خرق بيانات Rightbiz

تشمل أنواع البيانات الظاهرة في هذا السجل عناوين البريد الإلكتروني والأسماء وأرقام الهواتف والعناوين الفعلية. ولم يُتحقق من حقل كلمة المرور؛ وتتمثل المخاطر في سياق التواصل وإعلانات الوظائف. ولم تُضف إلى قائمة فئات البيانات حقول بطاقات الدفع أو الحسابات المصرفية أو الرسائل الخاصة أو السجلات الصحية أو حقول الملفات الشخصية الإضافية التي لم يُتحقق منها؛ بل أُبقيت الحقول المدعومة بالأدلة فقط.

قد تبدو الرسائل المتعلقة ببيع الأعمال التجارية أو الامتياز التجاري أو الوسطاء أو الاستثمار أكثر موثوقية عندما تتضمن اسمًا ورقم هاتف وعنوانًا. وينشأ عن طلب عنوان بريد إلكتروني وحده خطر تلقي رسائل غير مرغوب فيها؛ وعندما يُقرن برقم هاتف أو عنوان أو IP أو تاريخ ميلاد أو كلمة مرور أو وثيقة هوية رسمية أو سجل دعم أو معلومات مركبة أو عنوان فعلي، يصبح من الأسهل على المهاجم إنشاء رسائل مخصصة للمستخدم. وقد استند تقييم المخاطر إلى هذا التأثير المشترك.

جرى التحقق من النطاق الذي يشمل 65,376 عنوان بريد إلكتروني في صيف 2023. وأُبقيت الحقول التي جرى التحقق منها، بينما استُبعدت الحقول غير المؤكدة. ولم تُدمج الحادثة مع مجموعات بيانات ذات أسماء مشابهة، أو حوادث تخص الشركة نفسها في فترات مختلفة، أو تصنيفات قطاعية غير صحيحة.

ارتبط التسجيل باسم النطاق rightdev.co.uk، ولم يُدمج مع تسجيلات أسواق أخرى للأعمال التجارية. وأُبقي اسم النطاق واسم الشركة ومعلومات القطاع ضمن أضيق سياق دقيق ممكن. وفي المواضع التي شابها عدم اليقين، ضُبط مؤشر التحقق أو حقل الموقع الإلكتروني وفقًا لذلك؛ وبذلك لم تُنسب إلى العلامة التجارية أمام المستخدم مسؤولية غير مؤكدة.

قد تشمل فئات المستخدمين المعرّضة للخطر من ينشرون إعلانات على Rightbiz، أو يرغبون في شراء خدمات، أو يقدّمون نموذج تواصل. وينبغي للمستخدمين الذين تظهر مطابقة لبياناتهم تقييم حساباتهم الأخرى خارج الخدمة المعنية التي يستخدمون فيها البريد الإلكتروني نفسه أو رقم الهاتف نفسه أو اسم المستخدم نفسه أو نمط كلمة المرور نفسه.

قد يُستهدف المستخدمون الذين لديهم عناوين أعمال أو بيانات هاتف برسائل مزيفة تتعلق بالاستثمار أو الدفع أو الاستشارات. وفي حال وجود بريد إلكتروني مؤسسي، أو منتدى ألعاب، أو سجل عميل دراجات نارية، أو تطبيق مركز تسوق، أو طلب دعم، أو حساب تأجير، أو قائمة تسويقية، أو سياق يتعلق ببرمجيات خبيثة، فقد تزداد مخاطر الهندسة الاجتماعية. ولا تُعد التفاصيل مؤشرًا على الموثوقية لمجرد أنها تبدو صحيحة.

ينبغي للمستخدمين المتأثرين التحقق من طلبات بيع الأعمال التجارية والاستثمار والاستشارات والدفع عبر القنوات الرسمية. وفي حالة السجلات التي تتضمن حقل كلمة مرور، ينبغي تحديث جميع الحسابات التي تُستخدم فيها كلمة المرور نفسها؛ أما السجلات التي لا تتضمن حقل كلمة مرور، فينبغي التركيز فيها على مخاطر البريد الإلكتروني والهاتف والإشعارات المزيفة والخصوصية ومطابقة الهوية.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام الإدخال المحفوظ في مدير كلمات مرور موثوق. ولا ينبغي قبول رسائل الفواتير أو تحذيرات الحساب أو مكافآت الألعاب أو الدعم أو الشحن أو خدمة العملاء أو مواعيد الصيانة أو الإشعارات العامة أو تجديد الاشتراكات دون التحقق منها عبر قناة مستقلة.

في أسواق الوظائف، ينبغي الفصل بين معلومات الاتصال الشخصية ومعلومات الاتصال الخاصة بالأعمال، والحد من إظهار العناوين دون حاجة. وينبغي للمستخدمين مراجعة الحسابات القديمة وحقول الملفات الشخصية غير الضرورية وأسماء المستخدمين المكررة وبيانات الهواتف والعناوين القديمة بانتظام وحذف ما لم يعد لازمًا. ويجب أن يكون استخدام كلمة مرور فريدة لكل خدمة وتفعيل التحقق بخطوتين حيثما أمكن قاعدة أساسية.

أما مقدمو الخدمات، فعليهم تقليل البيانات إلى الحد الضروري، وتوفير حماية قوية لكلمات المرور، ومراقبة سجلات الوصول، وحذف الحقول غير الضرورية، وضمان جاهزية إجراءات إخطار المستخدمين. وينبغي لمنصات الأسواق تخزين بيانات الإعلانات وسجلات التواصل بصورة منفصلة. ويُعد الشرح الدقيق للنطاق جزءًا من العمل الأمني أيضًا؛ فالمعلومات المبالغ فيها أو الناقصة قد تضلل المستخدم وتدفعه إلى اتخاذ إجراء غير مناسب.

في هذا السجل، ينبغي للمستخدم إجراء التحقق باستخدام عنوان بريده الإلكتروني في المقام الأول. وإذا عُثر على مطابقة، فينبغي التعامل مع احتمال استخدام رقم الهاتف والعنوان الفعلي في رسائل متعلقة بالعمل. ولا يستبعد غياب المطابقة تمامًا استخدام بريد إلكتروني مختلف أو إعادة استخدام كلمة مرور قديمة؛ لذا ينبغي مراجعة الحسابات المهمة أيضًا.

ظل هذا السجل موسومًا بأنه متحقق منه؛ وتُرك مؤشر الحساسية معطّلًا لعدم التحقق من بيانات كلمات مرور أو بيانات من فئات خاصة. وفي هذا التعديل، أُبقيت حقول البيانات على هيئة فئات معيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية وبصياغة أصلية، ولم تُضف الحقول غير المتحقق منها، ولم يُستخدم مؤشر الحساسية إلا عندما يدعمه سياق المخاطر.