تسرّب بيانات MeetMindful عام 2020

تشمل أنواع البيانات المؤكدة في هذا السجل مجموعة واسعة ذات أثر كبير على الخصوصية. فعند اجتماع عنوان البريد الإلكتروني والاسم الكامل واسم المستخدم وعنوان IP ومعلومات الموقع الجغرافي، يمكن ربط الملف الشخصي لشخص على خدمة التعارف عبر الإنترنت بهويته الحقيقية. وتوفّر معلومات تاريخ الميلاد والجنس سياقًا إضافيًا لمطابقة الملفات الشخصية ومحاولات التصيّد الموجّه. كما تنطوي الحالة الاجتماعية والمعتقدات الدينية والتوجّه الجنسي والصفات الجسدية وتفضيلات نمط الحياة على مخاطر جسيمة، لا على الأمان وحده، بل على الخصوصية والسمعة أيضًا.

يُعدّ تخزين حقل كلمة المرور بصيغة تجزئة bcrypt نقطة إيجابية؛ لكن ذلك لا يغني المستخدم عن اتخاذ إجراءات. فلا يزال من الممكن تجربة كلمات المرور الضعيفة أو المعاد استخدامها أو التي ظهرت في خروقات أخرى. ويمكن استخدام روابط الملفات الشخصية على وسائل التواصل الاجتماعي للوصول إلى حسابات الشخص الأخرى، أو التعرّف إلى دائرة أصدقائه، أو إعداد رسائل أكثر إقناعًا. لذلك، ينبغي التعامل مع سجل MeetMindful لا بوصفه تسرّبًا عاديًا لبيانات عضوية، بل بوصفه تسرّبًا لبيانات حساسة يؤثر في الوقت نفسه على خصوصية الملف الشخصي للتعارف وأمان الحساب.

ينبغي تقييم النطاق المؤكد استنادًا إلى اسم نطاق MeetMindful، وتاريخ التسرّب في 26 يناير 2020، وتاريخ إضافة السجل في 31 يناير 2021، وعدد الحسابات المتأثرة البالغ 1,422,717. وتدعم السجلات المستقلة والتقارير الإخبارية الموثوقة ارتباط الحادثة بخدمة التعارف عبر الإنترنت، وتخزين كلمات المرور بصيغة تجزئة bcrypt، واحتواء حقول الملفات الشخصية على مجموعة واسعة من البيانات الحساسة. لذلك، ينبغي تصنيف قطاع المؤسسة ضمن التعارف عبر الإنترنت ومجتمع العيش الواعي، لا ضمن تجارة التجزئة. ونظرًا إلى وجود ملفات تعريف تجارية موثوقة تشير إلى ارتباط الشركة بمدينة دنفر بولاية كولورادو، يمكن الإبقاء على الولايات المتحدة في حقل البلد.

ينبغي ألّا يُعرض هذا السجل على أنه يحتوي على بيانات بطاقات دفع أو حسابات مصرفية أو محتوى رسائل خاصة أو وثائق هوية. ورغم أن بعض التقارير تذكر أعدادًا أعلى من السجلات الخام أو تفاصيل الملفات الشخصية، فإن العدد المعتمد في فحوص أمان الحساب هو عدد الحسابات أو عناوين البريد الإلكتروني الفريدة التي جرى التحقق منها. وهذا تمييز مهم: ينبغي تحديد المخاطر المعروضة للمستخدم بناءً على فئات البيانات المؤكدة ونتائج مطابقة الحسابات التي يمكن الاستعلام عنها. ولا ينبغي عرض طريقة هجوم أو هوية مهاجم أو سبب تقني غير مؤكد بوصفه جزءًا لا بد منه في وصف الحادثة.

يتعرض لأعلى مستوى من المخاطر المستخدمون الذين يعيدون استخدام عنوان البريد الإلكتروني وكلمة المرور الخاصين بحساب MeetMindful في حسابات أخرى. وينبغي لهؤلاء فحص صندوق بريدهم الإلكتروني، وحساباتهم على وسائل التواصل الاجتماعي، وخدمات التعارف الأخرى، والحسابات السحابية، والحسابات المرتبطة بالدفع أيضًا. وتزداد مخاطر مطابقة الملفات الشخصية لدى من يستخدمون أسماءهم الحقيقية أو معلومات مدينتهم أو روابط وسائل التواصل الاجتماعي أو معلومات ملف شخصي تركز على الصور إلى جانب ملفهم الشخصي للتعارف. ويمكن استغلال ظهور التفضيلات الحساسة في الملف الشخصي للتحرش الموجّه أو الضغط الاجتماعي أو محاولات الابتزاز أو إرسال رسائل بقصد الإحراج.

تصبح المخاطر أكثر تعقيدًا لدى المستخدمين الذين يسجّلون ببريد العمل، لأن ملفهم الشخصي الخاص بالتعارف قد يرتبط بهويتهم المهنية. وينبغي أيضًا توخي الحذر لمن يسجّلون الدخول على أجهزة مشتركة، أو لا يغيّرون كلمة مرورهم القديمة لفترة طويلة، أو يربطون حسابهم بحساب على وسائل التواصل الاجتماعي. ولا تكفي معلومات الموقع وعنوان IP وحدها لتحديد عنوان دقيق، لكنها قد تسهّل التعرّف إلى الشخص عند جمعها مع الاسم الكامل والمدينة وتفاصيل الملف الشخصي. لذلك، ينبغي ألّا يقتصر تقييم المخاطر على الاستيلاء على الحساب، بل أن يشمل أيضًا أثرها على الخصوصية ومخاطر الهندسة الاجتماعية الموجّهة.

