خرق بيانات MGM Resorts في 2019

رغم أن البيانات التي كُشف عنها في هذا السجل لا تتضمن كلمات مرور الحسابات بشكل مباشر، فإنها تشكّل معًا مجموعة قوية لتحديد هوية الفرد وتنفيذ الاحتيال الموجّه. عند الجمع بين الاسم الكامل وعنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي وتاريخ الميلاد، قد يتمكن المهاجم من إعداد رسائل تبدو مخصّصة للشخص، مثل رسائل حجوزات الفنادق أو إشعارات برامج الولاء أو تأكيدات الدفع أو ترقية الغرف أو استرداد الأموال أو خطط السفر. ولأن التواصل مع النزلاء لدى العلامات العاملة في الإقامة والترفيه مثل MGM Resorts يجري عبر قنوات متعددة، تزداد مخاطر الهندسة الاجتماعية عبر البريد الإلكتروني والرسائل النصية SMS والمكالمات الهاتفية.

يمكن استخدام تاريخ الميلاد ومعلومات العنوان لمطابقة هوية الشخص مع معلومات من مصادر أخرى. ويوفر رقم الهاتف وسيلة اتصال مباشرة لإجراء مكالمة أو إرسال رسالة تنتحل صفة الدعم. كما يضيف العنوان الفعلي سياقًا يساعد على بناء ملف شخصي للفرد واستهدافه بالإعلانات أو الاحتيال. لذلك، لا تقتصر المخاطر على الرسائل غير المرغوب فيها؛ بل تبرز سيناريوهات مثل التصيد الاحتيالي وإشعارات الحجز المزيفة والاحتيال المتعلق بحسابات الولاء وتجميع البيانات الشخصية. ومع ذلك، لا ينبغي إبلاغ المستخدم بادعاءات عن تسرب كلمات مرور أو بيانات بطاقات دفع في هذا السجل.

يشمل النطاق المتحقق منه النطاق mgmresorts.com، وتاريخ الخرق في 25 يوليو 2019، وتاريخ الإضافة في 20 فبراير 2020، و3,081,321 عنوان بريد إلكتروني فريد، و10.6 مليون سجل للنزلاء. ويُذكر أن مجموعة البيانات مرتبطة بإحدى الخدمات السحابية التي تستخدمها MGM Resorts، وأنها وُزعت لاحقًا على منتدى وأُعيدت مشاركتها عبر مصادر مختلفة. كما رُصدت في 2022 مجموعة بيانات أوسع يُعتقد أنها مرتبطة بالحادث نفسه؛ ولذلك يجب عدم الخلط بين سجل MGM Resorts الأولي وعدد السجلات في المجموعة الأوسع لعام 2022.

يجب عدم إضافة حقول لبطاقات الائتمان أو الحسابات المصرفية أو كلمات المرور أو أرقام الضمان الاجتماعي أو جوازات السفر أو رخص القيادة إلى هذا السجل. ورغم أن بعض عمليات التدقيق الرسمية تذكر أنواعًا من أرقام الهوية تخص فئات فرعية محددة، فإن فئات البيانات القياسية المتحقق منها في السجل العام المتاح للمستخدمين تقتصر على تاريخ الميلاد والبريد الإلكتروني والاسم الكامل ورقم الهاتف والعنوان الفعلي. تعمل MGM Resorts في قطاع الفنادق والكازينوهات والإقامة والترفيه؛ ولذلك فإن إبقاء حقل القطاع مصنّفًا ضمن التكنولوجيا العامة سيكون مضللًا. ويمكن الإبقاء على الولايات المتحدة في حقل البلد.

تواجه أعلى درجات الخطر فئة النزلاء الذين أقاموا في منشآت MGM Resorts أو أجروا حجزًا أو استخدموا حساب ولاء أو تواصلوا مع العلامة عبر البريد الإلكتروني أو الهاتف. وقد يؤدي الجمع بين الاسم والعنوان ورقم الهاتف وتاريخ الميلاد، مع إمكانية ربط هذه البيانات بسجل السفر، إلى جعل الرسائل الاحتيالية التي تبدو مخصّصة للشخص أكثر إقناعًا. وقد تزداد المخاطر على من يستخدمون منشآت MGM أثناء رحلات العمل، بسبب الربط بين عناوين البريد الإلكتروني الخاصة بالعمل ومعلومات الإقامة الشخصية.

يمكن استهداف الأشخاص الذين يتوفر رقم هاتفهم وعنوان بريدهم الإلكتروني معًا بتأكيدات حجز مزيفة أو إشعارات عن نقاط الولاء أو عروض الكازينوهات أو استرداد تكاليف الإقامة أو طلبات التحقق من الدفع. ولدى المستخدمين الذين يتوفر عنوانهم الفعلي أيضًا، قد تصبح المعلومات الشخصية المستخدمة في أسئلة التحقق من الهوية قابلة للتوقع. ولأن هذا السجل لا يحتوي على كلمات مرور، فإن افتراض الاستيلاء المباشر على الحساب ليس دقيقًا؛ لكن محاولة الحصول على كلمة مرور أو معلومات دفع من المستخدم عبر رسائل التصيد الاحتيالي والهندسة الاجتماعية تمثل خطرًا واقعيًا.

