R2 (خرق بيانات المنتدى لعام 2017)

أنواع البيانات الواردة في هذا السجل هي عناوين البريد الإلكتروني وكلمات المرور وأسماء المستخدمين ونشاط الموقع. وبحسب التقييم، كانت كلمات المرور مخزنة على هيئة قيم تجزئة MD5 دون تمليح؛ وهي وسيلة حماية ضعيفة. ولم تُضف إلى قائمة فئات البيانات بطاقات دفع أو حسابات مصرفية أو رسائل خاصة أو سجلات صحية أو حقول إضافية للملفات الشخصية لم يُتحقق منها؛ بل اقتصر السجل على الحقول التي تدعمها الأدلة.

يمكن أن يتيح نشاط الموقع واسم المستخدم ربط سلوك اللاعب في المجتمع بعنوان بريده الإلكتروني. ويشكّل عنوان البريد الإلكتروني وحده خطرًا لتلقي الرسائل المزعجة؛ وعند جمعه مع رقم الهاتف أو العنوان أو IP أو تاريخ الميلاد أو كلمة المرور أو وثيقة هوية رسمية أو سجل دعم أو معلومات مركبة أو عنوان فعلي، يصبح من الأسهل على المهاجم إعداد رسائل مخصصة للمستخدم. وقد استند تقييم المخاطر إلى هذا الأثر الناتج عن جمع البيانات.

يقتصر النطاق على حادثة منتدى R2 Games في بداية 2017. وأُبقيت الجوانب المؤكدة، بينما استُبعدت الجوانب غير المؤكدة. ولم تُجمع الحادثة مع مجموعات بيانات متشابهة الأسماء، أو حوادث تخص الشركة نفسها في فترات مختلفة، أو إشارات غير صحيحة إلى القطاع.

لم يُدمج سجل R2Games الأكبر لعام 2015، المرتبط باسم النطاق نفسه، مع هذا السجل. وأُبقي اسم النطاق واسم الشركة ومعلومات القطاع ضمن أضيق سياق دقيق ممكن. وفي المواضع التي شابها عدم اليقين، ضُبطت علامات التحقق أو حقول الموقع الإلكتروني بما يعكس ذلك؛ ومن ثم لم تُنسب إلى العلامة التجارية أمام المستخدم مسؤولية غير مؤكدة.

قد تشمل فئات المستخدمين المعرضة للخطر خلال فترة 2017 اللاعبين الذين كانت لديهم حسابات في منتدى R2 Games، والأشخاص الذين استخدموا اسم المستخدم نفسه في ألعاب مختلفة. وينبغي للمستخدمين الذين تظهر لهم مطابقة أن يقيّموا أيضًا حساباتهم الأخرى التي استخدموا فيها البريد الإلكتروني أو رقم الهاتف أو اسم المستخدم أو نمط كلمة المرور نفسه خارج الخدمة المعنية.

إذا أُعيد استخدام كلمات مرور قديمة للمنتدى في متجر ألعاب أو حساب بريد إلكتروني، فإن الخطر ينتقل إلى الحسابات الحالية. وقد يزداد خطر الهندسة الاجتماعية عند وجود سياق يتعلق ببريد إلكتروني مؤسسي، أو منتدى ألعاب، أو تسجيل عميل لدى جهة مختصة بالدراجات النارية، أو تطبيق مركز تسوق، أو طلب دعم، أو حساب تأجير، أو قائمة تسويقية، أو برمجيات خبيثة. ولا تكفي التفاصيل التي تبدو صحيحة وحدها للدلالة على الموثوقية.

ينبغي للمستخدمين المتأثرين تغيير كلمة مرور منتدى R2 Games، وتغييرها في أي حسابات أخرى تستخدم كلمة المرور نفسها. وبالنسبة إلى السجلات التي تتضمن حقلًا لكلمة المرور، ينبغي تحديث كلمات المرور في جميع الحسابات التي تستخدم الكلمة نفسها؛ أما السجلات التي لا تتضمن هذا الحقل، فينبغي التركيز فيها على مخاطر البريد الإلكتروني والهاتف والإشعارات المزيفة والخصوصية وربط الهويات.

بدلًا من النقر على الروابط الموجودة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام السجل المحفوظ في مدير كلمات مرور موثوق. ولا ينبغي قبول رسائل الفواتير أو تحذيرات الحساب أو مكافآت الألعاب أو الدعم أو الشحن أو خدمة العملاء أو مواعيد الصيانة أو الإعلانات العامة أو تجديد الاشتراكات دون التحقق منها عبر قناة مستقلة.

ينبغي تخصيص كلمة مرور فريدة واسم مستخدم مختلف لمنتديات الألعاب، واعتماد التحقق بخطوتين بصورة معتادة. وعلى المستخدمين مراجعة الحسابات القديمة وتنقيتها بانتظام، وإزالة حقول الملفات الشخصية غير الضرورية وأسماء المستخدمين المكررة ومعلومات الهاتف والعنوان القديمة. وينبغي أن تكون القاعدة الأساسية هي استخدام كلمة مرور فريدة لكل خدمة، وتفعيل التحقق بخطوتين حيثما أمكن.

أما مقدمو الخدمات، فعليهم تقليل البيانات إلى الحد الأدنى، وتوفير حماية قوية لكلمات المرور، ومراقبة سجلات الوصول، وحذف الحقول غير الضرورية، وتجهيز إجراءات لإخطار المستخدمين. وينبغي توضيح الحوادث المختلفة الواقعة على النطاق نفسه للمستخدم، مع بيان نطاق كل حادثة على حدة. كما يُعد توضيح النطاق بدقة جزءًا من العمل الأمني؛ فالمعلومات المبالغ فيها أو الناقصة قد تدفع المستخدم إلى اتخاذ إجراء غير صحيح.

ينبغي للمستخدم أولًا إجراء التحقق في هذا السجل باستخدام عنوان بريده الإلكتروني. وإذا وُجدت مطابقة، فينبغي افتراض أن نشاط الموقع واسم المستخدم وقيم تجزئة كلمات المرور الضعيفة قد تكون معرضة للخطر. ولا يستبعد غياب المطابقة تمامًا استخدام بريد إلكتروني مختلف أو إعادة استخدام كلمة مرور قديمة؛ لذا ينبغي أيضًا مراجعة الحسابات بالغة الأهمية.

ظل هذا السجل متحققًا منه، ولم يكن نسخة مكررة من سجل R2Games لعام 2015. وفي هذا التنظيم، أُبقيت حقول البيانات بوصفها فئات معيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية وبصياغة أصلية، ولم تُضف حقول غير متحقق منها، ولم تُستخدم علامة الحساسية إلا عندما كان سياق المخاطر يدعم ذلك.