خرق بيانات KnownCircle لعام 2016

يورد سجل الخرق الخارجي تاريخ 12 أبريل 2016، ويصف حصول جهة خارجية على كمية كبيرة من البيانات من الخدمة المتوقفة حالياً عن العمل، وذلك في نحو أبريل 2016. ويذكر أن مجموعة البيانات بصيغة JSON احتوت على غيغابايتات من بيانات التسويق المتعلقة بقطاعي العقارات والتأمين، بما فيها سجلات رسائل البريد الإلكتروني المرسلة وبيانات تتبّع بطاقات الهدايا. ولم يُفصح عن طريقة الوصول الأصلية، أو اليوم الدقيق للوصول، أو وقت النشر، أو رد الشركة.

فئات البيانات الواردة في السجل المنظّم هي عناوين البريد الإلكتروني، ورسائل البريد الإلكتروني، والجنس، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية. ولا تعني هذه القائمة أن جميع الحقول وردت معاً لكل شخص. ولا تشمل الفئات الواردة في السجل الخارجي بطاقات الدفع، أو الحسابات المصرفية، أو أرقام وثائق الهوية الحكومية، أو أرقام الضمان الاجتماعي.

يربط المصدر الخارجي حقل كلمات المرور بتجزئات bcrypt لعدد صغير من موظفي KnownCircle، وليس لجميع العملاء. لذلك لا يُفسَّر هذا الإدراج على أنه تسريب عام لكلمات مرور العملاء أو واقعة تتعلق بكلمات مرور مخزّنة كنص صريح. كما أن ذكر bcrypt لا يثبت بحد ذاته تعذّر استعادة كلمات المرور؛ فهو يحدد فقط صيغة التخزين المذكورة في التقرير.

تؤكد نسخة مؤرشفة من الموقع تعود إلى عام 2017 أن KnownCircle كانت تقدّم أدوات لإدارة علاقات العملاء والبريد الإلكتروني وبطاقات الهدايا والتسويق الرقمي لوكلاء التأمين والوسطاء العقاريين وغيرهم من مقدّمي الخدمات؛ وهذه النسخة المؤرشفة ليست إشعاراً بالواقعة. ويُعيد knowncircle.com حالياً التوجيه إلى صفحة أخرى تحمل علامة Known، ولم يعد يعرض الخدمة السابقة. لذلك يفتح رابط الشركة النسخة المؤرشفة من فترة الواقعة.

لا توجد في بيئة الإنتاج أي مهمة استيراد مرتبطة بهوية KnownCircle، ويبلغ عدد الارتباطات المحلية صفراً في جميع مجموعات عناوين البريد الإلكتروني، وأسماء المستخدمين، وكلمات المرور، وبيانات الهوية، وأرقام الهواتف، وعناوين IP، والحقول الشخصية، والبيانات الحساسة، وبيانات الخروقات العامة. ولا يُعرض العدد الوارد في المصدر الخارجي لعناوين البريد الإلكتروني باعتباره سجلات قابلة للبحث محلياً. وينبغي تغيير أي كلمة مرور تخص موظفاً سابقاً لدى KnownCircle في كل موضع أُعيد استخدامها فيه. أما الآخرون، فينبغي لهم التحقق بشكل مستقل من الرسائل المتعلقة بالعقارات أو التأمين التي تستخدم اسماً أو بريداً إلكترونياً أو رقم هاتف أو عنواناً، وذلك عبر قناة مؤسسية معروفة.