تسريب بيانات Serasa Experian في البرازيل (2020)

تشمل فئات البيانات التي جرى التحقق منها الأسماء وتواريخ الميلاد والجنس وأرقام الهوية الصادرة عن الجهات الحكومية. وفي البرازيل، تُعد أرقام الهوية مثل CPF العنصر الأكثر حساسية، لأنها تُستخدم بوصفها المعرّف الأساسي للشخص في معاملاته المالية والإدارية والرقمية. وعند جمعها مع الاسم وتاريخ الميلاد والجنس، يتكوّن ملف تفصيلي قوي يمكن استخدامه في سياقات التحقق من الهوية والاحتيال وتقديم طلبات مزيفة. وحتى إن لم يُتحقق من وجود بيانات كلمات مرور أو بطاقات دفع، فإن بيانات الهوية هذه تشكّل خطرًا طويل الأمد، لأنها لا تتغير بمرور السنوات.

تختلف تسريبات البيانات التي تتضمن أرقام الهوية عن التسريبات المعتادة لكلمات مرور الحسابات. فكلمات المرور قابلة للتغيير، أما أرقام الهوية وتواريخ الميلاد فتبقى ثابتة لدى معظم الأشخاص. ويمكن استخدام هذه المعلومات في هجمات مثل تقديم طلبات ائتمان احتيالية، وفتح الحسابات، والاحتيال المالي، والهندسة الاجتماعية، ومكالمات خدمة العملاء المزيفة، وانتحال صفة المؤسسات الرسمية. كذلك، فإن دمج معلومات مثل الاسم وتاريخ الميلاد والجنس مع مجموعات بيانات أخرى يزيد احتمال ربطها بعنوان الشخص أو رقم هاتفه أو دخله أو معلومات ملفه على منصات التواصل الاجتماعي. لذا فإن سجل Serasa Experian في البرازيل لعام 2020 ينطوي على مخاطر تتعلق ببيانات شخصية حساسة، حتى لو لم يتضمن كلمات مرور.

يشمل النطاق المتحقق منه على مستوى هذا السجل 223,739,215 شخصًا. واعتُبرت نهاية عام 2020 تاريخًا للبيانات، ويناير 2021 تاريخًا لظهور الحادثة للعلن. والحقول الرئيسية التي جرى التحقق منها هي الاسم وتاريخ الميلاد والجنس ورقم الهوية. وقد ورد ذكر العنوان ورقم الهاتف والتقييم الائتماني والدخل ومعلومات المركبات وحقول شخصية أخرى في بعض الأخبار والتقييمات البحثية؛ لكن قائمة فئات البيانات هنا لا تتضمن إلا الحقول التي يمكن التحقق منها على مستوى السجل. وقد اتُّبع هذا النهج عمدًا لتجنب عرض حقول غير متحقق منها للمستخدم على أنها بيانات مؤكدة.

وينبغي أيضًا عدم الجزم بالجهة المنسوبة إليها الحادثة. فقد تداول الناس مجموعة البيانات باسم Serasa Experian، وأشار كثير من المراقبين إلى هذه المؤسسة بسبب طبيعة البيانات. ومع ذلك، لم يتأكد أن أنظمة الشركة قد اختُرقت أو أن البيانات جاءت مباشرة من قاعدة بياناتها. لذلك ينبغي وسم حقل المصدر بأنه سجل لتسريب غير متحقق منه. ولا يعني هذا التمييز للمستخدم أن المخاطر منخفضة. ففي الحالات التي تتعلق بمعلومات ثابتة، مثل أرقام الهوية وتواريخ الميلاد، لا يُعد الخلاف حول المصدر مبررًا لتأخير التدابير الوقائية.

تشمل الفئة الأكثر عرضة للخطر الأشخاص في البرازيل ممن لديهم رقم هوية أو ملف ائتماني أو سجل استهلاكي. وقد أفادت التقارير بأن مجموعة البيانات قد تتضمن سجلات لأشخاص متوفين إلى جانب الأحياء؛ وهو ما قد يزيد مخاطر الاحتيال المرتبط بالميراث والأسرة وخطوط الهاتف والشؤون المالية. ولأن رقم الهوية وتاريخ الميلاد قد يظلان من المعلومات المطلوبة بوصفها معرّفات مساعدة أثناء الاتصال بخطوط الدعم أو إجراءات التحقق عبر الإنترنت، فقد يمنح ذلك المهاجم أفضلية. وقد تصبح الطلبات المزيفة المقدمة باسم الشخص، أو إشعارات الديون المزيفة، أو الرسائل التي تنتحل صفة المؤسسات الرسمية أكثر إقناعًا.

وتشمل الفئة الثانية المعرضة للخطر الأشخاص الذين يمكن ربط معلومات هويتهم بمجموعات بيانات أخرى عبر البريد الإلكتروني أو الهاتف أو العنوان. وحتى إن لم يُدرج حقل البريد الإلكتروني أو الهاتف في مجموعة البيانات هذه ضمن فئات البيانات المؤكدة، فقد يتكوّن ملف أكثر شمولًا عند دمج الاسم ورقم الهوية مع تسريبات أخرى. لذلك ينبغي لمستخدمي الخدمات المالية، ومقدمي طلبات الائتمان، وأصحاب خطوط الهاتف المحمول، والمواطنين المستفيدين من الخدمات العامة توخي الحذر. كذلك، قد تحاول الرسائل المتعلقة بالمدفوعات أو الديون أو الطرود أو الصحة أو الإشعارات الرسمية، والمرسلة باسم أفراد الأسرة، أن تبدو موثوقة بالاستناد إلى بيانات الهوية.

