خرق بيانات ShopBack

كشف حادث ShopBack عن عناوين بريد إلكتروني، وبيانات البلد أو الموقع الجغرافي، وأسماء، وأرقام هواتف، وقيم تجزئة لكلمات المرور. وأكد تحقيق أجرته جهة تنظيمية أن نطاق الحادث في سنغافورة شمل أيضًا نحو 300,000 رقم حساب مصرفي وبيانات جزئية لبطاقات ائتمان تخص نحو 380,000 شخص. كانت كلمات المرور مخزّنة في صورة قيم تجزئة SHA-1 مضاف إليها ملح تشفيري، لا كنصوص صريحة. تُبطئ إضافة الملح التشفيري الهجمات، لكن SHA-1 لا يجعل كلمات المرور الضعيفة آمنة. ويمكن استخدام بيانات البريد الإلكتروني والاسم والهاتف والبلد لتخصيص رسائل زائفة بشأن استرداد الأموال أو سحب مبالغ الاسترداد النقدي أو التحقق من الحساب. لا تكفي معلومات الحسابات المصرفية والبيانات الجزئية للبطاقات لإجراء معاملة مباشرة، لكنها قد تساعد المحتال على كسب الثقة. ولم يُؤكَّد انكشاف أرقام البطاقات الكاملة، أو رموز الأمان، أو أرصدة الاسترداد النقدي، أو تواريخ الميلاد، أو الجنس، أو سجلات الشراء التفصيلية بوصفها فئات من البيانات المنظَّمة. وقد تأكد انكشاف الحقول المالية في التحقيق الإقليمي، ولا ينبغي افتراض وجودها في كل سجل على مستوى العالم.

بدأ الحادث عندما حُفظ مفتاح وصول إلى السحابة يتمتع بصلاحيات كاملة عن طريق الخطأ في مستودع خاص للشيفرة المصدرية في يونيو 2019. أُزيل المفتاح من الملف الظاهر، لكنه بقي في سجل التغييرات ولم يُعطَّل بالكامل أثناء تدوير مفاتيح الوصول. وبعد نحو 15 شهرًا، في 9 سبتمبر 2020، استخدمه مهاجم للدخول إلى البيئة السحابية وتغيير إعدادات الأمان واستخراج سجلات العملاء. اكتشفت ShopBack هذا الوصول أثناء مراجعة دورية في 17 سبتمبر؛ ويظل هذا هو التاريخ المعتمد للاختراق، بينما يُسجَّل 9 سبتمبر بوصفه تاريخ الهجوم. حذفت الشركة المفتاح، ودوّرت بيانات الوصول، وألزمت جميع العملاء بتسجيل الخروج وإعادة تعيين كلمات المرور. وعُرضت قاعدة البيانات للبيع في 12 نوفمبر 2020. يمثّل الرقم 20,529,819 عدد عناوين البريد الإلكتروني الفريدة على مستوى العالم؛ أما العدد الوارد في التحقيق التنظيمي، الذي يتجاوز 1.4 مليون، فيغطي سنغافورة ولا يجوز إضافته إلى العدد العالمي. ويمنع هذا التمييز تضخيم إجمالي السجلات العالمية بإضافة الأعداد الإقليمية إليه.

تتمثل الفئة الأساسية المعرّضة للخطر في الأشخاص الذين أنشؤوا حسابًا على ShopBack قبل 2020 وقدّموا عنوان بريد إلكتروني أو رقم هاتف أو بيانات البلد. ويواجه كل من أعاد استخدام كلمة مرور ShopBack في خدمات البريد الإلكتروني أو التسوق أو السفر أو الخدمات المالية خطرًا أكبر للاستيلاء على حساباته. رصدت المراجعة في سنغافورة نحو 1.4 مليون عنوان بريد إلكتروني، و840,000 اسم، و450,000 رقم هاتف محمول، و300,000 حساب مصرفي، و380,000 سجل لبيانات جزئية للبطاقات؛ ولا ينبغي افتراض أن جميع هذه الحقول كانت موجودة لكل شخص. ويمكن استخدام البريد الإلكتروني ورقم الهاتف وعلاقة المستخدم بخدمة الاسترداد النقدي لصياغة رسائل زائفة عن الرصيد أو السحب أو استرداد الأموال أو العروض الترويجية. وقد تجعل التفاصيل المالية الجزئية مكالمات انتحال الهوية تبدو وكأنها صادرة عن بنك أو جهة إصدار بطاقة. ولا يزول الخطر بمجرد التوقف عن استخدام الحساب، لأن بيانات الاتصال وكلمات المرور المعاد استخدامها قد تظل صالحة لسنوات. ويتفاوت اكتمال السجلات، لذا فإن تطابق عنوان البريد الإلكتروني وحده لا يثبت انكشاف جميع الحقول المذكورة لذلك الشخص.

