البرمجية الخبيثة غير المسماة: انكشاف البيانات في 2020

الحقل المؤكد القابل للبحث هو عنوان البريد الإلكتروني. وإضافة إلى ذلك، يُظهر الفحص التقني للحادث أن البرمجية الخبيثة تستهدف بيانات تسجيل الدخول وأسماء المستخدمين وكلمات المرور وملفات تعريف ارتباط المتصفح ومعرّفات الأجهزة والملفات الموجودة في مجلدَي سطح المكتب والتنزيلات ولقطات الشاشة وصور الكاميرا وبيانات الملء التلقائي وبعض بقايا معلومات الدفع. وعندما تأتي هذه الحقول من الجهاز نفسه، لا يقتصر ما يمكن للمهاجم معرفته على الحساب، بل يشمل أيضًا عادات الشخص في استخدام جهازه وسجل جلساته.

تشكّل ملفات تعريف ارتباط المتصفح خطرًا خاصًا؛ ففي بعض الحالات، يمكن الوصول إلى جلسات مفتوحة دون معرفة كلمة المرور. وتزيد الملفات والصور من مخاطر سرقة الهوية وانتهاك الخصوصية والابتزاز. كما يمكن تجربة بيانات تسجيل الدخول التي تتضمن كلمة مرور أو اسم مستخدم على خدمات أخرى. ويُعد عنوان البريد الإلكتروني المعرّف الأساسي الذي يربط هذه الأجزاء من البيانات بالمستخدم؛ لذلك ينبغي النظر إلى النتيجة الإيجابية على أنها لا تشير فقط إلى خطر تلقي رسائل غير مرغوب فيها، بل أيضًا إلى خطر الاستيلاء على الحسابات عبر الجهاز.

بالنسبة إلى هذا السجل، تمتد فترة الحادث خلال 2018-2020، والتاريخ المرجعي هو 1 يناير 2020، وتاريخ الإضافة إلى مجموعة البيانات هو 9 يونيو 2021. ويبلغ عدد عناوين البريد الإلكتروني الفريدة التي جرى التحقق منها 1,121,484. أما 3.25 مليون جهاز كمبيوتر و1.2 TB من البيانات المذكورة في البحث، فتوضح مدى تأثير حملة البرمجية الخبيثة بأكملها؛ بينما يعكس بحث المستخدم في LeakData نطاق عناوين البريد الإلكتروني الفريدة المستخرجة من هذه الحملة.

لا يرتبط الحادث باسم نطاق محدد أو بقاعدة بيانات لعلامة تجارية بعينها. ولذلك ينبغي أن يظل حقلا الموقع الإلكتروني للشركة واسم النطاق فارغين. أما حقل البلد فيظل ذا نطاق عالمي، ويأتي القطاع في سياق سجلات البرمجيات الخبيثة وبرامج سرقة المعلومات. ولا تُدرج الحسابات المصرفية أو أرقام الهوية الرسمية أو السجلات الصحية أو سجل مشتريات محدد ضمن فئات البيانات العامة لهذا السجل. ولا تُذكر معلومات الدفع إلا في إطار المخاطر الناجمة عن بقايا بيانات البرامج التي أشار إليها البحث؛ فلا يُفترض وجود بيانات بطاقات كاملة في كل حالة تظهر فيها نتيجة إيجابية.

يواجه الخطر الأكبر الأشخاص الذين استخدموا خلال 2018-2020 جهاز كمبيوتر يعمل بنظام Windows وأُصيب عبر رسائل بريد إلكتروني تحتوي على برامج مقرصنة أو ألعاب مزيفة أو أدوات لكسر حماية البرامج أو إضافات خبيثة. وإذا ظلت حسابات البريد الإلكتروني الشخصي أو العمل أو وسائل التواصل الاجتماعي أو الألعاب أو مشاركة الملفات أو التخزين السحابي أو الحسابات المالية مفتوحة على الجهاز نفسه، فقد يكون المهاجم قد حصل على آثار عبر كلمات المرور، وكذلك عبر ملفات تعريف ارتباط الجلسات والملفات المحلية.

تزداد المخاطر لدى من يستخدمون البريد الإلكتروني المؤسسي. فقد تُستخدم ملفات تعريف الارتباط وكلمات المرور التي جُمعت من الجهاز الشخصي لموظف أو من جهاز عمل غير محمي بما يكفي في محاولات للوصول إلى حسابات داخلية. وللسجلات التي تحتوي على صور ومستندات ولقطات شاشة تبعات على خصوصية أفراد الأسرة والطلاب والعاملين المستقلين والمستخدمين الذين يخزنون مستندات حساسة. وفي هذا الحادث، ينبغي أن يركز المستخدم على الجلسات المفتوحة والأجهزة التي تعمل عليها أكثر من تركيزه على المواقع التي سجّل فيها.