ينبغي للمستخدمين الذين تظهر لهم نتائج تطابق مع MGM Resorts أن يراجعوا أولًا بعناية رسائل الحجز أو استرداد الأموال أو الدفع أو نقاط الولاء أو العروض التي تصلهم عبر البريد الإلكتروني والهاتف. وبدلًا من تسجيل الدخول عبر الرابط الوارد في الرسالة، ينبغي لهم الانتقال مباشرة إلى الخدمة المعنية بكتابة عنوانها في شريط العناوين. وإذا طُلبت معلومات شخصية أثناء مكالمة هاتفية، مثل تاريخ الميلاد أو العنوان أو معلومات الدفع أو رمز التحقق أو تفاصيل البطاقة، فينبغي إنهاء المكالمة والتحقق من الطلب عبر قناة التواصل الرسمية.

رغم أن كلمات المرور ليست من فئات البيانات المتحقق منها في هذا السجل، ينبغي حماية حساب البريد الإلكتروني. ويجب استخدام كلمة مرور قوية وفريدة لهذا الحساب، وتفعيل التحقق بخطوتين، وإنهاء الجلسات غير المعروفة. وبالنسبة إلى حسابات MGM Rewards أو حسابات السفر والولاء المشابهة، ينبغي مراجعة إشعارات الأمان ومعلومات الهاتف والبريد الإلكتروني المسجلة. ليست بيانات بطاقات الائتمان أو الحسابات المصرفية جزءًا متحققًا منه في هذا السجل؛ ومع ذلك، ينبغي التحقق من إشعارات الحجز والدفع المشبوهة عبر القنوات الرسمية.

تتطلب برامج الإقامة والسفر والولاء إدارة للخصوصية على المدى الطويل، لأنها تجمع بيانات التواصل والعناوين إلى جانب معلومات الهوية. ينبغي للمستخدمين حذف العناوين القديمة غير الضرورية من حسابات الفنادق والسفر، وإغلاق حسابات الولاء التي لم يعودوا يستخدمونها، والفصل بين البريد الإلكتروني الشخصي وبريد العمل كلما أمكن. وقد يساعد استخدام عنوان بريد إلكتروني منفصل لرسائل العروض والحجوزات من العلامات التجارية العاملة في قطاع السفر على تمييز الرسائل التي تنطوي على مخاطر.

من منظور الشركات، يبيّن هذا الحادث أن بيانات النزلاء ليست مجرد بيانات تسويقية. وينبغي إخضاع الخدمات السحابية وصلاحيات وصول المطورين ومفاتيح الوصول المؤقتة وحسابات الخدمات الخارجية لتدقيق صارم؛ كما ينبغي اعتماد مبدأ الحد الأدنى من الصلاحيات والمصادقة متعددة العوامل والتقييم السريع للخرق بوصفها ممارسات معيارية. وعند انكشاف بيانات النزلاء، يجب ألا تتأخر عملية الإخطار، وينبغي توضيح الجوانب التي تأثرت وتلك التي لم تتأثر. فتقليل البيانات إلى الحد الضروري والإخطار في الوقت المناسب لا يقلان أهمية عن الإجراءات التقنية للحفاظ على الثقة.

إذا ظهرت لك نتيجة تطابق مع MGM Resorts على LeakData، فتعامل معها على أنها مرتبطة بخرق بيانات نزلاء الفنادق والكازينوهات في 2019. يشير التطابق إلى أن عنوان بريدك الإلكتروني واسمك الكامل ورقم هاتفك وعنوانك الفعلي وتاريخ ميلادك قد تكون ضمن هذا السجل. ولا يعني ذلك أن كلمة مرورك أو معلومات بطاقة الدفع الخاصة بك قد انكشفت. ويتمثل الإجراء الأساسي في التحقق من الرسائل التي تتلقاها بشأن السفر والحجوزات، وحماية حساب بريدك الإلكتروني، ومراجعة معلومات حساب الولاء الخاص بك.

إذا تلقيت رسالة مشبوهة بشأن حجز أو استرداد أموال أو استخدام نقاط أو ترقية غرفة أو التحقق من الدفع، فتحقق منها عبر الموقع الرسمي أو مركز الاتصال دون النقر على الرابط. فالرسائل المخصّصة باستخدام معلومات مثل تاريخ الميلاد والعنوان قد تكون مزيفة أيضًا. وينبغي للمستخدمين المسجلين ببريد العمل إبلاغ فريق الأمن في مؤسستهم وتوخي الحذر من رسائل التصيد الاحتيالي المتعلقة بالسفر التي تصل إلى حساب العمل. والدرس للمؤسسات واضح أيضًا: قد تشكّل البيانات الشخصية المستخدمة في حسابات السفر والولاء للموظفين مدخلًا لهجمات موجّهة عبر البريد الإلكتروني.