خرق بيانات MyCastingFile (2020)

تشمل أنواع البيانات المتحقق منها في هذا السجل تفاصيل شخصية موسعة أُدخلت لإنشاء ملف ترشح للتمثيل. يشكّل الاسم وعنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي مخاطر مباشرة، إذ تسهّل هذه البيانات التواصل مع الشخص ومطابقة هويته. ويمكن أن يساعد تاريخ الميلاد وبيانات الموقع وصور الملف الشخصي في ربط حضور الشخص على الإنترنت بهويته الحقيقية. وتكوّن حقول مثل الصفات الجسدية، والطول، والوزن، ولون الشعر أو البشرة، والانتماء العرقي، ومقاس الملابس، ومعلومات المركبات ملفًا أكثر حساسية من قائمة حسابات عادية. وقد يُستخدم السجل المهني وسياق اختيار الممثلين لتقديم عروض أدوار وهمية، أو إرسال رسائل تنتحل صفة شركات إنتاج، أو تنفيذ عمليات احتيال تتضمن وعودًا بالدفع. ويؤدي اجتماع هذه البيانات إلى مخاطر التصيد الموجّه، والمضايقة، وانتحال الهوية، ومخاطر تمتد إلى العالم المادي، حتى من دون أن تتضمن البيانات كلمة مرور.

ينبغي اعتماد 31 مايو 2020 بوصفه تاريخ الحادثة المتحقق منه؛ وقد ظهرت نتائج البحث المنشور للعلن في 16 يوليو 2020. ونظرًا إلى أن عدد المستخدمين المتأثرين أُفيد بأنه يتجاوز 260,000، ينبغي استخدام 260,000 بوصفه القيمة الأساسية للسجل في النظام. وأُفيد بأن حجم مستودع البيانات المتبقي يبلغ نحو 1 GB، وأنه يحتوي على 9,456,433 سجلًا؛ ولا يمثل هذا الرقم عدد المستخدمين الفريدين، بل حجم ملفاتهم والسجلات المرتبطة بها. ولأن وجود كلمات مرور أو بطاقات دفع أو حسابات مصرفية أو أرقام وثائق هوية حكومية لم يُتحقق منه في هذا السجل، فلا تُدرج هذه الحقول فيه. كذلك، لا يُعمَّم الادعاء بأن جميع الصور متاحة للوصول؛ إذ يذكر التقرير أن بعض الصور متاحة، وأن المحتويات مخزنة في مواقع استضافة مختلفة. وقد جرى التحقق من النطاق بدرجة عالية من الثقة ضمن هذه الحدود.

من بين الأشخاص الأكثر عرضة للخطر من يدرجون عنوانهم الحقيقي، ورقم هاتفهم، وتاريخ ميلادهم، وصورة حديثة لهم، ومعلومات مركباتهم، وصفاتهم الجسدية التفصيلية في ملف ترشحهم للتمثيل. ويمكن بسهولة استهداف الباحثين عن عمل كممثلين أو كومبارس أو عارضي أزياء أو أفراد في طاقم التصوير بعروض أدوار وهمية تبدو واقعية. وتنطوي ملفات الأطفال أو الممثلين صغار السن على مخاطر خاصة؛ فإدراج الصفات الجسدية والصور إلى جانب معلومات الاتصال بالوالدين يزيد من الأثر على سلامتهم. وقد يساعد السجل المهني ومعلومات الموقع المهاجم على صياغة رسائل أكثر إقناعًا تستند إلى مدينة محددة أو موقع تصوير أو وكالة أو اسم إنتاج بعينه. ويزداد خطر مطابقة الهوية والاحتيال لدى من يستخدمون عنوان البريد الإلكتروني نفسه في وسائل التواصل الاجتماعي وملفات أعمالهم التمثيلية وحسابات الدفع.

ينبغي للمستخدم الذي ظهرت له مطابقة أن يراجع أولًا معلومات الاتصال وملفات الأعمال المتاحة للعامة في حسابه على MyCastingFile. وإذا كان يستخدم رقم الهاتف والبريد الإلكتروني والصور نفسها على منصات مختلفة، فعليه تشديد إعدادات الخصوصية. وإذا تلقى رسائل باسم جهة لاختيار الممثلين أو وكالة أو شركة إنتاج أو طاقم تصوير تطلب رسومًا أو معلومات مصرفية أو وثائق هوية أو التحقق من العنوان أو دفعًا فوريًا، فينبغي إيقاف العملية والتحقق من الطلب عبر قناة مستقلة. وعلى الوالدين تقليل المعلومات التي يمكن استخلاصها من الحسابات المرتبطة بملف طفل، مثل الصور والعناوين وتفاصيل محيط المدرسة. ويجب عدم الرد على الرسائل المشبوهة أو فتح روابطها أو تنزيل مرفقاتها. وينبغي تفعيل المصادقة الثنائية لحساب البريد الإلكتروني المستخدم في الحساب، وفحص كلٍّ من الحسابات المهمة المرتبطة بالبريد الإلكتروني نفسه على حدة.

في خدمات اختيار الممثلين وملفات المواهب، ينبغي للمستخدمين تجنب مشاركة التفاصيل غير الضرورية لطلب العمل، وتقليل المعلومات في ملفات أعمالهم دوريًا. فعندما تجتمع الصور والعناوين والمركبات والصفات الجسدية في ملف واحد، لا يقتصر الخطر على الاحتيال عبر الإنترنت؛ بل قد تتأثر السلامة الجسدية للشخص أيضًا. لذلك، من المهم استخدام عنوان بريد إلكتروني منفصل، ومشاركة أرقام الهاتف مع الوكالات الموثوقة فقط، وحذف ملفات الأعمال القديمة، وفصل ملفات وسائل التواصل الاجتماعي عن حسابات الترشح للتمثيل. أما الدرس الأساسي للمؤسسات المشغّلة للمنصات فهو عدم ترك مستودعات بيانات البحث والملفات الشخصية مفتوحة دون مصادقة، ومراجعة سجلات الوصول بانتظام، وإنشاء طبقة حماية منفصلة لملفات الأطفال، وتقليص مدد الاحتفاظ غير الضرورية بالبيانات.

يشير ظهور مطابقة مع MyCastingFile لعام 2020 في هذا السجل إلى أن عنوان البريد الإلكتروني المعني ربما كان ضمن بيانات ملف ترشّح للتمثيل أو طلب ترشّح للعمل الفني. ولا تثبت المطابقة انكشاف كلمة مرور أو بطاقة دفع؛ بل تعني أن الخطر المتحقق منه يتعلق باستخدام مجموعة واسعة من حقول الملفات الشخصية والصور ومعلومات الاتصال وبيانات الموقع والصفات الجسدية معًا. ينبغي للمستخدمين مراجعة طلبات الترشح السابقة للأدوار، وصفحات ملفات الأعمال، وروابط وسائل التواصل الاجتماعي، وجهات اتصال الوكالات؛ وعليهم التحقق بصورة مستقلة من طلبات الأدوار أو الدفع أو السفر أو تأكيد الهوية التي ترد من أشخاص لا يعرفونهم. أما المؤسسات، فينبغي لها تصنيف السجل ضمن فئة المخاطر المرتفعة المرتبطة بالملفات الشخصية، والناشئة عن مستودع بيانات مفتوح في 2020، والنظر في تدابير حماية إضافية، خاصة لملفات الأطفال أو الممثلين صغار السن.