انكشاف مزعوم لبيانات MarketsMojo

تظهر في قوائم المصادر أعداد أكبر وبعض حقول البيانات الإضافية الخاصة بـ MarketsMojo. لكن جرى توخّي مزيد من الحذر عند إضافة فئات البيانات. والحقول التي تدعمها الأدلة بقوة هي عناوين البريد الإلكتروني وأرقام الهواتف وأسماء المستخدمين وتجزئات كلمات المرور باستخدام bcrypt. ولم تُضف حقول مثل العناوين الفعلية إلى حقل dataClasses في هذا السجل، لعدم التحقق منها بدرجة كافية. وقد اعتُمد هذا النهج لتجنّب عرض ادعاءات مبالغ فيها للمستخدم.

تشمل فئات البيانات القابلة للتحقق عناوين البريد الإلكتروني وأرقام الهواتف وأسماء المستخدمين وتجزئات كلمات المرور. وتفيد التقارير بأن كلمات المرور مخزّنة بصيغة تجزئة bcrypt. ويُعد Bcrypt أسلوبًا أقوى لتخزين كلمات المرور مقارنة بخوارزميات سريعة مثل MD5 أو SHA1؛ لكن قوة التجزئة لا تعني زوال الخطر تمامًا. فكلمات المرور الضعيفة، أو إعدادات معامل الكلفة المنخفضة، أو الاعتياد على إعادة استخدام كلمة المرور، قد تسهّل مهمة المهاجم.

يتيح وجود عنوان البريد الإلكتروني ورقم الهاتف معًا للمهاجمين التواصل مع المستخدم عبر البريد الإلكتروني والرسائل النصية القصيرة (SMS). وقد يكشف اسم المستخدم هويته داخل المنصة، وأحيانًا اسمًا مستعارًا قد يتطابق مع أسماء يستخدمها في حسابات أخرى للاستثمار أو وسائل التواصل الاجتماعي أو المنتديات. وبالنظر إلى طبيعة منصة التحليل المالي، قد تُصاغ رسائل تتناول موضوعات مثل النصائح الاستثمارية أو تنبيهات المحفظة الاستثمارية أو تجديد الاشتراك أو التحقق من الحساب.

يتابع المستخدمون المعلومات على منصات الاستثمار وتحليل الأسواق مثل MarketsMojo لاتخاذ قرارات مالية. وعندما يعرف المهاجم أن المستخدم مرتبط بمنصة من هذا النوع، يستطيع إعداد رسائل احتيال استثماري أكثر إقناعًا. وقد يستغل موضوعات مثل تنبيهات الأسهم الزائفة أو تجديد العضوية المميزة أو التحقق من المحفظة الاستثمارية أو تحديثات التطبيق أو فحص وسيلة الدفع أو ربط حساب الوساطة.

لم تُدرج في وصف هذا السجل معلومات الحسابات المصرفية أو بيانات البطاقات أو محتويات المحافظ الاستثمارية، لعدم التحقق منها. ومع ذلك، فإن معلومات البريد الإلكتروني والهاتف وحدها تشكّل نقطة انطلاق قوية للاحتيال المالي. وبما أن المستخدم يستعمل بالفعل منصة استثمارية، فقد يستجيب بسرعة أكبر للرسائل التي تتناول فرصًا استثمارية أو تنبيهات عاجلة عن السوق. وتمنح مخاطر الهندسة الاجتماعية هذه السجل أهمية كبيرة.

قبل إضافة السجل، أُجري فحص للتكرار ضمن السجلات الموجودة، شمل MarketsMojo وMarkets Mojo وmarketsmojo.com والصيغ الأخرى ذات الصلة بالاسم. ولعدم العثور على سجل مستقل موجود مسبقًا، عُدّ هذا سجلًا جديدًا. وقُبلت إضافته لأن اسم النطاق وتاريخ مارس 2021 ومئات الآلاف من سجلات المستخدمين وفئات البيانات التي تشمل البريد الإلكتروني والهاتف واسم المستخدم وتجزئات كلمات المرور باستخدام bcrypt، ترد معًا في قوائم متاحة للاطلاع.

رغم ذلك، لم يُعثر على بيان رسمي شامل من مشغّل المنصة يؤكد جميع التفاصيل التقنية وعدد السجلات وفئات البيانات المتأثرة. لذلك بقي السجل غير متحقق منه. ولم تُدرج ضمن فئات البيانات الحقول الإضافية المذكورة في مصادر أضعف، مثل العنوان الفعلي. ويقتصر هذا السجل على الحقول المدعومة بأدلة أقوى، ولا يجزم بالنقاط التي يشوبها الغموض.

إذا كانت كلمة المرور المستخدمة في حساب MarketsMojo قد استُخدمت في مكان آخر، فعلى المستخدم تغييرها أولًا. فتجزئات Bcrypt ليست كلمات مرور بنص صريح؛ لكن الخطر يزداد إذا استخدم المستخدم كلمة مرور ضعيفة أو كلمة المرور نفسها في حسابات شملتها خروقات أخرى. وينبغي إعطاء الأولوية لحسابات البريد الإلكتروني والتطبيقات المالية وحسابات الوساطة ومنصات التسوق وحسابات وسائل التواصل الاجتماعي.

