خرق بيانات KitchenPal لعام 2023

أفاد تقرير مستقل نُشر في 23 نوفمبر 2023 بأن الجهة المهاجمة عرضت للبيع قاعدة بيانات تضم 146,000 سطر، ونشرت عينة تتعلق بـ28 شخصًا. وأكد رد KitchenPal، الذي نُقل مباشرةً في التقرير، حدوث محاولة هجوم على خوادمها في ذلك الأسبوع، وانكشاف قدر محدود من بيانات المستخدمين، ومعالجة المشكلة، وإجراء تدقيق شامل للنظام، والتواصل مع المستخدمين الذين ربما تعرضت بياناتهم للاختراق. ولم تؤكد الشركة طريقة الوصول الأولي، أو المدة الكاملة للوصول، أو ادعاء الجهة المهاجمة بشأن العدد الإجمالي للصفوف.

يعتمد السجل الخارجي لخرق البيانات تاريخ 14 نوفمبر 2023، وينقل عن KitchenPal أن مجموعة البيانات تعود إلى بيئة مرحلية تضم عددًا قليلًا من المستخدمين الحقيقيين لأغراض تصحيح الأخطاء، وأن كلمات المرور المرتبطة بها لم يكن من الممكن استخدامها. ويمثل هذا التاريخ علامة زمنية للحادثة في السجل الخارجي، وليس وقتًا مُعلنًا للوصول الأولي. ولأن المعنى التقني لعبارة «لم يكن من الممكن استخدامها» لم يُنشر، فلا يُستنتج منها ادعاء أوسع بأن الوصول إلى الحسابات كان مستحيلًا.

إلى جانب عناوين البريد الإلكتروني والأسماء، تسرد مجموعة البيانات الخارجية حقولًا لم تُملأ بالكامل، تشمل تواريخ الميلاد، والجنس، والمواقع الجغرافية، والسمات الجسدية مثل الطول والوزن، ومعرّفات الملفات الشخصية على المنصات الاجتماعية، وتجزئات كلمات المرور باستخدام bcrypt. ويعني هذا النقص المصرّح به أنه لا ينبغي افتراض توافر الفئات الثماني معًا لكل شخص. ويستخدم عدد عناوين البريد الإلكتروني الفريدة البالغ 98,726 وادعاء الجهة المهاجمة بوجود 146,000 سطر وحدتين مختلفتين؛ ولا تُضاف صفوف العينة إلى أي من الإجماليين.

لا توجد في بيئة الإنتاج مهمة استيراد مرتبطة بهوية KitchenPal. ولا تضم مجموعات بيانات البريد الإلكتروني، وأسماء المستخدمين، وكلمات المرور، والهوية، والهاتف، وIP، والحقول الشخصية، والبيانات الحساسة، وبيانات خروقات البيانات العامة أي ارتباطات محلية. ولذلك لا يُعرض عدد عناوين البريد الإلكتروني الوارد في المصدر الخارجي بوصفه سجلات قابلة للبحث محليًا. ويعمل نطاق KitchenPal الحالي ويؤكد هوية التطبيق المخصص لإدارة المؤن والتسوق وتخطيط الوجبات. وإذا أُعيد استخدام كلمة مرور كانت مستخدمة خلال فترة الحادثة في خدمة أخرى، فينبغي استبدالها في تلك الخدمة بكلمة مرور فريدة؛ كما ينبغي التحقق من رسائل الحساب غير المتوقعة عبر التطبيق الرسمي أو بفتح النطاق بصورة مستقلة.