إذا لم تغيّر كلمة مرور ShopBack منذ 2020، فاستبدلها الآن بكلمة مرور طويلة وفريدة. غيّر بيانات تسجيل الدخول المشابهة في الحسابات الأخرى، بدءًا من البريد الإلكتروني الأساسي وخدمات التسوق والخدمات المالية. ابدأ إعادة تعيين كلمة المرور من التطبيق أو من عنوان رسمي تكتبه بنفسك، لا من رابط في رسالة غير متوقعة. أنهِ جلسات الدخول النشطة، وتحقّق من بيانات البريد الإلكتروني ورقم الهاتف المخصّصين لاسترداد الحساب، وفعّل المصادقة متعددة العوامل حيثما توفرت. وينبغي للعملاء الذين قدّموا معلومات مصرفية أو معلومات بطاقات مراقبة نشاط حساباتهم والتنبيهات، والتواصل مع المؤسسة المالية عبر قناتها الرسمية إذا ظهرت معاملة غير مألوفة. لا تقدّم أبدًا كلمة مرور أو رمزًا يُستخدم مرة واحدة أو رقم بطاقة كاملًا أو رمز أمان استجابةً لرسالة تزعم أنها تتعلق بالاسترداد النقدي أو السحب أو استرداد الأموال أو العروض الترويجية.

يمنع مدير كلمات المرور الذي يولّد بيانات دخول مختلفة لكل خدمة استخدام قيمة تجزئة قديمة واحدة للوصول إلى حسابات أخرى. ولأن البريد الإلكتروني يتحكم في استرداد حسابات الخدمات المالية وخدمات التسوق، فاحمه بأقوى كلمة مرور لديك وبعامل مصادقة ثانٍ يصعب اختراقه، مثل تطبيق مصادقة أو مفتاح أمان. فعّل إشعارات الحسابات المصرفية والبطاقات، وتحقّق حتى من مبالغ الخصم الصغيرة التي قد تُستخدم للاختبار، وراجع معلومات استرداد الحساب بانتظام. أغلق حسابات التسوق التي لم تعد تستخدمها، وتجنّب الاحتفاظ ببيانات اختيارية للهاتف أو الموقع أو الدفع. وتوفّر مراقبة الاختراقات ومراجعة جلسات الدخول والوعي بالتصيّد الاحتيالي حماية مستمرة. تعامل مع الرسائل الموجّهة إليك بجدية حتى بعد مرور سنوات، لأن مجموعات البيانات المسروقة قد تُنسخ وتُباع مجددًا وتُدمج مع معلومات أحدث.

تحقّق من عنوان بريدك الإلكتروني باستخدام LeakData لمعرفة ما إذا كان يطابق بيانات اختراق ShopBack أو أي اختراق آخر تم التحقق منه. يعني التطابق أن العنوان ضمن العدد المعتمد البالغ 20,529,819 عنوان بريد إلكتروني فريدًا؛ لكنه لا يثبت أنك ضمن المجموعة الفرعية في سنغافورة التي تضم نحو 1.4 مليون شخص، أو أن حقول الحسابات المصرفية والبيانات الجزئية للبطاقات تخصّك. راجع التاريخ وفئات البيانات، وفكّر في الخدمات التي أعدت فيها استخدام كلمة مرورك من 2020، وابدأ بالحسابات التي تتحكم في بريدك الإلكتروني وأموالك. لا تُدخل أبدًا كلمة مرور أو رقم حساب مصرفي أو معلومات بطاقة في حقل البحث؛ فعنوان البريد الإلكتروني يكفي. ويمكن للمراقبة المستمرة أن تنبّهك إلى بيانات تُنشر أو يُعاد تداولها لاحقًا. واصل استخدام كلمات مرور فريدة والمصادقة متعددة العوامل وتنبيهات المعاملات حتى إذا لم يظهر أي تطابق.