نظرًا إلى انكشاف رقم الهاتف، يُعد التصيد عبر الرسائل النصية القصيرة (SMS) خطرًا حقيقيًا أيضًا. فقد يرسل المهاجمون رسائل تتعلق بتنبيهات السوق أو فرص الاستثمار أو التحقق من المحفظة الاستثمارية أو تجديد الدفع أو تحديثات أمان التطبيق. وقد تتضمن هذه الرسائل روابط مختصرة أو صفحات تسجيل دخول مزيفة أو روابط لتنزيل تطبيقات خبيثة. وينبغي للمستخدمين توخّي حذر خاص تجاه الرسائل ذات المحتوى المالي.

• ينبغي تغيير كلمة المرور المستخدمة في حساب MarketsMojo إلى كلمة مرور فريدة وقوية.
• ينبغي تحديث كلمات المرور في الحسابات المالية وحسابات البريد الإلكتروني ووسائل التواصل الاجتماعي التي تستخدم كلمة المرور نفسها.
• ينبغي تفعيل التحقق بخطوتين في التطبيقات المالية.
• ينبغي عدم فتح روابط الاستثمار الواردة عبر الرسائل النصية القصيرة (SMS) أو البريد الإلكتروني مباشرة.
• ينبغي مراجعة طلبات التحقق من حسابات الوساطة أو الدفع من خلال التطبيق الرسمي.
• ينبغي عدم مشاركة رموز التحقق المطلوبة عبر الهاتف مع أي شخص.
• ينبغي التحقق من النصائح الاستثمارية أو الرسائل التي تروّج لفرص عاجلة في السوق بالرجوع إلى مصدر مستقل.

Bcrypt خوارزمية بطيئة وعالية الكلفة الحسابية، صُممت لتخزين كلمات المرور. وعند ضبطها على نحو صحيح، تجعل استخلاص كلمة المرور الفعلية من التجزئات صعبًا على المهاجمين. لكن استخدامات bcrypt ليست جميعها متساوية في القوة. فإذا كان معامل الكلفة منخفضًا، أو كانت كلمة المرور قصيرة أو شائعة، أو استخدم المستخدم كلمة المرور نفسها في تسريبات أخرى، فقد يظل بإمكان المهاجمين الاستفادة من ذلك.

لذلك ينبغي ألا يعتبر المستخدمون ذكر bcrypt ضمانًا كاملًا للأمان. والنهج الأكثر أمانًا هو افتراض احتمال أن تكون كلمة المرور قد كُسرت، واستخدام كلمة مرور جديدة وفريدة. وإذا استُخدمت كلمة المرور نفسها في حسابات مالية أخرى أو حسابات بريد إلكتروني أخرى، فإن الخطر يكون أشد. ويساعد إنشاء كلمات مرور عشوائية وطويلة باستخدام مدير كلمات مرور على تقليل هذا الخطر.

قد يكون مستخدمو منصات التحليل المالي أهدافًا جذابة للاحتيال. فعندما يعرف المهاجم اهتمامات المستخدم الاستثمارية، يمكنه إرسال رسائل عن موضوعات مثل توصيات الأسهم الزائفة أو التقارير الحصرية أو التحليلات المميزة أو التجارب المجانية أو تنبيهات المحفظة الاستثمارية أو المستندات الضريبية. وإذا كان رقم الهاتف متاحًا، فيمكن تنفيذ الحملة نفسها عبر الرسائل النصية القصيرة (SMS) أو تطبيقات المراسلة أيضًا.

ينبغي للمستخدمين ألا يتخذوا أي قرارات استثمارية بناءً على روابط واردة في البريد الإلكتروني أو الرسائل النصية القصيرة (SMS). وينبغي عدم تنزيل التطبيقات من خارج متجر التطبيقات الرسمي، والوصول إلى روابط الوساطة عبر عناوين موثوقة تُكتب يدويًا أو تكون محفوظة مسبقًا، ومراجعة طلبات الدفع والاشتراك من خلال لوحة الحساب الرسمية. كما ينبغي التعامل بريبة خاصة مع الرسائل المالية التي توحي بضرورة التصرف العاجل.

ينبغي لمنصات التكنولوجيا المالية والأبحاث الاستثمارية ألا تركز على أمان كلمات المرور فحسب، بل على احتمالات إساءة استخدام بيانات التواصل أيضًا. فإذا كانت عناوين البريد الإلكتروني وأرقام الهواتف مخزّنة معًا، فينبغي تطبيق ضوابط الوصول وإخفاء البيانات وقيود التنزيل ومراقبة الأنشطة غير المعتادة. ويجب فرض المصادقة متعددة العوامل عند الدخول إلى لوحات الإدارة، وتسجيل عمليات تصدير بيانات العملاء، وعدم الاحتفاظ بالحقول غير الضرورية لفترات طويلة.

