خرق بيانات LiveAuctioneers

يمكن لحقول البيانات في هذا الخرق أن ترسم صورة عامة عن هوية صاحب حساب المزادات ومعلومات الاتصال به. ويُعد عنوان البريد الإلكتروني واسم المستخدم نقطتين أساسيتين تستهدفهما محاولات الوصول إلى الحساب ورسائل التصيد الاحتيالي. ويمكن أن يجعل الاسم الكامل ورقم الهاتف والعنوان الفعلي محاولات الاحتيال أكثر إقناعًا عندما تأتي في صورة إشعارات شحن مزيفة، أو فواتير مزيفة، أو تذكيرات دفع مزيفة، أو تنبيهات بشأن أمان الحساب، أو عروض لمقتنيات مرتفعة القيمة. كما تضيف عناوين IP مخاطر مرتبطة بنشاط الحساب والموقع التقريبي.

تزيد حماية سجلات كلمات المرور بقيم تجزئة MD5 من دون ملح تشفيري من مستوى الخطر. تُعد MD5 ضعيفة لتخزين كلمات المرور وفق المعايير الحديثة؛ ويمكن كسر تجزئة كلمات المرور بسرعة، ولا سيما إذا كانت قصيرة أو سهلة التوقع أو ظهرت في تسريبات أخرى. وإذا أُعيد استخدام كلمة المرور نفسها في حسابات البريد الإلكتروني أو الدفع أو وسائل التواصل الاجتماعي أو الأسواق الإلكترونية أو المزادات الأخرى، فقد تمتد آثار حادثة بيانات واحدة إلى حسابات متعددة. ويمكن أيضًا استخدام حقول مثل العنوان الفعلي ورقم الهاتف في عمليات احتيال خارج الإنترنت، ومكالمات توصيل مزيفة، وسيناريوهات تهديد موجهة إلى أشخاص بعينهم.

يستند النطاق المتحقق منه لهذا السجل إلى حادثة 19 يونيو 2020، ويشمل نحو 3,385,862 حسابًا. ويذكر إشعار LiveAuctioneers أن طرفًا ثالثًا غير مصرح له وصل إلى بيانات معينة من حسابات المستخدمين عبر شريك لمعالجة البيانات. وفئات البيانات الأساسية التي ينبغي إبقاؤها في السجل هي عناوين البريد الإلكتروني، وعناوين IP، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية، وأسماء المستخدمين. وقد لا تكون جميع هذه الحقول موجودة في كل حساب مستخدم؛ لذلك، ينبغي ألا يفترض الوصف أن كل حقل من حقول البيانات أثّر في جميع المستخدمين.

يتعلق الحد المهم لنطاق الحادثة ببيانات الدفع وسجل المزادات. فقد ذكر إشعار الشركة أنه لا توجد أدلة على الوصول إلى أرقام بطاقات الدفع الكاملة، وأنه لا يُعتقد أن سجل المزادات قد تأثر. لذلك، ينبغي إبقاء السجل من دون إضافة فئة بيانات لأرقام البطاقات أو سجل المزادات. وينبغي النظر إلى مصدر الحادثة على أنه ثغرة أمنية لدى مزود الخدمات، لا في سير عمل المزادات داخل الخدمة مباشرة. ويوضح هذا التمييز موضع الخطر بدقة من دون إثارة قلق غير ضروري لدى المستخدم.

يتعرض لأعلى مستوى من الخطر الأشخاص الذين يعيدون استخدام كلمة مرور حسابهم على LiveAuctioneers في خدمات أخرى. ويمكن توقع محاولات آلية للوصول إلى الحسابات، خصوصًا إذا كان الجمع نفسه بين عنوان البريد الإلكتروني وكلمة المرور يُستخدم أيضًا في حسابات البريد الإلكتروني، أو خدمات الدفع غير المصرفية، أو وسائل التواصل الاجتماعي، أو الأسواق الإلكترونية الأخرى، أو حسابات الشحن، أو مواقع المزادات. وقد يصبح المستخدمون الذين يشترون المقتنيات أو التحف أو المجوهرات أو الأعمال الفنية أهدافًا أكثر جاذبية للاحتيال الموجه، إذ يمكن استخدام أسمائهم وأرقام هواتفهم وعناوينهم واهتمامهم بالمنصة معًا.

ينبغي للمستخدمين الذين تتضمن السجلات عناوينهم الفعلية وأرقام هواتفهم الحذر ليس فقط من التهديدات عبر الإنترنت، بل أيضًا من الطلبات المزيفة التي ترد عبر الهاتف والبريد. وقد يوهم المهاجمون المستخدمين بأن لديهم حساب مزادات مشروعًا، ويتواصلون معهم بذريعة تأكيد الدفع، أو رسوم الشحن، أو الرسوم الجمركية، أو التحقق من الحساب. ويمكن لمعلومات إضافية، مثل عنوان IP واسم المستخدم، أن تساعد في تخصيص الهجوم. كما يتعرض للخطر الأشخاص الذين لم يعودوا يستخدمون حساباتهم القديمة، لأن كلمات المرور القديمة قد تظل مستخدمة في حسابات أخرى لسنوات.

