خرق بيانات ParkMobile

فئات البيانات التي جرى التحقق منها هي عناوين البريد الإلكتروني والأسماء وأرقام الهواتف وأرقام لوحات المركبات وتجزئات كلمات المرور باستخدام bcrypt والعناوين الفعلية وتفاصيل المركبات. لم تظهر العناوين الفعلية إلا لدى نسبة صغيرة من المستخدمين، بينما شملت تفاصيل المركبات اسمًا مستعارًا للمركبة إذا كان المستخدم قد أدخله. لم تكن كلمات المرور نصوصًا صريحة؛ بل كانت القيم المكشوفة تجزئات bcrypt ناتجة عن استخدام التمليح. تُبطئ bcrypt محاولات التخمين دون اتصال، لكنها لا تجعل كلمات المرور الضعيفة أو القصيرة خالية من المخاطر. وقد يؤدي الجمع بين معلومات البريد الإلكتروني والهاتف ولوحة المركبة وتفاصيلها إلى جعل الرسائل المزيفة المتعلقة بمخالفات الوقوف أو الدفع أو تسجيل المركبات أو الدعم أكثر إقناعًا. وأفاد التحقيق الرسمي بأنه لم يتم الوصول إلى بيانات بطاقات الائتمان أو سجل معاملات الوقوف، وأن الخدمة لم تكن تجمع أرقام الضمان الاجتماعي أو أرقام رخص القيادة أو تواريخ الميلاد.

قالت ParkMobile إنها علمت في مارس 2021 بحادثة أمن سيبراني مرتبطة بثغرة في برنامج تابع لطرف ثالث، وإنها سارعت إلى معالجة الثغرة. وأصدرت الشركة إشعارًا أوليًا في 26 مارس، واستعانت بخبراء أمن خارجيين، وأبلغت جهات إنفاذ القانون. وأكد تحقيقها اللاحق الوصول إلى معلومات المستخدمين الأساسية وتجزئات كلمات المرور. وعُرضت لاحقًا بيانات نحو 21 مليون عميل على منتدى إجرامي، ثم أُعيد توزيعها على نطاق واسع؛ وتضم مجموعة البيانات التي جرى التحقق منها 20,949,825 سجل حساب فريدًا. كانت حقول كلمات المرور تحتوي على تجزئات bcrypt، وقالت الشركة إنها حمتها بتقنيتَي التجزئة والتمليح. ورصد فحص مستقل عناوين بريدية في بعض السجلات، ولوحات مرتبطة بمركبات متعددة.

يتأثر مباشرةً الأشخاص الذين أنشؤوا حسابًا قبل مارس 2021 عبر ParkMobile أو عبر تطبيق يُقدَّم بعلامة تجارية خاصة بمدينة أو جهة مشغِّلة. ويواجه خطرًا أكبر للاستيلاء على الحسابات من أعادوا استخدام كلمة المرور نفسها في خدمات أخرى، أو اختاروا كلمة مرور قصيرة أو يسهل توقعها، أو تركوا المصادقة متعددة العوامل معطّلة على حساب البريد الإلكتروني. ويوفّر رقم لوحة المركبة واسمها المستعار سياقًا مقنعًا لرسائل مزيفة تتعلق بغرامات الوقوف أو إشعارات تمديد الوقت أو استرداد الأموال. وقد يتلقى المستخدمون الذين وردت أرقام هواتفهم محاولات تصيّد عبر الرسائل النصية أو المكالمات، بينما قد تواجه المجموعة الأصغر التي وردت عناوينها البريدية فواتير احتيالية أو مراسلات ورقية احتيالية. ولا يكشف رقم لوحة المركبة وحده عن موقعها الآني، كما أن سجل معاملات الوقوف لم يكن ضمن البيانات التي جرى الوصول إليها. وحتى إذا لم يرد اسم أو عنوان، فقد تكون حقول أخرى جرى التحقق منها قد انكشفت.

