خرق بيانات RentoMojo

تشمل أنواع البيانات الظاهرة في هذا السجل تواريخ الميلاد وعناوين البريد الإلكتروني ومعلومات الجنس وأرقام وثائق الهوية الرسمية والأسماء وأرقام جوازات السفر وكلمات المرور وأرقام الهواتف وسجلات الشراء أو الاستئجار والملفات الشخصية على وسائل التواصل الاجتماعي. قُدّر أن كلمات المرور مخزنة على هيئة قيم تجزئة باستخدام bcrypt؛ ومع ذلك، فإن إعادة استخدام كلمات المرور تنطوي على مخاطر. ولم تُضف إلى قائمة فئات البيانات أي حقول غير متحقق منها تتعلق ببطاقات الدفع أو الحسابات المصرفية أو الرسائل الخاصة أو السجلات الصحية أو بيانات إضافية للملفات الشخصية؛ إذ اقتصر الاحتفاظ على الحقول التي تدعمها الأدلة.

يمكن لوثائق الهوية وسجل الاستئجار أن يجعلا الرسائل الزائفة المتعلقة بالائتمان أو وديعة الضمان أو التسليم أو التحقق من الحساب مقنعة للغاية. ويشكل عنوان البريد الإلكتروني وحده خطرًا لتلقي رسائل غير مرغوب فيها؛ وعند اقترانه برقم هاتف أو عنوان أو IP أو تاريخ ميلاد أو كلمة مرور أو هوية رسمية أو سجل دعم أو معلومات مركبة أو عنوان فعلي، يصبح من الأسهل على المهاجم إنشاء رسالة مخصصة للمستخدم. وقد أُجري تقييم المخاطر بناءً على هذا الأثر المشترك.

جرى التحقق من النطاق بالاستناد إلى سجل عملاء RentoMojo المؤرخ في أبريل 2023. وأُبقيت الحقول المؤكدة، بينما استُبعدت الحقول غير المؤكدة. ولم تُدمج الواقعة مع مجموعات بيانات تحمل أسماء مشابهة، أو وقائع تخص الشركة نفسها في فترات مختلفة، أو إشارات غير صحيحة إلى القطاع.

يقتصر القيد على اسم النطاق rentomojo.com؛ ولم تُضف حقول غير متحقق منها تتعلق بالحسابات المالية أو البطاقات. وأُبقي اسم النطاق واسم الشركة ومعلومات القطاع ضمن أضيق سياق دقيق ممكن. وفي مواضع عدم اليقين، ضُبطت علامة التحقق أو حقل الموقع الإلكتروني بما يعكس ذلك؛ ومن ثم لم يُعرض للمستخدم إسناد غير مؤكد للمسؤولية إلى علامة تجارية.

قد تشمل الفئات المعرّضة للخطر العملاء في الهند الذين يستأجرون الأثاث أو الأجهزة أو المنتجات المشابهة عبر RentoMojo. وينبغي للمستخدمين الذين تتطابق بياناتهم مع السجل أن يقيّموا أيضًا حساباتهم الأخرى خارج الخدمة المعنية التي يستخدمون فيها البريد الإلكتروني نفسه أو رقم الهاتف نفسه أو اسم المستخدم نفسه أو نمط كلمة المرور نفسه.

ينبغي للمستخدمين الذين يتضمن السجل معلومات هويتهم وجوازات سفرهم أن يعدّوا مخاطر الاحتيال وإساءة استخدام الهوية مرتفعة. وإذا وُجد سياق يتعلق ببريد إلكتروني تابع لشركة أو منتدى ألعاب أو تسجيل عميل لدى شركة دراجات نارية أو تطبيق مركز تسوق أو طلب دعم أو حساب استئجار أو قائمة تسويقية أو برمجيات خبيثة، فقد تزداد مخاطر الهندسة الاجتماعية. فظهور تفاصيل صحيحة لا يكفي وحده للدلالة على الموثوقية.

ينبغي للمستخدمين المتأثرين تغيير كلمة مرور RentoMojo والتحقق عبر القنوات الرسمية من أي رسائل تتعلق بالتسليم أو وديعة الضمان أو الائتمان وتطلب إثبات الهوية. وفي السجلات التي تتضمن حقل كلمة مرور، ينبغي تحديث جميع الحسابات التي تستخدم كلمة المرور نفسها؛ أما في السجلات التي لا تتضمن هذا الحقل، فينبغي التركيز على مخاطر البريد الإلكتروني والهاتف والإشعارات الزائفة والخصوصية ومطابقة الهوية.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام السجل المحفوظ في مدير كلمات مرور موثوق. ولا ينبغي الوثوق برسائل الفواتير أو تحذيرات الحساب أو مكافآت الألعاب أو الدعم أو الشحن أو خدمة العملاء أو مواعيد الصيانة أو الإعلانات العامة أو تجديد الاشتراكات دون التحقق منها عبر قناة مستقلة.

بعد مشاركة وثائق الهوية مع خدمات التأجير، ينبغي متابعة أي مؤشرات على سرقة الهوية، واستخدام كلمة مرور فريدة، ومراقبة نشاط الحساب. وينبغي للمستخدمين مراجعة الحسابات القديمة وحقول الملفات الشخصية غير الضرورية وأسماء المستخدمين المكررة ومعلومات الهاتف والعنوان القديمة بانتظام، وإزالة ما لم يعد مطلوبًا منها. ويجب أن تكون القاعدة الأساسية استخدام كلمة مرور فريدة لكل خدمة وتفعيل التحقق بخطوتين حيثما أمكن.

أما مقدمو الخدمات، فيلزمهم تقليل البيانات المجمعة، وتوفير حماية قوية لكلمات المرور، ومراقبة سجلات الوصول، وحذف الحقول غير الضرورية، وضمان جاهزية إجراءات إخطار المستخدمين. وينبغي لشركات التأجير الاحتفاظ بوثائق الهوية لأقصر مدة ممكنة وقصر الوصول إليها على أضيق نطاق. كما أن وصف النطاق بدقة جزء من العمل الأمني؛ فالمعلومات المبالغ فيها أو الناقصة قد تضلل المستخدم وتدفعه إلى اتخاذ إجراء غير مناسب.

ينبغي للمستخدم أن يبدأ بالتحقق باستخدام عنوان بريده الإلكتروني في هذا السجل. وإذا وُجد تطابق، فينبغي افتراض أن حقول الهوية الرسمية وجواز السفر والهاتف والمشتريات وكلمة المرور قد تكون معرّضة للخطر. ولا يستبعد غياب التطابق تمامًا استخدام بريد إلكتروني مختلف أو إعادة استخدام كلمة مرور قديمة؛ لذا ينبغي مراجعة الحسابات المهمة أيضًا.

جرى التحقق من هذا السجل وتحديثه ليُصنّف على أنه حساس. وفي هذا التعديل، أُبقيت حقول البيانات بصيغها المعيارية الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية بصياغة أصلية، ولم تُضف حقول غير متحقق منها، ولم تُستخدم علامة الحساسية إلا حين كان سياق المخاطر يدعم ذلك.