إذا وُجد عنوان بريدك الإلكتروني في هذا السجل، فقارن أولًا كلمة المرور القديمة التي استخدمتها لحساب LiveAuctioneers بكلمات مرور حساباتك الأخرى. وإذا كانت كلمة المرور نفسها أو كلمة مشابهة لها مستخدمة في مكان آخر، فعيّن كلمة مرور جديدة طويلة وفريدة لكل حساب. وينبغي إعطاء الأولوية لحسابات البريد الإلكتروني، وخدمات الدفع، والأسواق الإلكترونية، ووسائل التواصل الاجتماعي، وحسابات الشحن. ويسهّل استخدام مدير كلمات المرور العثور على كلمات المرور المتكررة وإنشاء كلمات مرور قوية لكل حساب.

ينبغي مراجعة سجل الجلسات، والعناوين المسجلة، وأرقام الهواتف، ومعلومات استرداد الحساب في حساب LiveAuctioneers. وينبغي تفعيل المصادقة الثنائية في الحسابات التي تدعمها، وإنهاء جلسات الأجهزة غير المعروفة، وتجنب النقر على الروابط المشبوهة في رسائل البريد الإلكتروني أو الرسائل النصية القصيرة. كما ينبغي فحص الرسائل المتعلقة بالمزادات، أو التوصيل، أو الدفع، أو الشحن، أو أمان الحساب، أو العروض الخاصة بعناية. وحتى إن لم يكن رقم البطاقة الكامل ضمن فئات البيانات المتحقق منها في هذا السجل، ينبغي للمستخدمين مراقبة كشوف الدفع ومعاملات حساباتهم لرصد أي نشاط غير معتاد.

توضح هذه الحادثة أن قيمة حسابات المزادات والأسواق الإلكترونية لا تقتصر على سجل المشتريات، بل تشمل أيضًا معلومات الهوية والاتصال. وعلى المدى الطويل، تتمثل خطوط الدفاع الأساسية في استخدام كلمة مرور فريدة لكل خدمة، وتفعيل المصادقة الثنائية، ومراجعة الجلسات بانتظام، وإغلاق الحسابات غير الضرورية. وينبغي للمستخدمين تقليل العناوين وأرقام الهواتف المسجلة في حسابات المزادات القديمة إلى الحد الأدنى، وإغلاق الحسابات التي لم يعودوا يستخدمونها، وتجنب استخدام اسم المستخدم نفسه عبر خدمات مختلفة بطريقة تنشئ روابط غير ضرورية بينها.

من جانب مقدم الخدمة، تُعد إجراءات تقييد وصول مزودي الخدمات، واستخدام خوارزميات قوية لتجزئة كلمات المرور، ومراقبة الأحداث، وإجراء عمليات تدقيق أمني منتظمة، وإبلاغ المستخدمين سريعًا، أمورًا بالغة الأهمية. أما من جانب المستخدم، فلا ينتهي الخطر بتغيير كلمة مرور حساب واحد؛ فعند الجمع بين عنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي واسم المستخدم، قد يستمر تهديد الهندسة الاجتماعية مدة طويلة. لذلك، ينبغي للمستخدمين مراجعة أمان الحساب بانتظام، وأخذ احتمال إعادة استخدام تسريبات البيانات القديمة في رسائل احتيالية جديدة في الحسبان.

إذا ظهرت نتيجة إيجابية على LeakData بشأن LiveAuctioneers، فإن هذا السجل يتعلق بحادثة بيانات الحسابات التي وقعت عبر شريك معالجة البيانات في 19 يونيو 2020. والخطوة الأولى هي تحديد عنوان البريد الإلكتروني المتأثر وكلمة المرور القديمة المستخدمة في حساب LiveAuctioneers. بعد ذلك، ينبغي إعداد قائمة بجميع الحسابات التي ربما استُخدمت فيها كلمة المرور نفسها، وتحديث كل منها بكلمة مرور جديدة وفريدة، وتفعيل المصادقة الثنائية حيثما أمكن. ويُفضّل اختيار كلمات مرور مختلفة تمامًا بدلًا من إجراء تعديلات طفيفة على كلمات المرور القديمة.

في المراجعة التالية، ينبغي التركيز على محاولات الاحتيال الموجهة التي قد تستعين برقم الهاتف والعنوان والاسم الكامل. ويجب التحقق من الرسائل، مثل رسائل الدعم المزيفة، ونتائج المزادات المزيفة، وطلبات استكمال الدفع، ورسوم التوصيل، وإشعارات أمان الحساب، بالانتقال مباشرة إلى الموقع الرسمي. وفئات البيانات المتحقق منها في هذا السجل هي عناوين البريد الإلكتروني، وعناوين IP، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية، وأسماء المستخدمين؛ ولا ينبغي إضافة أرقام بطاقات الدفع أو سجل المزادات إلى هذا السجل.