خرق بيانات KomplettFritid لعام 2021

يحدد السجل الخارجي تاريخ الحادثة بشهر فبراير 2021 فقط، ويستخدم 1 فبراير بوصفه بداية ذلك الشهر لأغراض تقنية؛ ولأن يوم الوصول الدقيق غير معلن، يسجل هذا الإدخال التاريخ بدقة الشهر فقط. في يناير 2023، أفادت المجلة التقنية النرويجية Digi بأن معلومات مسروقة تخص نحو 140,000 عميل كانت معروضة للبيع. ويذكر عنوانها وملخصها المتاحان للجمهور أن الشركة أقرت بإمكانية إساءة استخدام المعلومات الشخصية؛ أما التفاصيل التي تتطلب اشتراكًا للاطلاع عليها فلا تُعد متحققًا منها بصورة مستقلة.

يوفر السجل الخارجي المتحقق منه 139,401 عنوان بريد إلكتروني فريدًا وست فئات من البيانات. ويذكر أن معظم كلمات المرور كانت قيم تجزئة باستخدام bcrypt، بينما ظهر عدد قليل منها بنص صريح. ولم يُكشف عن طريقة الوصول الأولي، أو التوقيت الدقيق للحصول على البيانات أو نشرها، أو عدد كلمات المرور المكتوبة بنص صريح، أو مدى توافر كل حقل في السجلات.

عالجت مهمة الاستيراد المحلية المكتملة عمود البريد الإلكتروني المحدد صراحةً فقط في komplettfritid-emails.txt. وقبلت 139,374 سطرًا صالحًا، ثم كتبت 139,350 ارتباطًا فريدًا بعناوين البريد الإلكتروني في الفهرس التشغيلي بعد تحويل الأحرف إلى أحرف صغيرة وإزالة التكرارات. ويعكس الفارق البالغ 24 سجلًا بين المدخلات الصالحة والارتباطات المفهرسة عملية إزالة التكرارات هذه.

يزيد القياس الخارجي البالغ 139,401 عنوان بريد إلكتروني فريدًا بمقدار 51 عن عدد الارتباطات في الفهرس المحلي التشغيلي. ولا تُجمع القيمتان معًا. ولا تتضمن مهمة الاستيراد المحلية أي عمود لعنوان IP أو الاسم أو كلمة المرور أو رقم الهاتف أو العنوان الفعلي، ولذلك لا تعني فئات البيانات الواردة في السجل الخارجي أن تلك الحقول مخزنة مع نتيجة مطابقة محلية للبريد الإلكتروني.

لا يزال اسم النطاق komplettfritid.no يُحلّ إلى عنوان IP، ولا يزال التفاوض على TLS يعمل، لكن الموقع يعرض حاليًا صفحة Shopify بعنوان “المتجر غير متاح” مع رمز HTTP 402. وتؤكد أحدث نسخة مؤرشفة تعمل، والمؤرخة في 17 فبراير 2026، هوية المتجر بوصفه بائعًا لمستلزمات الأنشطة الخارجية والتخييم والملابس؛ وليست إشعارًا بالحادثة. لذلك يفتح رابط الشركة تلك النسخة المؤرشفة بدلًا من واجهة المتجر غير المتاحة.

بما أن كلمات المرور من فئات البيانات المؤكدة، ينبغي لكل من يعلم أنه استخدم كلمة مرور في هذه الخدمة أن يغيّرها في كل موضع أعاد استخدامها فيه، وأن يستخدم كلمة مرور فريدة. وقد يجعل الجمع بين بيانات العنوان ورقم الهاتف والبريد الإلكتروني رسائل التصيد المتعلقة بالتوصيل أو خدمة العملاء أكثر إقناعًا، لذا ينبغي التحقق من رسائل الدفع أو التوصيل أو إعادة تعيين كلمة المرور غير المتوقعة عبر قناة معروفة. ولا تندرج بطاقات الدفع والحسابات المصرفية ضمن فئات البيانات في السجل الخارجي.