خرق بيانات Kickstarter في 2014

يعتمد سجل الخرق الخارجي تاريخ 16 فبراير 2014. ويؤكد الإشعار الأمني الصادر عن Kickstarter وقوع الحادثة وفئات الحقول المتأثرة، لكنه لا يكشف متى دخل المهاجم إلى النظام لأول مرة، لذا لا ينبغي اعتبار التاريخ الوارد في الكتالوج تاريخًا للوصول الأولي. وقالت الشركة إنه لم يكن لديها دليل على الوصول إلى بيانات بطاقات الائتمان، وإنها، وقت صدور الإشعار، لم ترصد نشاطًا غير مصرّح به إلا في حسابين. ولا يعني هذا التصريح المحدود أنه لم تُؤخذ أي بيانات، ولا يستبعد إساءة استخدامها لاحقًا.

وفقًا للشركة، أُضيفت إلى كل كلمة مرور من كلمات المرور الأقدم قيمة تمليح فريدة، وجرت تجزئتها مرارًا باستخدام SHA-1، بينما استُخدم bcrypt لكلمات المرور الأحدث. ولم تكن كلمات المرور هذه بنص صريح، لكن لا ينبغي اعتبارها محصّنة ضد محاولات تخمينها دون اتصال. ولا يجري الاحتفاظ ببيانات بطاقات الائتمان بوصفها فئة منظّمة. وتُستبعد الأسماء أيضًا لأن مجموعة المصادر المختارة لا تُدرجها بوضوح بوصفها حقلًا عامًا تم التحقق منه في هذه الحادثة.

عالجت عملية الاستيراد المكتملة إلى بيئة الإنتاج، والمقتصرة على البريد الإلكتروني، 5,169,669 سطرًا صالحًا، وأنشأت 5,169,660 ارتباطًا فريدًا لعناوين البريد الإلكتروني في الفهرس الفعلي. ولم تستورد العملية المحلية أسماء المستخدمين أو كلمات المرور أو أرقام الهواتف أو العناوين البريدية، لذلك لا يُدّعى وجود هذه الحقول معًا في البيانات المحلية. ويفوق عدد عناوين البريد الإلكتروني الفريدة في مجموعة البيانات الخارجية عدد الارتباطات المحلية بمقدار 6,803. ولم تُسوَّ الفروق المتعلقة بإصدار مجموعة البيانات وتوحيد صيغ البيانات وإزالة التكرارات؛ ولا يُنسب التفاوت إلى سبب محدد، ولا تُجمع هذه الأرقام معًا.

لا يزال نطاق Kickstarter الحالي وإشعار الحادثة متاحين. ولا يكفي تطابق عنوان بريد إلكتروني وحده لإثبات أن شخصًا أنشأ مشروعًا أو دعم حملة بعينها، أو أن حقول الهاتف والعنوان الخاصة به كانت ضمن بيانات الحادثة. وينبغي لكل من يُحتمل أنه أعاد استخدام كلمة المرور نفسها في خدمة أخرى أن يختار كلمة مرور فريدة لتلك الخدمة، ويمكنه استخدام ميزتَي المصادقة الثنائية وسجل الوصول المتاحتين حاليًا في Kickstarter. وينبغي التحقق من الرسائل غير المتوقعة المتعلقة بالحساب أو الدفع عبر الانتقال بصورة مستقلة إلى النطاق الرسمي، بدلًا من اتباع الرابط الوارد في الرسالة.