خرق بيانات JD Group لعام 2023

بحسب تقرير صحفي مستقل نُشر في وقت الواقعة، نُشر ملفان منسوبان إلى JD Group وEveryshop في منتدى يوم 27 مايو، وطابقت العينات التي روجعت التنسيقات المستخدمة في جنوب أفريقيا، وجرى التواصل مع JD Group. ويؤكد بيان الشركة الذي اقتبسه التقرير وقوع خرق، وانكشاف معلومات شخصية مثل الأسماء وبيانات الاتصال وأرقام الهوية، والتحقيق في الواقعة واحتوائها، وأن الشركة ستتعاون مع الجهات التنظيمية.

المتاجر التي ظهر عليها بيان الشركة هي Bradlows وEveryshop وHiFi Corp وIncredible Connection وRochester وRussells وSleepmasters. يحدّد ذلك الأصول الإلكترونية المتأثرة ضمن المجموعة، لكنه لا يثبت أن كل عميل للمتاجر أو كل حساب لدى كل علامة تجارية قد تأثر. ولم يُكشف في المصادر العامة عن طريقة الوصول الأولي، أو الجهة المنفّذة، أو الفترة الدقيقة التي جرى خلالها الوصول.

تحتوي مجموعة البيانات الخارجية التي جرى التحقق منها على خمس فئات منظّمة: عناوين البريد الإلكتروني، والأسماء، وأرقام الهواتف، والعناوين الفعلية، وأرقام الهوية الصادرة عن حكومة جنوب أفريقيا. ويذكر التقرير المستقل أيضًا أعمدة أو عينات إضافية في الملفين المنشورين في المنتدى، تشمل تواريخ الميلاد والجنس وأرقام ضريبة القيمة المضافة. ولا تُدمج هذه الإفادات تلقائيًا في الفئات الخمس التي جرى التحقق منها، كما ينبغي عدم افتراض توافر أي حقل لدى كل شخص.

وفقًا لبيان الشركة، لم تتعرض البيانات المصرفية أو المالية للاختراق. كذلك لا تندرج كلمات المرور وبطاقات الدفع والحسابات المصرفية ومحتويات الطلبات ضمن فئات البيانات المنظّمة الحالية. ولا يثبت تطابق عنوان بريد إلكتروني أن الحقول الخمسة جميعها، بما فيها رقم الهوية، كانت متاحة للشخص نفسه.

يشير العدد 521,878 إلى عدد عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية التي جرى التحقق منها، وليس إلى عدد العملاء أو الأشخاص أو صفوف البيانات في المصدر. وقد عالجت المهمة المحلية ملفًا موحَّد الصيغة يتكوّن من 464,077 سطرًا، أُنشئ فقط من عمود البريد الإلكتروني الصريح في الملف المصدر، وأنشأت 464,077 ارتباطًا فريدًا للبريد الإلكتروني. واستُبعدت الأسماء وأرقام الهواتف والعناوين وأرقام الهوية وجميع الأعمدة الأخرى عمدًا من عملية الاستيراد المحلية.

يقل عدد عناوين البريد الإلكتروني في النطاق المحلي عن المقياس الخارجي بمقدار 57,801. ولا يثبت هذا الفرق وحده غياب بيانات أشخاص، أو وجود واقعة مختلفة، أو خطأ في التحقق. ولأن المصادر لم تُطابق تفاصيل إصدار مجموعة البيانات وتوحيد صيغتها وإزالة التكرارات، يُعرض العددان كلٌّ على حدة.

يمكن لمن تلقّوا إشعارًا من الشركة أو أحد المتاجر الاعتماد على حقول البيانات المذكورة في الإشعار الذي تلقّوه. وإذا كان رقم الهوية أو العنوان من البيانات المعنية، فيمكن مراقبة طلبات الحصول على ائتمان أو فتح حسابات جديدة، وتنبيهات المعاملات، وطلبات التحقق من الهوية غير المتوقعة. ولا ينبغي الوثوق بمتصل لمجرد معرفته برقم هوية صادر في جنوب أفريقيا.

بدلًا من اتباع الروابط في رسائل غير متوقعة تتعلق بالتوصيل أو الأقساط أو الضمان أو استرداد الأموال أو خدمة العملاء، ينبغي فتح عنوان المتجر المعني مباشرةً. ويجب عدم تقديم رموز الاستخدام لمرة واحدة أو كلمات المرور أو تفاصيل الدفع أو وثائق الهوية عبر رسالة أو مكالمة مشبوهة.