خرق بيانات MyFitnessPal

فئات البيانات التي تم التحقق منها هي عناوين البريد الإلكتروني وعناوين IP وكلمات المرور وأسماء المستخدمين. أُفيد بأن بيانات كلمات المرور مرتبطة بقيم تجزئة، مع استخدام SHA-1 لبعض الحسابات وbcrypt للحسابات الأحدث. يختلف ذلك عن تسرب كلمات المرور بنصها الصريح، لكن المخاطر تظل قائمة عند استخدام كلمات مرور ضعيفة أو مُعاد استخدامها. يمكن مطابقة عناوين البريد الإلكتروني وأسماء المستخدمين مع حسابات على منصات مختلفة. وقد توفر عناوين IP أيضًا سياقًا غير مباشر بشأن مناطق الوصول ومعلومات الجلسات المعتادة. لا تندرج معلومات بطاقات الدفع، أو سجلات التغذية اليومية، أو معلومات الوزن، أو سجل التمارين، أو بيانات إثبات الهوية الرسمية ضمن فئات البيانات التي تم التحقق منها في هذا السجل تحديدًا؛ إذ ترتبط المخاطر أساسًا بالاستيلاء على الحسابات وإعادة استخدام كلمات المرور.

يبلغ عدد الحسابات التي تم التحقق منها في حادثة MyFitnessPal ما مجموعه 143,606,147 حسابًا. ينبغي اعتماد فبراير 2018 فترةً رئيسية للخرق، وفبراير 2019 تاريخًا موثقًا للإضافة، و21 فبراير 2019 تاريخًا لآخر تحديث للمصدر. وفقًا لبيان الشركة نفسها، تشمل المعلومات المتأثرة أسماء المستخدمين وعناوين البريد الإلكتروني وكلمات المرور المجزأة؛ وتشمل سجلات أمان الحساب الخارجية التي تم التحقق منها عناوين IP أيضًا. لذلك، ينبغي أن تقتصر الحقول المعروضة للمستخدم على عناوين البريد الإلكتروني وعناوين IP وكلمات المرور وأسماء المستخدمين. كون MyFitnessPal خدمة للتغذية والتمارين لا يعني أن بيانات اليوميات الصحية قد تسربت أيضًا. فإضافة حقول لم يتم التحقق منها تعطي المستخدم تصورًا خاطئًا عن المخاطر.

يتعرض لأعلى مستوى من المخاطر الأشخاص الذين يستخدمون في خدمات أخرى عنوان البريد الإلكتروني نفسه المرتبط بحساب MyFitnessPal وكلمة مرور مشابهة. إذا تكررت كلمة المرور نفسها في تطبيقات اللياقة البدنية والتغذية والرياضة، ومنصات التواصل الاجتماعي، وحسابات البريد الإلكتروني والتسوق، فيمكن للمهاجمين استخدام هذه المعلومات في هجمات آلية لتجربة بيانات تسجيل الدخول. ويتعرض للخطر أيضًا المستخدمون الذين لم يدخلوا إلى حساباتهم القديمة منذ سنوات، لأن كلمة مرور منسية قد تظل صالحة في مكان آخر. بالنسبة إلى الموظفين المسجلين ببريد إلكتروني تابع للشركة، قد تصبح رسائل التصيد الاحتيالي أكثر إقناعًا. ويمكن استخدام عنوان IP مع اسم المستخدم لتخصيص تنبيهات تسجيل دخول زائفة أو رسائل استرداد الحساب.

ينبغي للمستخدم المتأثر أن يبدأ بتغيير كلمة مرور حساب MyFitnessPal إلى كلمة مرور قوية وفريدة. وإذا كان يستخدم كلمة المرور نفسها أو كلمة مشابهة في خدمات أخرى، فينبغي إعطاء الأولوية لتغيير كلمات المرور في حسابات البريد الإلكتروني والتواصل الاجتماعي والتخزين السحابي والتسوق وتطبيقات اللياقة البدنية والحسابات التي تتضمن روابط دفع. يساعد إنشاء كلمة مرور منفصلة لكل خدمة باستخدام مدير كلمات المرور على تقليل خطر تكرارها. وينبغي تفعيل التحقق متعدد الخطوات في الحسابات التي تدعمه. يجب الحذر من الرسائل الزائفة المتعلقة بإعادة تعيين كلمة المرور أو المكافآت أو الاشتراكات أو الفواتير أو تعليق الحساب، التي ترد باسم MyFitnessPal أو أحد تطبيقات اللياقة البدنية. وينبغي التحقق من عنوان الرابط يدويًا قبل النقر عليه، وعدم فتح الملفات والنماذج المشبوهة.

على المدى الطويل، ينبغي حماية تطبيقات اللياقة البدنية ونمط الحياة بالقدر نفسه من الانتظام الذي تُحمى به حسابات البريد الإلكتروني الرئيسية والحسابات المالية. يؤدي التسجيل في تطبيقات كثيرة بعنوان البريد الإلكتروني نفسه إلى امتداد مخاطر خرق واحد إلى خدمات مختلفة. ينبغي للمستخدمين مراجعة حساباتهم القديمة بانتظام، وتغيير كلمات مرور الخدمات التي لم يعودوا يستخدمونها، أو حذف الحساب. ويمكن استخدام مدير كلمات المرور أداةً أساسية لإنشاء كلمات مرور عشوائية وفريدة. وفي بيئات الشركات، من المهم وضع قواعد أمنية تمنع الموظفين من استخدام بريد العمل وكلمات مرور العمل في التطبيقات الشخصية. يجب ألا يغيب عن الأذهان أن التسريبات القديمة قد تظهر مجددًا بعد سنوات، وأن كلمات المرور السابقة ينبغي ألا تُستخدم مرة أخرى في حسابات جديدة.

عندما تظهر نتيجة تخص MyFitnessPal على LeakData، فهذا يشير إلى أن عنوان البريد الإلكتروني مدرج في مجموعة بيانات حسابات اللياقة البدنية والتغذية لعام 2018. لا تثبت هذه النتيجة أن اليوميات الصحية أو الغذائية الحالية للمستخدم قد تعرضت للاختراق؛ بل تقتصر على حقول معرّفات الحسابات وكلمات المرور التي تم التحقق منها والمرتبطة بالمخاطر. ينبغي للمستخدم أن يتحقق أولًا من حساب MyFitnessPal، ثم من كلمات المرور المستخدمة خلال الفترة نفسها والحسابات المهمة التي أُنشئت بعنوان البريد الإلكتروني نفسه. ويجب البدء بفحص حساب البريد الإلكتروني وحسابات التواصل الاجتماعي والتسوق والتخزين السحابي. تعود الفترة الرئيسية للحادثة إلى فبراير 2018، بينما يعود تاريخ الإضافة الذي تم التحقق منه إلى فبراير 2019. يمنع هذا التسلسل الزمني شاشة أمان الحساب من اعتبار الحادثة خطأً حدثًا جاريًا، ويوضح للمستخدم ترتيب الأولويات الصحيح.