خرق بيانات MC2 Data

أنواع البيانات التي ظهرت في هذا السجل هي عناوين البريد الإلكتروني والأسماء وكلمات المرور. وأشار التقييم إلى أن كلمات المرور مخزنة على هيئة قيم تجزئة SHA-256 مع إضافة قيمة تمليح؛ ويظل الخطر قائمًا بالنسبة إلى كلمات المرور الضعيفة أو المعاد استخدامها. ولم تُضف إلى قائمة فئات البيانات بطاقات دفع أو حسابات مصرفية أو رسائل خاصة أو وثائق هوية رسمية أو سجلات صحية أو حقول إضافية للملفات الشخصية لم يجرِ التحقق منها؛ واقتُصر على الحقول المدعومة بالأدلة.

في سياق خدمة التحقق من الخلفيات، قد يسهل على المهاجمين إرسال رسائل إلى المستخدم تبدو كأنها استفسارات رسمية أو طلبات للتحقق من الهوية أو رسائل متعلقة بالاشتراك. ينطوي عنوان البريد الإلكتروني وحده على خطر تلقي رسائل غير مرغوب فيها؛ وعند جمعه مع رقم هاتف أو عنوان أو IP أو تاريخ ميلاد أو صورة أو رقم هوية أو بيانات تتبع جهاز، يصبح إعداد رسائل مخصصة للمستخدم أسهل على المهاجم. لذلك، لا يُقيَّم الخطر بناءً على عدد السجلات وحده، بل أيضًا على مدى إمكانية استخدام البيانات مجتمعة.

بلغ النطاق الذي جرى التحقق منه 2.12 مليون سجل للمشتركين في أغسطس 2024. وأُبقيت الجوانب المؤكدة، فيما استُبعدت الجوانب غير المؤكدة. ولم تُدمج هذه الواقعة مع علامات تجارية أخرى أو سجلات ذات أسماء مشابهة أو وقائع تخص الشركة نفسها في فترات مختلفة.

لم تُضف الادعاءات المتعلقة ببيانات شخصية أوسع إلى فئات البيانات المعيارية لهذا السجل؛ واقتصر السجل على حقول البريد الإلكتروني للمشترك واسمه وكلمة مروره. ويمنع هذا النهج تكرار إدخالات خرق البيانات وإظهار معلومات غير صحيحة للمستخدم عن الجهة المسؤولة. وأُبقيت معلومات اسم النطاق واسم الشركة والقطاع ضمن أضيق سياق دقيق ممكن؛ وعند وجود عدم يقين، ضُبط وسم التحقق أو حقل الموقع الإلكتروني وفقًا لذلك.

قد تشمل الفئات المعرضة للخطر الأفراد الذين لديهم حسابات اشتراك لدى MC2 Data أو تحت أسماء علامات تجارية مرتبطة بها. وينبغي للمستخدمين الذين تظهر مطابقة لبياناتهم أن يقيّموا أيضًا حساباتهم الأخرى التي يستخدمون فيها البريد الإلكتروني نفسه أو رقم الهاتف نفسه أو اسم المستخدم نفسه أو نمط كلمة المرور نفسه، خارج الحساب المعني.

تصبح محاولات الاستيلاء على الحسابات أشد خطورة لدى من يستخدمون كلمة المرور نفسها في حسابات مهنية أو مالية أخرى أو في حسابات البريد الإلكتروني. وقد تزداد مخاطر الهندسة الاجتماعية إذا كان هناك سياق مرتبط ببريد إلكتروني مؤسسي أو حساب لطفل أو للعائلة أو سجل عام أو هوية في الألعاب أو مجتمع لمحو الأمية أو برامج تتبع أو خدمة مهنية. ولا ينبغي للمستخدمين اعتبار التفاصيل التي تبدو صحيحة عنهم دليلًا على الموثوقية.

ينبغي للمستخدمين المتأثرين تغيير كلمة المرور المستخدمة في حساباتهم المرتبطة بـ MC2 Data وفي جميع الحسابات التي تستخدم كلمة المرور نفسها. وفي السجلات التي تتضمن حقلًا لكلمة المرور، ينبغي تحديث جميع الحسابات التي تستخدم كلمة المرور نفسها؛ أما في السجلات التي لا تتضمن هذا الحقل، فينبغي التركيز على مخاطر الهاتف والبريد الإلكتروني والإشعارات المزيفة ومطابقة الهوية.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام الإدخال المحفوظ في مدير كلمات مرور موثوق. ولا ينبغي قبول الرسائل المتعلقة بالشحن أو الدعم أو مكافآت الألعاب أو تحذيرات الحسابات أو السجلات العامة أو إشعارات الأمان أو مشاركة المستندات أو تجديد الاشتراك دون التحقق منها عبر قناة مستقلة.

ينبغي استخدام بريد إلكتروني منفصل وكلمة مرور فريدة والاكتفاء بأقل قدر من معلومات الملف الشخصي في خدمات وساطة البيانات والتحقق من الخلفيات. وينبغي للمستخدمين مراجعة حساباتهم بانتظام لإزالة الحسابات القديمة وحقول الملفات الشخصية غير الضرورية وأسماء المستخدمين المكررة ومعلومات الهاتف والعنوان القديمة. ويجب أن تكون القاعدة الأساسية هي استخدام كلمة مرور فريدة لكل خدمة وتفعيل المصادقة الثنائية حيثما أمكن.

أما مقدمو الخدمات، فيلزمهم تقليل البيانات إلى الحد الأدنى، وتوفير حماية قوية لكلمات المرور، ومراقبة سجلات الوصول، وحذف الحقول غير الضرورية، وتجهيز إجراءات إخطار المستخدمين. وبالنسبة إلى شركات وساطة البيانات، يُعد التحكم في الوصول واكتشاف الخدمات المتاحة دون كلمة مرور من المتطلبات الأمنية الأساسية. كما أن الوصف الدقيق للنطاق جزء من العمل الأمني؛ فقد تدفع المعلومات المبالغ فيها أو الناقصة المستخدم إلى اتخاذ إجراء غير صحيح.

ينبغي للمستخدم أولًا التحقق من هذا السجل باستخدام عنوان بريده الإلكتروني. وإذا وُجدت مطابقة، فينبغي افتراض أن حقلي الاسم وكلمة المرور قد يكونان معرضين للخطر، والبدء بتحديث الحسابات التي تستخدم كلمة المرور نفسها. وعدم العثور على مطابقة لا يستبعد تمامًا استخدام عناوين بريد إلكتروني مختلفة أو إعادة استخدام كلمات مرور قديمة؛ لذا ينبغي مراجعة الحسابات المهمة أيضًا.

جرى التحقق من هذا السجل وأُبقي مصنفًا على أنه حساس؛ ولم تُضف حقول شخصية موسعة لم يجرِ التحقق منها. وفي هذا الإعداد، أُبقيت حقول البيانات كفئات معيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية بصياغة أصلية، ولم تُضف الحقول غير المتحقق منها، ولم يُستخدم وسم الحساسية إلا عندما كان سياق المخاطر يدعم ذلك.