خرق بيانات Lumin PDF في 2019

احتوت مجموعة البيانات التي جرى التحقق منها على رموز مصادقة وعناوين بريد إلكتروني وبيانات الجنس وأسماء وكلمات مرور واللغات التي يتحدث بها المستخدمون وأسماء مستخدمين. يمثل العدد البالغ 15,453,048 حسابًا فريدًا مجموعة البيانات القابلة للبحث بعد إزالة التكرارات؛ أما الأرشيف الذي نُشر علنًا، فقد أفادت التقارير بأنه احتوى على نحو 24.3 مليون صف، لذا لا يجوز استخدام أحد الرقمين بدلًا من الآخر. احتوت معظم السجلات على رمز وصول مرتبط باتصال Lumin PDF بخدمة Google Drive، بينما احتوى 118,746 حسابًا مباشرًا لدى Lumin على تجزئات كلمات مرور باستخدام bcrypt. ولا يجوز افتراض أن كل صف تضمن كلمة مرور ورمز وصول معًا. قالت الشركة إن رموز Google المسرّبة كانت قد انتهت صلاحيتها وقت الحادثة، وإنها لم تكن تتيح الوصول إلى مستندات المستخدمين أو توقيعاتهم. وكان ذلك تأكيدًا صادرًا عن الشركة، ولم تتحقق منه الجهة الإعلامية التي أعدت التقرير بصورة مستقلة.

أفادت التقارير بأن قاعدة بيانات تابعة لـ Lumin PDF تُركت متاحة على الإنترنت دون حماية بكلمة مرور في أبريل 2019، وأن بيانات أُخذت منها. وفي سبتمبر 2019، أصبحت معلومات المستخدمين متاحة للتنزيل على منتدى إجرامي؛ وحصل صحفيون على نسخة منها وتحققوا من صحتها بمقارنتها بمعلومات عدة مستخدمين لـ Lumin PDF. وبعد التقرير الأول، أجرت Lumin PDF تحقيقًا وأكدت أن المواد تضمنت جزءًا من بيانات مستخدميها. احتوت قاعدة البيانات المكشوفة على نحو 24.3 مليون صف، بينما يبلغ العدد المعتمد بعد إزالة التكرارات 15,453,048. وتمسكت الشركة بأن رموز الوصول إلى Google كانت غير صالحة؛ وقالت الجهة الإعلامية إنها لم تتمكن من التحقق من هذا الادعاء بصورة مستقلة، وإن Google كانت تحقق في الأمر. ولم تُحدَّد مدة انكشاف البيانات بدقة، ولا ما إذا كان قد جرى الحصول على جميع الصفوف في الوقت نفسه، لذا لا ينبغي استنتاج أي آلية إضافية.

يواجه من أنشؤوا حسابًا مباشرًا لدى Lumin PDF بكلمة مرور خطر الاستيلاء على حساباتهم، ولا سيما إذا أعادوا استخدام كلمة المرور نفسها للبريد الإلكتروني أو لخدمة أخرى. يبطئ Bcrypt محاولات التخمين دون اتصال بالخدمة، لكنه لا يجعل كلمات المرور القصيرة أو الشائعة أو التي سبق تسريبها عصية على التخمين. أما المستخدمون الذين سجلوا الدخول باستخدام Google، فتعتمد المخاطر على ما إذا كان رمز الوصول صالحًا حينها وعلى الصلاحيات التي كان يتيحها. ورغم قول الشركة إن صلاحية الرموز كانت قد انتهت، تظل مراجعة أذونات الوصول الممنوحة لتطبيقات الجهات الخارجية إجراءً احترازيًا حكيمًا. ويمكن استخدام الأسماء وعناوين البريد الإلكتروني وأسماء المستخدمين وبيانات الجنس وإعدادات اللغة لصياغة رسائل مقنعة عن مشاركة المستندات أو طلبات التوقيع أو الفواتير أو دعوات التعاون أو أمان الحساب. ولا يثبت العثور على عنوان بريد إلكتروني مطابق أنه جرى التوصل إلى كلمة مرور أو الدخول إلى حساب Google أو الاطلاع على أي مستند PDF.

