MyFHA خرق بيانات

تشمل أنواع البيانات المؤكدة في هذا السجل حقولًا حساسة تُستخدم في طلبات التمويل السكني. ويمكن لعنوان البريد الإلكتروني والاسم الكامل وعنوان IP والعنوان الفعلي أن تربط البيانات مباشرة بهوية المستخدم ومعلومات الاتصال به. وقد تشير الحالة الائتمانية ومستوى الدخل والمعلومات الائتمانية إلى احتياجات الشخص المالية، أو قدرته على السداد، أو سلوكه في طلب الاقتراض. أما حقول الإفادات الشخصية فهي أشد حساسية؛ إذ أُفيد بأن بعض السجلات تتضمن تفاصيل عن الحياة الخاصة، مثل المشكلات القانونية أو الطلاق أو الحالات الصحية أو الظروف الأسرية. ويزيد وجود حقل لكلمة المرور من خطر الاستيلاء على الحساب إذا أُعيد استخدام كلمة المرور نفسها أو كلمة مشابهة في خدمات أخرى. لذلك، ينبغي التعامل مع الحادثة بوصفها تسربًا بالغ الأثر يوفّر سياقًا غنيًا للاحتيال الائتماني والهندسة الاجتماعية.

ينبغي تسجيل تاريخ الحادثة الذي تم التحقق منه على أنه 18 فبراير 2015، وتاريخ إضافة السجل على أنه 9 أغسطس 2018، وعدد الحسابات المتأثرة على أنه 972,629. وقد تم التحقق من أن اسم النطاق هو myfha.net. وتشمل فئات البيانات معلومات الحالة الائتمانية، وعناوين البريد الإلكتروني، ومستويات الدخل، وعناوين IP، والمعلومات الائتمانية، والأسماء، وكلمات المرور، والأوصاف الشخصية، والعناوين الفعلية. ولا تُدرج بيانات مثل أرقام الضمان الاجتماعي أو بيانات بطاقات الدفع أو أرقام الحسابات المصرفية أو وثائق الهوية الرسمية، إذ لم يُتحقق من وجود هذه الحقول في هذا السجل. ولعدم وجود تحقق علني قاطع من الصيغة التقنية التي تُخزّن بها كلمات المرور، يقتصر النص على الإشارة إلى حقل كلمة المرور. ورغم أن الحادثة ليست مصنفة ضمن فئة المنصات الحساسة، فإن أثرها على المستخدمين كبير بسبب تفاصيلهم المالية وظروفهم الشخصية.

من بين الفئات الأكثر عرضة للخطر الأشخاص الذين يتركون معلوماتهم لدى MyFHA للحصول على قروض سكنية، أو معالجة أوضاع ديونهم، أو تحسين درجاتهم الائتمانية، أو البحث عن تمويل. ويمكن استهداف المستخدمين الذين يشاركون عناوينهم الحقيقية ومستويات دخلهم وحالتهم الائتمانية بمخططات ينتحل أصحابها صفة مستشارين ائتمانيين، أو بوعود تسوية الديون، أو بالاحتيال عبر طلب رسوم مسبقة، أو بانتحال صفة ممثل مصرف. وإذا تضمنت الإفصاحات الشخصية تفاصيل مثل الإجراءات القانونية أو الطلاق أو المشكلات الصحية أو الضغوط الأسرية، فقد يستخدم المهاجم هذه المعلومات لصياغة رسائل أكثر إقناعًا وأشد ضغطًا من الناحية العاطفية. ويزداد الخطر على من يستخدمون البريد الإلكتروني وكلمة المرور نفسيهما لحسابات مالية أخرى، أو لحسابات البريد الإلكتروني أو العقارات أو وسائل التواصل الاجتماعي. وقد يتلقى المستخدمون الذين يقدمون طلبات باستخدام بريد إلكتروني تابع لمؤسسة تصيدًا احتياليًا موجّهًا عبر حساب العمل أيضًا.

