع bcrypt. ولا يثبت وجود حقول الموقع أنها تمثل منازل أو أماكن عمل أو نقاط توصيل أو سجل طلبات. كذلك، لا تعني دقة الإحداثيات أن كل صف احتوى على موقع، أو أن الموقع كان محدّثًا.

الأسماء وأرقام الهواتف وعناوين الشوارع الكاملة وبطاقات الدفع والحسابات المصرفية ومحتويات الطلبات ومعلومات الأجهزة ليست من أنواع البيانات المؤكدة في هذه الحادثة. وقيمة تجزئة bcrypt ليست كلمة مرور بنص عادي، رغم أن كلمات المرور الضعيفة أو المعاد استخدامها قد تظل عرضة لخطر التخمين دون اتصال.

تمثل القيمة 1,541,284 عدد عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية التي جرى التحقق منها. أما نحو 1.6 مليون فهو العدد التقريبي للسجلات الذي ورد في التقارير عن عرض البيع المنشور آنذاك، ولم يُعرَّف بأنه عدد الأشخاص أو الحسابات أو عناوين البريد الإلكتروني الفريدة. ولا تُجمع القيمتان، ولا ينبغي استخدام إحداهما بدلًا من الأخرى.

لم يعثر فحص لبيئة الإنتاج على أي مهمة استيراد باسم James أو بيانات مرتبطة محليًا في مجموعات البريد الإلكتروني أو كلمات المرور أو الموقع أو غيرها من مجموعات البيانات على مستوى الأفراد. لذلك، لا يُعرض العدد الدقيق لعناوين البريد الإلكتروني في المصدر الخارجي إلا بوحدة قياسه الخاصة، دون الإيحاء بأنه إجمالي محلي أو عدد للسجلات المستوردة.

يوفّر سجل الخرق الذي جرى التحقق منه العدد الدقيق لعناوين البريد الإلكتروني، وتاريخ الحادثة، وأنواع البيانات الأربعة، والتفصيل المتعلق بـ bcrypt. ويوفّر تقرير مستقل مؤرخ في 29 يونيو 2020 اسم JamesDelivery الوارد في عرض البيع، والعدد التقريبي البالغ 1.6 مليون سجل، والملاحظة بأن العينات التي خضعت للمراجعة بدت حقيقية؛ وينص التقرير نفسه صراحةً على أن الشركات لم تكن قد أكدت الحوادث مباشرةً، وأن James لم تكن قد ردّت.

الرابط الوارد في الفهرس إلى مقال أمني أقدم من مصدر ثانوي يعيد الآن الرمز 404. وتُظهر نسخة محفوظة على Wayback بتاريخ 28 نوفمبر 2020 أن المقال لخّص تقرير عرض البيع نفسه، ولذلك لم يُحتسب بوصفه تأكيدًا مستقلًا. ويمكن حاليًا الوصول إلى jamesdelivery.com.br، وتدعم نسخة مؤرشفة من فترة الحادثة تحديد هوية الخدمة، لكن وجود موقع الشركة ليس دليلًا على خرق البيانات.

قد يساعد ربط عنوان بريد إلكتروني ببيانات الموقع وقيمة تجزئة كلمة المرور في تنفيذ تصيّد احتيالي موجّه ومحاولات استغلال كلمات المرور المعاد استخدامها على مواقع أخرى. إذا كانت كلمة مرور استُخدمت مع James خلال هذه الفترة قد استُخدمت أيضًا في مكان آخر، فينبغي استبدالها بكلمة مرور فريدة، وتفعيل المصادقة متعددة العوامل على حساب البريد الإلكتروني، وتجنّب الروابط في رسائل التوصيل أو إعادة تعيين كلمة المرور غير المتوقعة.

لا تعني مطابقة عنوان بريد إلكتروني أن منزل الشخص أو مكان عمله أو طلباته أو معلومات الدفع الخاصة به قد انكشفت. ويقتصر النطاق المؤكد لهذا السجل على حقول البريد الإلكتروني والموقع العام والإحداثيات وقيم تجزئة bcrypt؛ ولا ينبغي استخلاص استنتاجات أوسع بشأن السلوك الشخصي أو الضرر.