خرق بيانات Pi-hole

أنواع البيانات الظاهرة في هذا السجل هي عناوين البريد الإلكتروني والأسماء. ولم يُتحقق من وجود حقل لكلمات المرور أو بطاقات الدفع أو مبالغ التبرعات. ولم تُضف إلى قائمة فئات البيانات أي حقول غير متحقق منها لبطاقات الدفع أو الحسابات المصرفية أو الرسائل الخاصة أو السجلات الصحية أو بيانات الملف الشخصي الإضافية؛ بل أُبقيت الحقول التي تدعمها الأدلة فقط.

يمكن استخدام أسماء المتبرعين وعناوين بريدهم الإلكتروني في إيصالات تبرع مزيفة أو إعلانات عن المشروع أو رسائل تحديثات أمنية. ويشكّل عنوان البريد الإلكتروني وحده خطرًا يتمثل في تلقي رسائل غير مرغوب فيها؛ وعند جمعه مع رقم هاتف أو عنوان أو IP أو تاريخ ميلاد أو كلمة مرور أو خطط سفر أو بيانات جزئية لبطاقة دفع أو بيانات جهاز، يصبح من الأسهل على المهاجم إنشاء رسالة مخصّصة للمستخدم. واستند تقييم المخاطر إلى هذا الأثر الناتج عن الجمع بين البيانات.

تأكد نطاق التسريب من خلال سجلات المتبرعين البالغ عددها 29,926 والمؤرخة في يوليو 2025. وأُبقيت الجوانب التي تم التحقق منها، فيما استُبعدت الجوانب غير المؤكدة. ولم تُدمج هذه الواقعة مع مجموعات بيانات ذات أسماء مشابهة، أو وقائع تخص الشركة نفسها في فترات أخرى، أو إشارات غير صحيحة إلى القطاع.

يقتصر السجل على اسم النطاق pi-hole.net وقائمة المتبرعين؛ ولم تُعرض بيانات أجهزة الشبكة الخاصة بالمستخدمين على أنها تعرضت للتسريب. وأُبقي اسم النطاق واسم الشركة ومعلومات القطاع ضمن أضيق سياق دقيق ممكن. وعند وجود شك، ضُبطت علامات التحقق أو نطاقات المواقع وفقًا لذلك؛ وبذلك لم تُعرض للمستخدمين مسؤولية غير مؤكدة منسوبة إلى علامة تجارية.

قد تشمل الفئات المعرّضة للخطر الأفراد الذين يتبرعون لمشروع Pi-hole أو يشاركون أسماءهم وعناوين بريدهم الإلكتروني في نموذج التبرع. وينبغي للمستخدمين الذين تتطابق بياناتهم مع السجل تقييم حساباتهم الأخرى خارج الخدمة المعنية، إذا كانوا يستخدمون فيها عنوان البريد الإلكتروني نفسه أو رقم الهاتف نفسه أو اسم المستخدم نفسه أو نمط كلمات المرور نفسه.

قد يكون استهداف المستخدمين ذوي الخبرة التقنية أسهل عبر روابط مزيفة لتحديثات أمنية أو إيصالات تبرع. وقد تزداد مخاطر الهندسة الاجتماعية عند وجود سياق يرتبط ببريد إلكتروني للعمل، أو حساب للتدريب، أو حجز فندقي، أو اشتراك في خدمات الاتصالات، أو مجتمع ألعاب، أو تبرع لمشروع مفتوح المصدر، أو برنامج مراقبة. والتفاصيل التي تبدو صحيحة لا تكفي وحدها لضمان الموثوقية.

ينبغي للمستخدمين المتأثرين التحقق عبر الموقع الرسمي من إيصالات التبرع ورسائل التحديث أو الإشعارات الأمنية التي تصلهم باسم Pi-hole. وفي السجلات التي تتضمن حقلًا لكلمات المرور، ينبغي تحديث جميع الحسابات التي تستخدم كلمة المرور نفسها؛ أما في السجلات التي لا تتضمن هذا الحقل، فينبغي التركيز على المخاطر المرتبطة بالبريد الإلكتروني والهاتف والإشعارات المزيفة والخصوصية والربط بين بيانات الهوية.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام بياناتها المحفوظة في مدير كلمات مرور موثوق. ولا ينبغي قبول رسائل الشحن أو تنبيهات الحسابات أو مكافآت الألعاب أو الدعم أو إشعارات المتبرعين أو حجوزات السفر أو الإشعارات الأمنية أو تجديد الاشتراكات من دون التحقق منها عبر قناة مستقلة.

يسهم استخدام بريد إلكتروني منفصل للتبرعات إلى المشاريع المفتوحة المصدر، وعدم تخزين معلومات الدفع، في تقليل المخاطر. وينبغي للمستخدمين مراجعة حساباتهم وبياناتهم دوريًا، وحذف الحسابات القديمة وحقول الملف الشخصي غير الضرورية وأسماء المستخدمين المتكررة وأرقام الهواتف والعناوين القديمة. وينبغي أن يكون استخدام كلمة مرور فريدة لكل خدمة وتفعيل التحقق بخطوتين حيثما أمكن قاعدة أساسية.

أما مقدمو الخدمات، فعليهم تقليل البيانات التي يجمعونها، وتوفير حماية قوية لكلمات المرور، ومراقبة سجلات الوصول، وحذف الحقول غير الضرورية، وضمان جاهزية إجراءات إخطار المستخدمين. وتتطلب إضافات التبرع ونماذج الجهات الخارجية تدقيقًا أمنيًا دوريًا. ويُعد الشرح الدقيق للنطاق جزءًا من العمل الأمني أيضًا؛ إذ قد تدفع المعلومات المبالغ فيها أو الناقصة المستخدم إلى اتخاذ إجراء غير مناسب.

ينبغي للمستخدم أن يبدأ بالتحقق من وجود عنوان بريده الإلكتروني في هذا السجل. وإذا عُثر على تطابق، فينبغي افتراض إمكانية استخدام الاسم وعنوان البريد الإلكتروني في رسائل تتخذ المشروع موضوعًا لها؛ مع مراعاة أن هذا السجل لا يتضمن بيانات الأجهزة أو DNS. وعدم العثور على تطابق لا يستبعد تمامًا استخدام بريد إلكتروني آخر أو إعادة استخدام كلمة مرور قديمة؛ لذا ينبغي مراجعة الحسابات المهمة بصورة منفصلة أيضًا.

ظل هذا السجل متحققًا منه، واقتصر نطاقه على بيانات التواصل مع المتبرعين. وفي هذا التنظيم، أُبقيت حقول البيانات بصفتها فئات معيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية وبصياغة أصلية، ولم تُضف حقول غير متحقق منها، ولم تُستخدم علامة الحساسية إلا عندما يدعمها سياق المخاطر.