ينبغي للمستخدم الذي يُكتشف تطابق بياناته أن يبدأ بتغيير كلمة المرور التي استخدمها لحسابه لدى MyFHA، وفي جميع الحسابات التي يستخدم فيها كلمة المرور نفسها أو كلمة مشابهة. وتشمل أولويات المراجعة حسابات البريد الإلكتروني، والتطبيقات المصرفية، وخدمات مراقبة الائتمان، والمنصات العقارية، وحسابات وسائل التواصل الاجتماعي. وينبغي أن تكون كلمات المرور الجديدة طويلة وفريدة، وأن تُنشأ باستخدام مدير كلمات مرور. كما ينبغي تفعيل التحقق بخطوتين في كل حساب يدعمه. ويجب التعامل بحذر مع الرسائل المتعلقة بالموافقة على الائتمان، أو سداد الديون، أو الفوائد المنخفضة، أو الديون الضريبية، أو تأجيل حجز العقارات، أو رسوم الملفات. ولا ينبغي اعتبار الطلبات الواردة من أشخاص يعرفون ملاحظات عن الظروف الشخصية أو معلومات عن عناوين قديمة موثوقة؛ بل يجب التحقق منها عبر قناة الاتصال الرسمية للمؤسسة قبل إرسال أي مدفوعات، أو مشاركة وثائق هوية، أو رموز تحقق، أو معلومات مالية إضافية.

تُظهر هذه الحادثة أن البيانات التي تجمعها مواقع تقديم الطلبات المالية تنطوي على مخاطر أوسع من مخاطر معلومات الحسابات التقليدية. وينبغي للمستخدمين تجنّب الإفصاحات الشخصية غير الضرورية لدى خدمات الائتمان أو العقارات أو استشارات الديون، وأن يضعوا في اعتبارهم احتمال اطلاع أطراف ثالثة على النصوص التفصيلية التي يصفون فيها احتياجاتهم المالية. وينبغي إغلاق حسابات طلبات الائتمان القديمة، أو تغيير كلمات مرورها على الأقل. كما ينبغي تخصيص عنوان بريد إلكتروني منفصل للخدمات المالية، وعدم إعادة استخدام كلمة المرور نفسها في أي حساب. أما الدرس الأساسي للمؤسسات فهو الحد من حقول النص الحر في نماذج الطلبات، والاحتفاظ بالملاحظات المتعلقة بالوضع المالي والظروف الشخصية لفترة قصيرة، وتطبيق ضوابط صارمة للوصول، وإبلاغ المستخدمين بوضوح بعد وقوع حادثة بمخاطر إعادة استخدام كلمات المرور والاحتيال الائتماني والتصيد الاحتيالي الموجّه.

يشير ظهور تطابق مع MyFHA في هذا السجل إلى احتمال وجود عنوان البريد الإلكتروني المعني ضمن بيانات التمويل السكني لعام 2015. ولا يثبت هذا التطابق انكشاف رقم ضمان اجتماعي أو بيانات بطاقة دفع؛ بل تكمن الخطورة في اجتماع حقول الحالة الائتمانية ومستوى الدخل والمعلومات الائتمانية والعنوان الفعلي والإفادة الشخصية وكلمة المرور، التي تم التحقق منها ويمكن استخدامها معًا في احتيال موجّه. وينبغي للمستخدم مراجعة الحسابات المالية وطلبات الائتمان القديمة المرتبطة بعنوان البريد الإلكتروني نفسه، والتوقف عن إعادة استخدام كلمات المرور، وتعزيز التحقق بخطوتين، والتحقق بصورة مستقلة من الرسائل غير المتوقعة التي تعد بالحصول على ائتمان أو حل مشكلات الديون. ومن منظور المؤسسات، يستدعي هذا السجل تنبيه المستخدمين بأولوية عالية، حتى مع قِدمه، لأنه يحتوي على بيانات عن ملفاتهم المالية وظروفهم الشخصية.