خرق بيانات Life360

أنواع البيانات التي ظهرت في هذا السجل هي عناوين البريد الإلكتروني والأسماء وأرقام الهواتف. ولم يُتحقق من حقل كلمة المرور؛ وتتمثل المخاطر الرئيسية في البلاغات الزائفة بشأن الحسابات، ودعوات الانضمام إلى مجموعات عائلية، والهندسة الاجتماعية عبر الهاتف. جرى تقييم كلٍّ من هذه الحقول على حدة؛ ولم تُضف إلى قائمة فئات البيانات أي حقول غير متحقق منها تخص بطاقات الدفع أو الحسابات المصرفية أو وثائق الهوية الحكومية أو الرسائل الخاصة أو السجلات الصحية أو بيانات إضافية للملفات الشخصية.

نظرًا إلى ارتباط علامة Life360 التجارية بمشاركة الموقع، قد يكون المستخدمون أكثر ميلًا إلى تصديق الرسائل المتعلقة بأجهزة وهمية أو دوائر عائلية أو تنبيهات أمنية. ورغم أن عنوان البريد الإلكتروني وحده يعرّض صاحبه لخطر الرسائل غير المرغوب فيها والتصيد الاحتيالي، فإن جمعه مع الاسم أو رقم الهاتف أو العنوان أو عنوان IP أو تاريخ الميلاد أو المعلومات المهنية يسهّل على المهاجم إعداد رسالة أكثر تخصيصًا. لذلك، لم يستند تقييم المخاطر إلى عدد السجلات وحده، بل شمل أيضًا مدى إمكانية استخدام هذه الحقول معًا.

يشمل النطاق المؤكد لشهر مارس 2024 نحو 442,519 عنوان بريد إلكتروني فريدًا. أُبقيت حقول البيانات التي جرى التحقق منها، واستُبعدت الحقول غير المؤكدة. وبذلك، يُطْلَع المستخدم على السجل الحالي دون إثارة قلق لا مبرر له، ودون التقليل من المخاطر الفعلية.

لأن وجود سجل للمواقع أو تفاصيل عن أفراد الأسرة لم يُتحقق منه في هذا السجل، لم تُدرج هذه الحقول في الوصف. ولم تُدمج أي حوادث أخرى متشابهة معه في الاسم ضمن حادثة واحدة كبيرة. وأُبقيت معلومات اسم النطاق واسم الشركة والقطاع ضمن أضيق سياق صحيح ممكن؛ لمنع إضافة تسريبات مكررة أو ربط تسريبات بجهة غير صحيحة.

تشمل الفئات المعرّضة للخطر من لديهم حساب على Life360، أو المستخدمين الذين ترتبط معلومات اتصالهم بالخدمة. وينبغي للمستخدمين الذين تظهر مطابقة لبياناتهم أن ينظروا ليس فقط إلى حسابهم في الخدمة المعنية، بل أيضًا إلى الحسابات الأخرى التي يستخدمون فيها عنوان البريد الإلكتروني نفسه أو اسم المستخدم نفسه أو نمط كلمة المرور نفسه.

قد يواجه الآباء والأمهات ومن يديرون حسابًا عائليًا خطرًا أكبر للهندسة الاجتماعية عبر رسائل مزيفة للتحقق من الأجهزة ورسائل المجموعات العائلية. أما المسجلون باستخدام عنوان بريد إلكتروني تابع لمؤسسة، فقد يتجاوز الخطر حسابهم الفردي؛ إذ يمكن للمهاجمين إرسال رسائل أكثر إقناعًا باستخدام معلومات مثل الاسم أو الدور الوظيفي أو رقم الهاتف أو العنوان أو معلومات الشراء أو معرّف الألعاب أو الملف المهني. لذلك، ينبغي ألا ينظر المستخدمون إلى المطابقة بوصفها مشكلة تقتصر على موقع واحد.

ينبغي للمستخدمين المتأثرين تسجيل الدخول إلى حساباتهم على Life360 مباشرةً عبر التطبيق أو عنوان الموقع الإلكتروني المعروف، ومراجعة إعدادات التواصل والأمان. في الحسابات التي تتضمن حقل كلمة مرور، ينبغي تغيير كلمة المرور في جميع الحسابات التي تستخدم الكلمة نفسها؛ أما الحسابات التي لا تتضمن هذا الحقل، فينبغي التركيز على مخاطر البريد الإلكتروني والهاتف والإشعارات المزيفة. وفي الحالتين، ينبغي حماية حساب البريد الإلكتروني بكلمة مرور قوية وفريدة.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام بياناتها المحفوظة في مدير كلمات مرور موثوق. ويجب عدم الوثوق برسائل مثل رموز التحقق الواردة عبر الهاتف، أو طلبات إعادة تعيين كلمة المرور، أو إشعارات الشحن أو عروض العمل أو الدعم أو الاشتراكات أو الأمان، دون التحقق منها عبر قناة مستقلة.

ضمن ممارسات أمان الأسرة، ينبغي إزالة أرقام الهواتف القديمة، وحماية عناوين البريد الإلكتروني المستخدمة لاسترداد الحسابات، وتوعية أفراد الأسرة بقاعدة عدم مشاركة رموز التحقق. وينبغي مراجعة الحسابات القديمة وحذف غير اللازم منها، وإزالة أرقام الهواتف وحقول العناوين غير المستخدمة، ومعالجة إعادة استخدام أسماء المستخدمين وأنماط كلمات المرور المتطابقة بانتظام. كما ينبغي للمستخدمين استخدام كلمة مرور فريدة لكل خدمة وتفعيل المصادقة الثنائية حيثما أمكن.

من منظور مقدمي الخدمات، يُعد الاحتفاظ بالحد الأدنى من البيانات، وحماية كلمات المرور بقوة، ومراقبة سجلات الوصول، وحذف حقول الملفات الشخصية غير الضرورية، وإخطار المستخدمين بعد حدوث تسريب، من المتطلبات الأساسية. وفي التطبيقات التي تقدم خدمات الموقع، تكتسب حتى بيانات الاتصال أهمية أمنية كبيرة. وفي مثل هذه الحالات، لا تقل دقة توضيح نطاق التسريب أهميةً عن المعالجة التقنية؛ فالمعلومات المبالغ فيها أو الناقصة قد تضلل المستخدم وتدفعه إلى اتخاذ إجراء غير مناسب.

ينبغي للمستخدم أولًا التحقق من وجود مطابقة لعنوان بريده الإلكتروني في هذا السجل. وإذا وُجدت مطابقة، فينبغي افتراض احتمال وجود معلومات الاسم ورقم الهاتف في بعض السجلات، والتحقق أيضًا من الرسائل المتعلقة بأمان الأسرة والأجهزة. ولا يستبعد غياب المطابقة تمامًا إعادة استخدام كلمات مرور قديمة أو استخدام عناوين بريد إلكتروني مختلفة مرتبطة بالخدمة نفسها؛ لذلك، ينبغي مراجعة كلٍّ من الحسابات المهمة على حدة.

ظل هذا السجل مصنّفًا على أنه متحقق منه؛ لكن مؤشر الحساسية بقي معطّلًا لأن الحقول التي جرى التحقق منها لم تتضمن الموقع أو كلمة المرور. وفي هذا التنظيم، أُبقيت حقول البيانات بصيغة فئاتها المعيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية بصياغة أصلية، ولم تُدرج الحقول غير المتحقق منها، ولم يُستخدم مؤشر الحساسية إلا عندما يبرره سياق المخاطر.