عند الاشتباه في خرق للبيانات، لا يكفي الاكتفاء بمطالبة المستخدم بتغيير كلمة المرور. بل ينبغي توضيح مخاطر الاحتيال المالي والتصيد عبر الرسائل النصية القصيرة (SMS) وفرص الاستثمار الزائفة وفخاخ تجديد الاشتراك. فمعرفة المستخدم بالهجمات المحتملة تساعده على تقييم الرسائل الواردة بدقة أكبر. وبسبب السياق المالي، تكتسب استراتيجية التواصل أهمية تضاهي أهمية التفاصيل التقنية.

خرق بيانات MarketsMojo هو سجل لخرق مرتبط بمنصة الأبحاث الاستثمارية marketsmojo.com، أفادت التقارير بأنه أثّر في نحو 450,949 سجلًا للمستخدمين خلال مارس 2021. وتشمل فئات البيانات التي أُبلغ عن انكشافها عناوين البريد الإلكتروني وأرقام الهواتف وأسماء المستخدمين وتجزئات كلمات المرور باستخدام bcrypt. وتشكل هذه المعلومات مخاطر تتعلق بأمان الحساب والتصيد عبر الرسائل النصية القصيرة (SMS) والاحتيال المالي.

لم يُصنّف السجل على أنه متحقق منه، لعدم وجود تأكيد رسمي من مصدر أولي. ومع ذلك، أُدرج اسم النطاق والتاريخ وعدد السجلات وفئات البيانات لإطلاع المستخدمين، لأنها ترد بصورة متسقة في السجلات العامة لخروقات البيانات. وينبغي لمستخدمي MarketsMojo تغيير كلمات مرورهم، وتفعيل المصادقة الثنائية في حساباتهم المالية، وتجنّب النقر على روابط الاستثمار الواردة عبر الرسائل النصية القصيرة (SMS) أو البريد الإلكتروني، وعدم مشاركة رموز التحقق مع أي شخص.

قد تُدمج معلومات البريد الإلكتروني والهاتف المرتبطة بالمنصات المالية مع مجموعات بيانات أخرى بمرور الوقت. وإذا استخدم المستخدم عنوان البريد الإلكتروني نفسه لدى وسيط أو مصرف أو منتدى استثماري أو للاشتراك في نشرة إخبارية، فقد يتمكن المهاجم من تكوين ملف أشمل عن اهتماماته وأنشطته الاستثمارية. ويمكن استخدام هذا الملف لعرض فرص استثمار زائفة أو إرسال رسائل احتيالية مخصّصة له.

على المدى الطويل، ينبغي للمستخدمين اعتماد كلمات مرور مختلفة وقوية لحساباتهم المالية، ويُفضّل استخدام عنوان بريد إلكتروني منفصل للإشعارات المالية، والاستعانة بالمصادقة متعددة العوامل عبر التطبيقات إلى جانب التحقق بالرسائل النصية القصيرة (SMS)، واتخاذ القرارات الاستثمارية بالاستناد إلى مصادر موثوقة فقط. فقد يظل سجل خرق قديم قابلًا للاستخدام في محاولات احتيال جديدة ما دام رقم الهاتف وعنوان البريد الإلكتروني لم يتغيرا.

قد تظهر في بعض القوائم الخاصة بـ MarketsMojo حقول بيانات إضافية، مثل العناوين الفعلية؛ لكن هذه الحقول لم تُدرج في حقل dataClasses، لأنها لا تحظى بالوضوح نفسه في الأدلة الواردة في السجلات المفصّلة. ولم يُتخذ هذا القرار للتقليل من أثر الخرق، بل لتجنّب عرض نطاق غير متحقق منه للمستخدم على أنه معلومات مؤكدة. فعناوين البريد الإلكتروني وأرقام الهواتف وأسماء المستخدمين وتجزئات كلمات المرور تكفي بالفعل لتشكيل مجموعة مخاطر تستلزم اتخاذ إجراءات أمنية.

يمكن تحديث السجل مستقبلًا إذا تحقّق مصدر أقوى من العنوان الفعلي أو من حقول بيانات مالية أخرى. والنهج الأدق حاليًا هو تنبيه المستخدم إلى الحقول الأساسية القابلة للتحقق، مع توضيح مخاطر الهندسة الاجتماعية في السياق المالي. لذلك يركز الوصف تحديدًا على التصيد عبر الرسائل النصية القصيرة (SMS) وإشعارات الاستثمار الزائفة وتجديد الاشتراكات وفخاخ التحقق من الحساب.

لا تقتصر مخاطر سجلات الخروقات التي تتضمن أرقام هواتف على أمان البريد الإلكتروني. فقد يتصل المهاجم بالمستخدم، أو يرسل إليه رسائل، أو ينتحل صفة ممثل لتطبيق استثماري. وتشكّل الرموز التي تُرسل إلى المستخدم للاستخدام مرة واحدة وطلبات مشاركة الشاشة وطلبات الدعم عن بُعد مخاطر بالغة على وجه الخصوص. لذلك ينبغي لمستخدمي MarketsMojo استخدام المصادقة متعددة العوامل عبر التطبيقات في حساباتهم المالية، وعدم مشاركة أي رموز يتلقونها عبر الهاتف.