تسرب بيانات MyPertamina لعام 2022

أبرز أنواع البيانات في سجل MyPertamina هي تواريخ الميلاد وعناوين البريد الإلكتروني وبيانات الجنس والأسماء وأرقام الهواتف والعناوين الفعلية وسجلات المشتريات. ولا يندرج حقل كلمة المرور ضمن فئات البيانات التي جرى التحقق منها في هذا السجل؛ لذلك، لا ينبغي عرض الحادثة بوصفها انكشافًا مباشرًا لكلمات المرور. ومع ذلك، لا تنخفض المخاطر، بل تتغير طبيعتها فقط. فعند الجمع بين البريد الإلكتروني ورقم الهاتف والاسم والعنوان وتاريخ الميلاد، تصبح محاولات التصيد الموجّه ومكالمات الدعم الزائفة والاحتيال بذريعة التوصيل أو الدفع وتجاوز أسئلة التحقق من الهوية أكثر إقناعًا حين ينفذها المهاجم.

تنطوي بيانات المشتريات أيضًا على مخاطر مرتبطة بالسلوك. فعادات استخدام الوقود أو الخدمات قد توفر مؤشرات غير مباشرة عن أنماط تواجد المستخدم في الأماكن المختلفة واستخدامه للمركبة ومواعيد الدفع. وعند النظر إلى هذه المعلومات مع العنوان الفعلي ورقم الهاتف، فإنها قد تمهد ليس فقط لمشكلات الحسابات الرقمية، بل أيضًا للمضايقات في العالم الحقيقي ومكالمات الحملات الاحتيالية وسيناريوهات الهندسة الاجتماعية. لذلك، ينبغي اعتبار تسرب MyPertamina سجلًا بالغ الأهمية، إذ يضم مجموعة قوية من البيانات التي يمكن استخدامها لبناء ملفات شخصية عن الأفراد، رغم أنه لا يتضمن كلمات مرور.

لا تُعد أعداد الأشخاص وحقول البيانات وادعاءات الجهات المهددة التي لم يجرِ التحقق منها جزءًا من النطاق المعلن للحادثة. وقد نُقل ادعاء بأن البيانات الخام تضم أكثر من 44 مليون صف؛ لكن عدد الصفوف الخام لا يعادل عدد الأفراد الفريدين. فقد يزيد حجم الصفوف الخام بسبب سجل المعاملات أو السجلات المكررة أو وجود صفوف متعددة تخص المستخدم نفسه أو جداول مختلفة في البيانات المصدّرة.

ينبغي تسجيل تاريخ الحادثة على أنه نوفمبر 2022، والإبقاء على تاريخ الإضافة في النظام باعتباره يناير 2024. فإذا عُرض تاريخ التحديث التقني السابق أو وقت الاستيراد الجماعي بوصفه تاريخ التسرب، فقد يظن المستخدمون أن التسرب وقع في 2025 أو 2026. وقد أُزيل هذا الالتباس في هذا السجل: فتاريخ التسرب هو 1 نوفمبر 2022، وتاريخ إدراجه في الفهرس الذي جرى التحقق منه هو 27 يناير 2024، ويُعتمد 5,970,416 بوصفه عدد عناوين البريد الإلكتروني الفريدة المتأثرة. كما ينبغي تحديث سياق الشركة ليشير إلى إندونيسيا وإلى خدمات الطاقة ومدفوعات الوقود.

تتكون الفئة الأولى المعرضة للخطر من الأشخاص الذين فتحوا حسابًا في MyPertamina واستخدموا بيانات بريدهم الإلكتروني وهاتفهم في مدفوعات الوقود أو معاملات الولاء. وعندما تظهر أسماء هؤلاء الأشخاص وأرقام هواتفهم وعناوينهم وتفاصيل مشترياتهم معًا، قد تصبح مكالمات خدمة العملاء الزائفة أكثر إقناعًا. وقد يدفع المهاجم المستخدم إلى النقر على رابط أو تقديم معلومات شخصية إضافية من خلال رسائل تتناول دعم الوقود أو التحقق من المدفوعات أو نقاط المكافآت أو الحملات أو تجديد الحساب.

تتكون الفئة الثانية المعرضة للخطر من الأشخاص الذين يستخدمون رقم الهاتف نفسه للخدمات المصرفية والمحافظ الإلكترونية والتوصيل والخدمات العامة. ويمكن استخدام رقم الهاتف وتاريخ الميلاد بوصفهما معلومات مساعدة تسهّل محادثات التحقق من الهوية في بعض الخدمات. أما الفئة الثالثة المعرضة للخطر فتتكون من الموظفين الذين يفتحون حسابًا شخصيًا في MyPertamina باستخدام عنوان بريدهم الإلكتروني الخاص بالعمل. ولا يعني هذا التطابق وصولًا مباشرًا إلى نظام الشركة؛ لكن المخاطر الأمنية تزداد إذا استُخدم الاسم الحقيقي للموظف أو رقم هاتفه أو معلومات عنوانه في رسائل تصيد موجّهة.

