خرق بيانات Jefit لعام 2020

تقول Jefit إنها اكتشفت حادثة تتعلق بالبيانات ناجمة عن خلل أمني بعد تلقي عدة بلاغات من المستخدمين؛ وأمّنت خوادمها والحسابات المتأثرة؛ وأصلحت الخلل؛ وأجرت تحقيقًا جنائيًا رقميًا؛ وتواصلت مع جهات إنفاذ القانون. ويذكر إشعار الشركة أن الحسابات المسجلة قبل 20 سبتمبر 2020 ربما تأثرت.

لا يحدد بيان الشركة اليوم الدقيق للوصول الأولي، ولا الجهة التي نفذته، ولا الفترة التي جُمعت خلالها البيانات. لذلك يُعتمد 11 أغسطس بوصفه التاريخ الوارد في السجل الخارجي الموثَّق، لا بوصفه يوم وصول دقيقًا أفصحت عنه الشركة. أما 19 مارس 2021 فهو تاريخ الإشعار العام، وليس تاريخ خرق منفصل.

يسرد إشعار الشركة اسم المستخدم للحساب، وعنوان البريد الإلكتروني المرتبط به، وكلمة المرور بعد تجزئتها باستخدام قيمة ملح فريدة لكل حساب، وعنوان IP المسجّل عند إنشاء الحساب. ويذكر أيضًا أن عنوان IP لم يكن متوفرًا لكل حساب. ولأن المدفوعات كانت تُعالج عبر متاجر أو شركات دفع خارجية، تقول Jefit إنها لم تخزّن معلومات الدفع الخاصة بالعملاء، وإن الحادثة لم تشمل أي بيانات مالية.

يفيد السجل الخارجي الموثَّق بأن كلمات المرور ظهرت في صورة تجزئات vBulletin أو Argon2، وأن عدة ملايين من كلمات المرور التي كُسرت تجزئاتها جرى تداولها لاحقًا. ويستند هذا التفصيل التقني إلى تحليل مجموعة البيانات الخارجية؛ ولا يعني أن الشركة صرّحت بأن جميع الحسابات استخدمت الخوارزمية نفسها أو أن تجزئات كلمات المرور لجميع الحسابات قد كُسرت. ولم يتأكد شمول السجلات الصحية أو سجل التدريبات أو الرسائل الخاصة أو بطاقات الدفع أو الحسابات المصرفية.

يمثل العدد 9,052,457 عدد عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية الموثَّقة. وعالجت مهمة المعالجة ذات العمود الواحد في بيئة الإنتاج 9,034,605 سطرًا من عناوين البريد الإلكتروني، وأنشأت 9,033,145 ارتباطًا فريدًا بعناوين البريد الإلكتروني. وأُعدّ الملف المحلي بتوحيد تنسيق البيانات المأخوذة من عمود البريد الإلكتروني في بنية بيانات مصدر Jefit؛ ولم تُستورد كلمات المرور أو أسماء المستخدمين أو عناوين IP.

يقل العدد المحلي لعناوين البريد الإلكتروني الفريدة عن العدد الخارجي بمقدار 19,312. ولأن المصادر لا تفسر الفروق الناشئة عن إصدار مجموعة البيانات وتوحيد تنسيقها وإزالة التكرارات منها، فلا تُدمج هذه الأعداد. والتطابق المحلي يثبت وجود البريد الإلكتروني فقط؛ ولا يثبت وجود كلمة مرور أو اسم مستخدم أو عنوان IP للشخص نفسه.

إذا كانت كلمة المرور المستخدمة في Jefit عام 2020 قد استُخدمت أيضًا في خدمة أخرى، فينبغي استبدالها في تلك الخدمة بكلمة مرور فريدة، وتفعيل المصادقة متعددة العوامل حيثما كانت متاحة. كما يشجع إشعار الشركة نفسه المستخدمين الحاليين على استبدال كلمة مرور Jefit بتركيبة أقوى.

بدلًا من اتباع الروابط في الرسائل غير المتوقعة المتعلقة بالعضوية أو خطط التمارين أو ربط الأجهزة أو إعادة تعيين كلمة المرور، ينبغي للمستخدمين فتح عنوان موقع Jefit أو تطبيقها مباشرةً. ولا يثبت تطابق البريد الإلكتروني انكشاف بيانات مالية أو صحية أو بيانات التدريبات؛ فنطاق البيانات المؤكد يقتصر على البريد الإلكتروني واسم المستخدم وعنوان IP المسجّل عند إنشاء الحساب وتجزئة كلمة المرور.