على المستخدم الذي تظهر له مطابقة إيجابية أن يبدأ بتغيير كلمات مرور الحسابات المهمة من جهاز نظيف ومحدّث. وينبغي إعطاء الأولوية للخدمات التي تشمل حسابات البريد الإلكتروني ومديري كلمات المرور ووسائل التواصل الاجتماعي والتخزين السحابي وحسابات العمل ومنصات الألعاب وخدمات الدفع. ويجب إنهاء جميع الجلسات المفتوحة، واستخدام خيار تسجيل الخروج من جميع الأجهزة في الخدمات التي تتيح إبطال ملفات تعريف ارتباط الجلسات. وإذا كانت كلمة المرور نفسها مستخدمة في أكثر من حساب، فينبغي اختيار كلمة مرور فريدة لكل حساب.

إذا كان الجهاز المتأثر لا يزال قيد الاستخدام، فينبغي إجراء فحص أمني وتحديث نظام التشغيل والمتصفح وإزالة الإضافات المشبوهة والبرامج المقرصنة. كما ينبغي مراجعة عادة إبقاء المستندات الحساسة على الكاميرا وفي مجلد التنزيلات وعلى سطح المكتب. ويجب تفعيل الحماية متعددة العوامل؛ وعند تلقي إشعار أمني غير متوقع أو رابط لمشاركة ملفات أو مكافأة في لعبة أو فاتورة أو رسالة بإغلاق حساب، ينبغي ألا يبدأ اتخاذ أي إجراء إلا من شاشة تسجيل دخول معروفة.

يوضح هذا الحادث أن تسرّب البيانات المرتبط ببرمجية خبيثة له أثر أوسع من تسرّب تقليدي يصيب موقعًا إلكترونيًا. ينبغي للمستخدمين الحد من حفظ كلمات المرور في المتصفح، واستخدام مدير كلمات مرور موثوق، ومسح ملفات تعريف الارتباط والجلسات القديمة بانتظام، وتفضيل مفاتيح الأمان المادية أو المصادقة الثنائية القائمة على التطبيقات للحسابات المهمة. فالبرامج المقرصنة وأدوات كسر الحماية، رغم أنها قد تبدو منخفضة التكلفة، تنطوي على مخاطر كبيرة لأمان الحسابات والملفات.

بالنسبة إلى المؤسسات، يؤكد هذا السجل أهمية أمان أجهزة الموظفين وحماية الأجهزة الطرفية وإدارة جلسات المتصفح. ولا يكفي رصد اختراقات أنظمة المؤسسة وحدها؛ بل ينبغي أيضًا إدراج مطابقات البريد الإلكتروني وكلمات المرور المرتبطة ببرامج سرقة المعلومات في درجة المخاطر. وتوفر ضوابط الحد من إعادة استخدام كلمات المرور، والوصول المشروط، وفحوص سلامة الأجهزة، وإجراءات إنهاء الجلسات المشبوهة دفاعًا أقوى على المدى الطويل.

إذا أظهر البحث بعنوان البريد الإلكتروني في LeakData نتيجة إيجابية لهذا السجل، فهذا يعني أن العنوان المعني من بين 1,121,484 عنوان بريد إلكتروني فريدًا في مجموعة بيانات البرمجية الخبيثة غير المسماة. وتشير هذه النتيجة إلى ضرورة التعامل بجدية مع المخاطر المتعلقة بكلمات المرور وملفات تعريف الارتباط والملفات والصور وبيانات الملء التلقائي التي ربما جُمعت من الجهاز. أما النتيجة السلبية فلا تعني سوى عدم العثور على مطابقة في مجموعة البيانات هذه تحديدًا؛ ولا تستبعد وجود سجلات أخرى لبرمجيات خبيثة أو استخدام عنوان بريد إلكتروني مختلف.

الإجراء الصحيح هو تغيير كلمة المرور من جهاز نظيف، وإنهاء جميع الجلسات، وإجراء فحص للكشف عن البرمجيات الخبيثة، وتفعيل الحماية متعددة العوامل، وتجنب الملفات والروابط المشبوهة، وحفظ الملفات الحساسة في بيئة مشفّرة، والتوقف تمامًا عن إعادة استخدام كلمات المرور. وينبغي اعتبار هذا السجل حادثًا حساسًا وعالمي النطاق يتعلق ببرمجية خبيثة ولا يرتبط بنطاق محدد؛ فالمخاطر التي تظهر للمستخدم تبدأ بمطابقة البريد الإلكتروني، لكن التعامل معها يكتمل باتخاذ تدابير لأمان الجهاز.