ينبغي للمستخدمين الواردة بياناتهم في سجلات MyPertamina أن يراجعوا أولًا بعناية الرسائل التي تصل إلى بريدهم الإلكتروني وهواتفهم بشأن الوقود أو الدفع أو نقاط المكافآت أو الدعم أو التحقق من الحساب. وبدلًا من تسجيل الدخول عبر الرابط الوارد في الرسالة، ينبغي استخدام العنوان الرسمي المعروف للخدمة أو تطبيقها على الهاتف المحمول. ويجب عدم مشاركة أرقام التعريف الشخصية أو تواريخ الميلاد أو العناوين أو الرموز المستخدمة لمرة واحدة أو معلومات الدفع خلال المكالمات الواردة. ولا ينبغي لفرق خدمة العملاء الحقيقية أن تطلب رموز الأمان.

حتى إن لم يتأكد تسرب كلمة المرور، ينبغي اتخاذ تدابير أمنية قوية للحسابات المهمة التي تستخدم عنوان البريد الإلكتروني نفسه. ويجب تفعيل المصادقة متعددة العوامل لحسابات البريد الإلكتروني والمحافظ الإلكترونية والخدمات المصرفية والتوصيل والخدمات العامة، والتحقق من أرقام الهواتف وعناوين البريد الإلكتروني المخصصة لاسترداد الحسابات. وينبغي للمستخدم إنهاء الجلسات المشبوهة وإزالة الأجهزة التي لا يتعرف عليها وحذف بيانات العناوين أو أرقام الهواتف القديمة من الخدمات. وينبغي الآن اعتبار معلومات تاريخ الميلاد والعنوان سهلة التخمين، وعدم استخدامها في كلمات المرور أو رموز PIN.

يوضح تسرب MyPertamina أن البيانات الشخصية، بخلاف كلمة المرور، لها أيضًا آثار أمنية طويلة الأمد. وينبغي للمستخدمين الاعتياد على تقديم الحد الأدنى من البيانات لكل خدمة. ويجب ترك الحقول غير الضرورية، مثل رقم الهاتف أو العنوان أو تاريخ الميلاد، فارغة؛ واستخدام إخفاء عنوان البريد الإلكتروني وعناوين اتصال منفصلة وتفضيلات إشعارات خاصة بكل خدمة متى أمكن. وبمجرد تداول البيانات الشخصية، لا يمكن استعادتها بالكامل؛ لذلك، يتمثل الدفاع الأساسي في منع استخدام البيانات نفسها كمفتاح أمان واحد عبر حسابات مختلفة.

لا تقتصر قيمة حقول سجل المشتريات والهاتف والعنوان على التسويق؛ فعند الحصول عليها بطرق غير مشروعة، تتحول إلى ملف شخصي حساس يغذي الاحتيال الموجّه. وينبغي للشركات ألا تجمع حقولًا غير ضرورية، وأن تحذف السجلات القديمة بانتظام، وتدرّب فرق دعم العملاء على التصدي لمحاولات الهندسة الاجتماعية، وتراقب دون تأخير أي وصول مشبوه إلى البيانات.

بما أن السجل لا يحتوي على كلمة مرور، فلا ينبغي أن يقتصر الإجراء الأول على تغيير كلمة المرور وحدها. وينبغي رفع مستوى الحذر من المكالمات والرسائل والحملات الزائفة المحتملة التي قد تستغل أرقام الهواتف والعناوين وتواريخ الميلاد ومعلومات المشتريات.

الترتيب الصحيح هو تعزيز أمان البريد الإلكتروني والهاتف أولًا، ثم التحقق من إعدادات استرداد الحسابات في المحافظ الإلكترونية والخدمات المصرفية والتوصيل والخدمات العامة. وينبغي للمستخدم مراجعة عمليات تسجيل الدخول غير المألوفة في الخدمات التي تستخدم عنوان البريد الإلكتروني نفسه المستخدم في MyPertamina، وإزالة المعلومات الشخصية القديمة من الحسابات غير الضرورية. وعلى مستخدمي البريد الإلكتروني الخاص بالعمل مشاركة هذه النتيجة مع فريق الأمن؛ وينبغي للشركة تطبيق مراقبة النطاقات وتنبيهات تسجيل الدخول المحفوف بالمخاطر والتحقق من مستوى الوعي الأمني لدى الموظفين.