إذا سجلت مباشرةً لدى Lumin PDF باستخدام كلمة مرور، فغيّرها وحدّث بيانات تسجيل الدخول في كل حساب آخر يستخدم كلمة المرور نفسها أو كلمة مشابهة. احمِ بريدك الإلكتروني الرئيسي بكلمة مرور فريدة ومصادقة متعددة العوامل، لأن معظم رسائل إعادة تعيين كلمات المرور تصل إليه. افتح أذونات تطبيقات الجهات الخارجية في حسابك على Google، وراجع نطاق الصلاحيات الممنوحة لـ Lumin PDF، وألغِ الوصول إذا لم تعد تستخدم الخدمة. وإذا كنت تواصل استخدامها، فقد يساعد سحب الإذن وإعادة الربط عبر التطبيق الرسمي على إبطال رمز وصول قديم. راجع جلسات Google غير المألوفة والأحداث الأمنية والأجهزة المتصلة. لا تتبع روابط غير متوقعة تتعلق بمستندات مشتركة أو توقيعات إلكترونية أو فواتير أو حدود التخزين؛ بل افتح Lumin PDF وGoogle Drive عبر نطاقاتهما المعروفة. ولا تقدّم أبدًا كلمة مرور أو رمز وصول أو رمزًا يُستخدم لمرة واحدة عبر مكالمة أو رسالة من جهة دعم.

استخدم مدير كلمات مرور لإنشاء كلمة مرور طويلة وفريدة لكل خدمة، حتى لا يؤدي التوصل إلى كلمة المرور من تجزئة bcrypt واحدة إلى تعريض حسابات أخرى للخطر. فضّل مفاتيح المرور أو المصادقة متعددة العوامل المقاومة للتصيد في خدمات البريد الإلكتروني والتخزين السحابي. راجع بانتظام أذونات تطبيقات الجهات الخارجية في حسابات Google وMicrosoft والحسابات المشابهة؛ وأزل عمليات الربط غير المستخدمة، ولا تمنح إلا الحد الأدنى من الصلاحيات المطلوبة. افحص إعدادات الوصول وأذونات الروابط وقوائم المتعاونين في المستندات المشتركة. وينبغي للمؤسسات حماية قواعد البيانات المتاحة عبر الإنترنت بالمصادقة وقوائم السماح للشبكات والجدران النارية، والاحتفاظ بالنسخ الاحتياطية ضمن حدود وصول منفصلة، وإجراء فحص للأصول الخارجية. وينبغي أن تكون صلاحيات رموز OAuth في حدها الأدنى، وأن تكون فترات صلاحيتها قصيرة، مع تدويرها وتوفير آلية لإبطالها جماعيًا بعد أي حادثة. ولا تثق بالمرسل لمجرد أنه يعرف اسم ملف حقيقي أو معلومة صحيحة عن المستخدم.

استخدم حقل البحث الآمن في هذه الصفحة للتحقق من كل عنوان بريد إلكتروني حالي أو سابق ربما استخدمته مع Lumin PDF. تعني النتيجة المطابقة أن العنوان موجود ضمن الحسابات الفريدة البالغ عددها 15,453,048 والتي جرى التحقق منها؛ لكنها لا تكشف ما إذا كان الصف يحتوي على تجزئة كلمة مرور باستخدام bcrypt أو رمز وصول إلى Google، ولا تثبت أن رمز الوصول كان صالحًا، ولا تُظهر أن المستندات انكشفت. إذا ظهرت لك نتيجة، فحدد ما إذا كنت قد استخدمت كلمة مرور لحساب مباشر، وأوقف أي إعادة استخدام لا تزال قائمة لكلمة المرور، وراجع أذونات وصول تطبيقات الجهات الخارجية في حساب Google. وإذا أعدت استخدام اسم المستخدم نفسه في خدمات أخرى، فابقَ متيقظًا للتصيد وربط ملفاتك الشخصية ببعضها. لا تُدخل أبدًا كلمة مرور أو رمز وصول أو رمزًا يُستخدم لمرة واحدة أو محتوى مستند في حقل البحث. وعدم ظهور نتيجة لا يُعد ضمانًا مطلقًا، إذ قد يكون هناك عنوان آخر أو سجل خارج مجموعة البيانات هذه أو حادثة أخرى تخصك. افتح نطاق الخدمة المعروف مباشرةً بدلًا من استخدام الروابط الواردة في تنبيهات مشبوهة عن المستندات أو التوقيعات.