خرق بيانات JD.com عام 2013

يذكر السجل الذي جرى التحقق منه أربع فئات من الحقول المنظمة ضمن بيانات بحجم 13 GB: عناوين البريد الإلكتروني، وأسماء المستخدمين، وأرقام الهواتف، وقيم تجزئة كلمات المرور باستخدام SHA-1. وقيمة SHA-1 ليست كلمة مرور بنص صريح، لكنها ضعيفة وفق المعايير الحديثة لتخزين كلمات المرور، وتظل كلمات المرور القصيرة أو المعاد استخدامها عرضة لخطر التخمين دون اتصال.

وصفت تقارير عام 2016 أيضًا نطاقًا أوسع من الحقول، شمل حسابات QQ وأرقام إثبات الهوية، ضمن حزمة بحجم يقارب 12 GB كانت متداولة آنذاك. ولأن حجم تلك الحزمة ونطاق حقولها لم يُحدَّدا على أنهما مطابقان لمجموعة البيانات الخارجية التي جرى التحقق منها، لم تُدمج هذه المعلومات الإضافية الواردة في التقارير ضمن الفئات الأربع للحقول المنظمة. كما أن بطاقات الدفع وسجل الطلبات والحسابات المصرفية ليست ضمن النطاق الحالي للحقول المنظمة.

لأن المصادر لا تكشف عن اليوم الدقيق لوقوع الخرق، فإن حقل التاريخ الذي يحمل 1 يناير 2013 ليس سوى قيمة بديلة تشير إلى السنة فقط؛ ولا يثبت أن الواقعة حدثت في 1 يناير. أما ديسمبر 2016 فهو توقيت بيان الشركة والتقارير عن حزمة البيانات المعروضة للبيع، وليس تاريخ خرق منفصل.

يمثل العدد 77,449,341 عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية التي جرى التحقق منها. وهو لا يقيس عدد الحسابات أو الأشخاص أو إجمالي صفوف ملفات المصدر. ولا توجد في بيئة الإنتاج مهمة لاستيراد بيانات JD أو مجموعة بيانات مفهرسة محليًا لعناوين البريد الإلكتروني أو كلمات المرور أو أرقام الهواتف أو أسماء المستخدمين، لذا لا يُعرض هذا العدد بوصفه إجماليًا محليًا.

يوفر سجل الخرق الذي جرى التحقق منه العدد الدقيق لعناوين البريد الإلكتروني والحقول الأربعة وتفاصيل SHA-1. ويتضمن تقرير TechNode المنشور في 12 ديسمبر 2016 رابطًا إلى إعلان الشركة الرسمي على WeChat، وينقل تأكيد JD لواقعة عام 2013. أما صفحة أخرى من مصدر ثانوي كان السجل الذي جرى التحقق منه يتضمن رابطًا إليها، فأصبحت تُرجع الآن الخطأ 404، ولذلك لا تُستخدم مصدرًا عامًا.

إذا كانت كلمة المرور المستخدمة في JD.com عام 2013 قد استُخدمت أيضًا في خدمة أخرى، فينبغي استبدالها في تلك الخدمة بكلمة مرور فريدة، وتفعيل المصادقة متعددة العوامل حيثما توفرت. وبدلًا من اتباع الروابط في رسائل غير متوقعة تتعلق بالتوصيل أو استرداد الأموال أو العروض الترويجية أو إعادة تعيين كلمة المرور، ينبغي للمستخدمين فتح عنوان JD مباشرةً.

وجود تطابق في عنوان البريد الإلكتروني لا يثبت أن كلمة المرور كانت بنص صريح، أو أن أحدًا استولى على الحساب، أو أن بيانات الدفع والطلبات قد انكشفت. ويقتصر النطاق الذي جرى التحقق منه لهذا السجل على حقول البريد الإلكتروني واسم المستخدم ورقم الهاتف وقيم تجزئة كلمات المرور باستخدام SHA-1 في مجموعة البيانات الخارجية.