انكشاف مزعوم لبيانات RBXExchange
يطال خرق بيانات RBXExchange في عام 2018 منصة RBXExchange (rbx.exchange)، وهي سوق افتراضية غير مصرح بها تابعة لطرف ثالث، كانت تتيح شراء عملة منصة Roblox (Robux) وعناصر الكتالوج الافتراضية وبيعها وتبادلها. في مايو 2018، اختُرقت قاعدة بيانات MySQL المستخدمة في بيئة الإنتاج بالمنصة، ثم وُزعت عبر مجتمعات الجرائم الإلكترونية وكسر حماية الألعاب.
أنواع البيانات المنكشفة
6- عناوين البريد الإلكتروني
- أسماء المستخدمين
- كلمات المرور
- عناوين IP
- Transaction histories
- Virtual currency balances
حول هذا السجل
ما المعلومات التي تأثرت بحادثة RBXExchange؟
تحتوي نسخة قاعدة بيانات SQL المسرّبة (rbx.exchange.sql) وملفات تصدير بيانات المستخدمين (rbx.exchange_users.txt) على أكثر من 110,000 حساب للاعبين وسجلات معاملات واسعة النطاق، تشمل:
- بيانات الهوية وملفات اللاعبين الشخصية: أسماء المستخدمين على المنصة، ومعرّفات لاعبي Roblox المرتبطة بها، وأسماء المستخدمين على Discord.
- بيانات الاتصال: عناوين البريد الإلكتروني للمستخدمين التي تم التحقق من صحتها.
- بيانات اعتماد المصادقة: كلمات مرور حسابات المستخدمين المحوّلة إلى قيم تجزئة باستخدام خوارزمية bcrypt التشفيرية (
$2y$10$). - بيانات رصد الشبكة: عناوين IP المستخدمة عند تسجيل المستخدمين ودخولهم.
- بيانات العملات الافتراضية والفواتير: أرصدة Robux والرموز، وسجلات معاملات الفواتير عبر بوابات الدفع (PayPal، Stripe، Bitcoin)، ومراسلات دعم العملاء.
كم عدد الحسابات المتأثرة؟
أكد التحقق الصارم من الصيغة القياسية لعناوين البريد الإلكتروني باستخدام ASCII وفق المعيار RFC 5322 وجود 114,785 عنوانًا فريدًا وصالحًا للبريد الإلكتروني في سجلات قاعدة البيانات.
التحليل التقني والمخاطر الأمنية
على الرغم من تشفير كلمات المرور باستخدام bcrypt، كثيرًا ما يستخدم اللاعبون بيانات الاعتماد نفسها لحساباتهم الرسمية على Roblox وخدمات البريد الإلكتروني ومجتمعات الألعاب. ويستغل المهاجمون بانتظام بيانات الاعتماد المكشوفة من أسواق Robux التابعة لأطراف ثالثة في هجمات آلية لحشو بيانات الاعتماد، بهدف اختراق ملفات لاعبي Roblox الرسمية وبيع العناصر الافتراضية النادرة ذات الإصدار المحدود للحصول على أموال.
الإجراءات الموصى بها للأفراد المتأثرين
ينبغي للمستخدمين الذين سبق لهم التسجيل في RBXExchange:
- تغيير كلمات المرور فورًا لحساباتهم الرسمية على Roblox وحسابات البريد الإلكتروني وملفاتهم الشخصية على Discord.
- تفعيل التحقق بخطوتين (2SV / MFA) باستخدام تطبيق للمصادقة على ملفاتهم الشخصية الرسمية على Roblox.
- تجنب استخدام مواقع التداول غير المصرح بها التابعة لأطراف ثالثة والتي تخالف شروط خدمة المنصة.
منهجية التحقق والتحرير
تقارن LeakData اسم الحادثة وتاريخها وعدد السجلات المتأثرة وأنواع البيانات المنكشفة بالمصادر المتاحة. لا تُعرض الحقول التي لم يتم التحقق منها على أنها حقائق، وتُحدَّث السجلات عند توفّر أدلة جديدة.
الإبلاغ عن معلومات ناقصة أو غير صحيحة