ينبغي للمستخدمين الذين تظهر لهم نتيجة مطابقة مع MeetMindful أن يغيّروا أولًا كلمة المرور المستخدمة في هذا الحساب وفي جميع الحسابات التي أُعيد فيها استخدام كلمة المرور نفسها. ويجب أن تكون كلمة المرور الجديدة فريدة، وأن تُحفظ في مدير كلمات مرور، وألّا تُستخدم مجددًا في أي خدمة أخرى. وينبغي إعطاء الأولوية لحماية حساب البريد الإلكتروني، لأن روابط إعادة تعيين كلمات المرور والتنبيهات الأمنية وإشعارات تسجيل الدخول تصل عادةً إلى صندوق البريد نفسه. كما ينبغي تفعيل المصادقة الثنائية على حساب البريد الإلكتروني، ومراجعة عناوين استرداد الحساب، وإنهاء الجلسات غير المعروفة.

الخطوة الثانية هي مراجعة حسابات وسائل التواصل الاجتماعي وأسماء المستخدمين المشابهة المرتبطة بالملف الشخصي للتعارف. وينبغي اعتبار التنبيهات الأمنية الواردة من أشخاص مجهولين، وطلبات التحقق من الملف الشخصي، وطلبات الصور أو المال، والرسائل التي تطلب معلومات شخصية، أمورًا مثيرة للشبهة. وبدلًا من النقر على الروابط داخل الرسائل، ينبغي الانتقال مباشرةً إلى الخدمة المعنية. وإذا وردت رسائل تهديد تشير إلى جوانب حساسة مثل التوجّه الجنسي أو المعتقدات الدينية أو تعاطي المواد أو تفضيلات العلاقات، فينبغي الاحتفاظ بالأدلة وعدم حذفها، واتخاذ إجراءات أمان الحساب دون تأخير.

تُظهر هذه الحادثة أن المعلومات التي تُشارك في الملفات الشخصية على خدمات التعارف واكتشاف العلاقات الاجتماعية قد تكون لها آثار أمنية حتى بعد سنوات. وينبغي للمستخدمين تقليل الحقول التي تتضمن معلومات خاصة في ملفاتهم الشخصية بانتظام، والحد من روابط وسائل التواصل الاجتماعي المتاحة للعامة، وتجنّب تكرار اسم المستخدم نفسه في حسابات متعددة. ويسهّل استخدام مدير كلمات المرور إنشاء كلمة مرور مختلفة لكل حساب. وينبغي اعتبار المصادقة الثنائية إجراءً أمنيًا أساسيًا، ولا سيما لحسابات البريد الإلكتروني ووسائل التواصل الاجتماعي والتعارف.

والدرس لمقدّمي الخدمات هو أن المعلومات الخاصة في ملفات التعارف الشخصية لا يمكن التعامل معها مثل بيانات التسويق العادية. وينبغي اعتبار هذه البيانات حساسة على الأقل بقدر بيانات اعتماد الحساب؛ مع تقييد صلاحيات الوصول، وعدم الاحتفاظ بالبيانات غير الضرورية، وتنظيف حقول الملفات الشخصية القديمة بانتظام، وتوفير خيارات حذف واضحة للمستخدمين. وحتى إن كانت طريقة تجزئة كلمات المرور قوية، فينبغي إخطار المستخدمين بعد التسرّب، وتجديد كلمات المرور، وإنهاء الجلسات، ومراقبة محاولات الوصول المشبوهة دون تأخير. فالإخطار بشفافية ومبدأ تقليل البيانات إلى الحد الأدنى من متطلبات الأمان الأساسية في الخدمات التي تحتوي على بيانات خاصة.

إذا ظهرت لك نتيجة مطابقة مع MeetMindful على LeakData، فتعامل معها بوصفها تسرّبًا لبيانات حساسة من ملفات التعارف الشخصية وقع في 2020. ولا تعني المطابقة أن حسابك مخترق حاليًا؛ لكن هذا السجل قد يتضمن عنوان بريدك الإلكتروني، وحقول ملفك الشخصي، واسم المستخدم، وعنوان IP والمعلومات المرتبطة بالموقع، وبيانات تجزئة كلمة المرور بصيغة bcrypt. والأولوية هي تخصيص كلمة مرور مختلفة لكل حساب يستخدم كلمة المرور نفسها، وتعزيز أمان البريد الإلكتروني، والتحقق من الروابط مع وسائل التواصل الاجتماعي.

في حالة هذا السجل، ينبغي ألّا يُعدّ تغيير كلمة المرور وحده كافيًا. بل يجب أيضًا مراعاة خصوصية الملف الشخصي، وإمكان ربطه بحسابات وسائل التواصل الاجتماعي، واحتمال إساءة استخدام التفضيلات الحساسة. أغلق ملفاتك الشخصية القديمة على خدمات التعارف أو قلّل حقول البيانات فيها، وراجع المعلومات الظاهرة في الحسابات التي تستخدم فيها اسم المستخدم نفسه. وهذا السجل مهم للمؤسسات أيضًا: إذ ينبغي إجراء عمليات تدقيق بانتظام لمنع الموظفين من إعادة استخدام كلمات مرور حساباتهم الشخصية في حسابات العمل، وتطبيق سياسات المصادقة الثنائية بانتظام.