خرق بيانات JCPenney لعام 2026

وثّقت تقارير مستقلة مؤرخة في 15 يونيو إدراج جهة تهديد شركة JCPenney وبعض العلامات التجارية المرتبطة بها والتابعة لـ Catalyst Brands وAuthentic Brands Group على موقع للابتزاز. وذكرت تقارير لاحقة مؤرخة في 17 يونيو أن الجهة نشرت بيانات تُنسب إلى JCPenney. تنقل هذه التقارير ادعاءات تتعلق ببيانات الموظفين والهوية والرواتب والضرائب، مع التصريح بوضوح بأنها لم تتحقق بصورة مستقلة من صحة مجموعة البيانات كاملة، وأن تأكيدًا من الشركة لم يكن متاحًا.

تدعم مجموعة البيانات الخارجية، التي أُضيفت لاحقًا إلى سجل موثَّق لخرق البيانات، العدد الدقيق لعناوين البريد الإلكتروني وأنواع البيانات المنظَّمة. ولا يعني هذا التحقق أن الشركة أكدت رواية الهجوم أو هوية جهة التهديد أو طريقة الوصول الأولي. ينبغي فهم 12 يونيو باعتباره تاريخ السجل وتاريخ الإدراج لدى جهة التهديد؛ أما التاريخ الدقيق للوصول إلى الشبكة فغير معروف.

تتضمن القائمة المنظَّمة ثماني فئات: تواريخ الميلاد، وعناوين البريد الإلكتروني، وأرقام وثائق الهوية الصادرة عن جهات حكومية، والمسميات الوظيفية، والأسماء، وأرقام الهواتف، والعناوين الفعلية، وأسماء المستخدمين. ويذكر الوصف النصي في السجل الخارجي أيضًا أرقام الضمان الاجتماعي، بينما تنقل التقارير المستقلة ادعاءات تتعلق بنسخ ممسوحة ضوئيًا لوثائق الهوية ومستندات الرواتب أو الضرائب. ولا ينبغي افتراض أن كل حقل كان موجودًا في كل سجل بريد إلكتروني.

كلمات المرور وبطاقات الدفع والحسابات المصرفية وطلبات العملاء وسجل المشتريات وبيانات برامج الولاء ليست فئات بيانات منظَّمة مؤكدة. ورغم أن السجل يبدو متمحورًا حول الموظفين، فإن القيمة 368,418 ليست عددًا للموظفين أو الأشخاص، ولا ينبغي تعميمها على قاعدة عملاء JCPenney بأكملها.

تؤكد استخبارات التهديدات لدى Google وجود حملة ابتزاز أوسع استهدفت البنية التحتية لـ Oracle PeopleSoft بين 27 مايو و9 يونيو، مع استغلال CVE-2026-35273 بوصفها ثغرة يوم صفر. ولا يذكر ذلك التقرير JCPenney. لذلك يُحتفظ بالادعاء بأن بيانات JCPenney جرى الحصول عليها عبر ثغرة PeopleSoft باعتباره سياقًا محتملًا للحملة، لا باعتباره طريقة وصول أولي جرى التحقق منها.

القيمة 368,418 هي عدد عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية التي جرى التحقق منها؛ وليست مقياسًا لعدد صفوف المصدر أو حسابات الموظفين أو الأشخاص الفريدين. ولعدم وجود استيراد محلي، لا تُعرض هذه القيمة بوصفها إجماليًا محليًا. كما أن وجود تطابق لا يثبت أن الحقول الثمانية كلها كانت موجودة للشخص نفسه.

يمكن لمن تلقوا إشعارًا مراقبة تقاريرهم الائتمانية وحساباتهم الضريبية وحركة الرواتب وبوابات الموظفين السابقين، بحسب الحقول المذكورة في الخطابات التي تلقوها. وينبغي التحقق من الرسائل غير المتوقعة المتعلقة بالموارد البشرية أو W-2 أو المزايا الوظيفية أو التحقق من الهوية عبر قناة رسمية منفصلة؛ كما ينبغي عدم تقديم وثائق الهوية أو رموز الاستخدام لمرة واحدة عبر رابط مشبوه.