إذا أعدت استخدام كلمة مرور حسابك في ParkMobile لعام 2021 في خدمات أخرى، فغيّر كلمات مرور تلك الحسابات فورًا. أنشئ كلمة مرور طويلة وفريدة لكل خدمة، واحفظها في مدير كلمات مرور موثوق، وفعّل المصادقة متعددة العوامل، وخصوصًا على البريد الإلكتروني. وإذا كان حساب ParkMobile لا يزال نشطًا، فاستخدم التطبيق الرسمي أو النطاق الرسمي لمراجعة طريقة تسجيل الدخول الحالية وبيانات استرداد الحساب؛ ولا تسجّل الدخول عبر رابط في رسالة. تحقّق داخل التطبيق من أي غرامات وقوف أو طلبات تمديد وقت أو مطالبات بالتحقق من المركبة أو تحديثات للوحات المركبات أو إشعارات باسترداد الأموال لم تكن تتوقعها. ورغم أنه لم يتم الوصول إلى بيانات البطاقات في هذه الحادثة، فقد يستغل المجرمون الحدث لتوجيه المستخدمين إلى صفحات دفع مزيفة؛ فلا تقدّم رمز أمان أو كلمة مرور من دون التحقق بصورة مستقلة. وإذا لاحظت وصولًا مشبوهًا، فأنهِ الجلسات النشطة واستبدل كلمات المرور المبنية على النمط نفسه.

يمنع استخدام كلمة مرور مختلفة لكل خدمة عبر الإنترنت أن يؤدي كسر تجزئة bcrypt واحدة إلى فتح حسابات لا صلة لها بها. ويجعل مدير كلمات المرور استخدام كلمات مرور طويلة وعشوائية أمرًا عمليًا، بينما تمنع المصادقة متعددة العوامل أن تكون كلمة المرور المكشوفة كافية وحدها للدخول. أبقِ خيارات استرداد البريد الإلكتروني محدّثة، وفعّل تنبيهات الجلسات الجديدة، وراجع قواعد إعادة توجيه البريد غير المألوفة. احذف المركبات غير المستخدمة وأرقام اللوحات القديمة وبيانات الاتصال التي لم تعد سارية من حسابات خدمات التنقّل، وأغلق الحسابات التي لم تعد تحتاج إليها. وينبغي لخدمات الوقوف والنقل الاحتفاظ بقائمة بمكوّنات الأطراف الثالثة، ومتابعة التحديثات التصحيحية، وتقييد الوصول، مع مراقبة عمليات تصدير البيانات الكبيرة والاستعلامات غير المعتادة. وينبغي لأنظمة كلمات المرور استخدام قيمة تمليح فريدة لكل مستخدم، ومعاملات تكلفة مناسبة، وسياسة لإعادة التجزئة مع تحسّن قدرات الأجهزة.

تحقّق من عنوان بريدك الإلكتروني باستخدام LeakData لمعرفة ما إذا كان يطابق سجل ParkMobile أو سجلًا في خرق آخر معروف. ولا تعني المطابقة أن بيانات بطاقتك الائتمانية أو سجل الوقوف الخاص بك قد انكشفت؛ بل تشير إلى أن العنوان ورد في مجموعة بيانات الحسابات التي جرى التحقق منها. حدّد إجراءاتك استنادًا إلى فئات البيانات السبع المذكورة، ولا تفترض انكشاف الحقول التي استبعدها التحقيق الرسمي. وإذا ظهرت مطابقة، فتحقّق مما إذا كنت قد أعدت استخدام كلمة المرور التي استخدمتها في 2021 في خدمات أخرى، وأمّن أولًا البريد الإلكتروني والحسابات المرتبطة بالدفع. راجع الرسائل الحديثة المتعلقة بالوقوف ولوحات المركبات واسترداد الأموال والغرامات، وافتح التطبيق الرسمي بدلًا من اتباع الروابط المضمّنة. وواصل استخدام كلمات مرور فريدة والمصادقة متعددة العوامل والتحقق المستقل من روابط الدفع المشبوهة بوصفها تدابير حماية مستمرة.