الخطوة الأولى هي زيادة التدقيق في الرسائل غير المتوقعة التي تتضمن أرقام هوية ومعلومات شخصية. وينبغي ألا يثق المستخدمون مباشرة بالرسائل المتعلقة بالائتمان أو الديون أو المدفوعات أو المساعدات الحكومية أو الضرائب أو البنوك أو خطوط الهاتف أو الوثائق الرسمية. فمجرد صحة الاسم أو تاريخ الميلاد أو رقم الهوية الوارد في الرسالة لا يثبت موثوقيتها. ويجب التحقق من الطلبات الواردة باسم المؤسسات المالية أو مشغلي الاتصالات أو الجهات العامة عبر قناة منفصلة، من خلال الموقع الرسمي أو مركز اتصال جرى التحقق من موثوقيته.

الخطوة الثانية هي المتابعة المنتظمة للأنشطة المالية والإدارية. وينبغي متابعة طلبات الائتمان وإشعارات البنوك ومعاملات خطوط الهاتف وتنبيهات المؤسسات الرسمية. وعند ملاحظة طلب أو معاملة مشبوهة، يجب التواصل سريعًا مع المؤسسة المعنية، وبدء إجراءات اعتراض رسمية إن أمكن. وينبغي للمستخدمين عدم مشاركة تفاصيل مثل أرقام الهوية أو تواريخ الميلاد أو معلومات الأسرة عبر الهاتف. وفي الوقت نفسه، ينبغي تعزيز أمان حسابات البريد الإلكتروني وخطوط الهاتف المحمول، وتفعيل المصادقة متعددة العوامل للحسابات المهمة التي تدعمها.

لا تقتصر الاستراتيجية طويلة الأمد للتعامل مع هذا النوع من تسريبات بيانات الهوية على تغيير كلمات المرور. وينبغي للمستخدمين مراجعة معاملاتهم المالية وطلبات الائتمان وإجراءات التحقق من الهوية بانتظام. كما ينبغي استخدام كلمات مرور قوية، والمصادقة متعددة العوامل، وإشعارات المعاملات في الحسابات البنكية وحسابات خدمات الاتصالات. ولا ينبغي اختيار معلومات ثابتة، مثل أرقام الهوية أو تواريخ الميلاد، بوصفها عناصر أمنية في أسئلة استعادة الحساب. وحيثما أمكن، ينبغي استخدام كلمات مرور إضافية أو مفاتيح أمان أو مصادقة قائمة على التطبيقات.

أما بالنسبة للمؤسسات، فالدرس أوضح: ينبغي حماية مجموعات البيانات التي تتضمن بيانات الهوية وفق مبدأ الحد الأدنى من الوصول، وتقليص مدة الاحتفاظ بالبيانات، والتخلص من النسخ غير الضرورية. وفي التعامل مع مقدمي الخدمات ووسطاء البيانات، ينبغي إجراء تدقيق دوري لتحديد المعلومات المخزنة ومكان تخزينها ومدة الاحتفاظ بها ومن وصل إليها. ومن جانبهم، ينبغي للمستخدمين التدقيق في مشاركة البيانات مع كل خدمة جديدة تطلب معلوماتهم الشخصية، وتجنب ملء الحقول غير الضرورية، وإبقاء أنظمة الإشعارات مفعّلة كلما أمكن. فتخفيف مخاطر انكشاف بيانات الهوية الثابتة يتطلب انتباهًا مستمرًا ومتابعة منتظمة.

يساعدك التحقق من سجل Serasa Experian في البرازيل لعام 2020 على LeakData في معرفة ما إذا كانت معلوماتك مرتبطة بهذا التسريب. وإذا كانت النتيجة إيجابية، فابدأ بمتابعة المعاملات المالية والإدارية المرتبطة برقم هويتك بوتيرة أكبر. ولا تنقر على الروابط في الرسائل غير المتوقعة المتعلقة بالائتمان أو الديون أو خطوط الهاتف أو الضرائب أو توصيل الطرود أو خدمات المرافق؛ بل تحقق من الطلب عبر قناة منفصلة وموثوقة. ولا تشارك معلوماتك الشخصية عبر الهاتف أو في الرسائل. واستخدم كلمات مرور قوية ومصادقة متعددة العوامل في حساباتك البنكية وحسابات البريد الإلكتروني وخدمات الهاتف المحمول.

بما أن هذا التسريب لم يتضمن كلمة مرور، فإن الاكتفاء بتغيير كلمة المرور ليس استجابة كافية. ويتمثل الخطر الرئيسي في إمكانية استخدام بيانات الهوية في الاحتيال والهندسة الاجتماعية لفترة طويلة. فمعلومات مثل الاسم وتاريخ الميلاد والجنس ورقم الهوية قد تُستخدم في طلبات مزيفة أو محاولات انتحال هوية حتى بعد مرور سنوات. لذلك فإن إبقاء الإشعارات المالية مفعّلة، والإبلاغ السريع عن المعاملات المشبوهة، والحذر من الرسائل التي تنتحل صفة المؤسسات الرسمية، وتقليل مشاركة البيانات الشخصية، هي أسس الحماية على المدى الطويل.