خرق بيانات Tangerine

أنواع البيانات المدرجة في هذا الحادث هي: تواريخ الميلاد، وعناوين البريد الإلكتروني، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية، وبيانات صيغ المخاطبة. وتُعدّ معلومات الهاتف والعنوان بيانات شخصية ثابتة نسبيًا يمكن استخدامها في إجراءات التحقق من حسابات الاتصالات. وقد يؤدي استخدام هذه الحقول معًا إلى الاستيلاء على الحسابات، أو الهندسة الاجتماعية، أو الاحتيال، أو الاستهداف الجسدي، أو انتهاك الخصوصية.

يُفهم أن حقل كلمة المرور التقليدي المستخدم سابقًا يحتوي على قيمة تجزئة bcrypt؛ وإذا استُخدمت كلمة المرور نفسها في حسابات أخرى، فينبغي تغييرها. ويُعدّ استخدام كلمات مرور متطابقة أو متشابهة في خدمات أخرى من أبرز المخاطر المرتبطة بالسجلات التي تحتوي على كلمات مرور. أما في السجلات التي لا تتضمن كلمات مرور، فقد تجعل حقول مثل الجهاز أو الموقع أو الهاتف أو العنوان أو التعليم أو طلب التوظيف أو السياق المالي الرسائل الموجّهة أكثر إقناعًا.

يشمل السجل نحو 243,000 سجل عميل مرتبط بالنطاق tangerinetelecom.com.au. ويُصنّف الحادث كسجل مؤكد. وعند تقييم النطاق، جرى التحقق بصورة منفصلة من عدد الحسابات، واسم النطاق، والقطاع، والبلد، وفئات البيانات. واقتصرت حقول البيانات المعروضة للمستخدم على الحقول المدرجة فعليًا في السجل.

صُحّح تصنيف القطاع ليصبح الاتصالات وتقديم خدمات الإنترنت في أستراليا، بدلًا من «أخرى». وتكتسب هذه الحدود أهمية خاصة عند تشابه أسماء العلامات التجارية، أو عندما تشمل السجلات خدمات متعددة، أو في القطاعات الحساسة. ولم يُدمج هذا السجل مع حادث آخر، ولم يُوسّع نطاقه على نحو يُنشئ سجلات مكررة، كما جرى توضيح سياق الشركة قدر الإمكان.

يتعرض للخطر عملاء Tangerine الذين يستخدمون رقم الهاتف وعنوان البريد الإلكتروني نفسيهما في حساباتهم المصرفية أو حساباتهم لدى الجهات العامة. ويتمثل الخطر الأساسي على هؤلاء الأفراد في إمكانية مطابقة البيانات المسرّبة مع معلومات مشتركة مستخدمة في حسابات أخرى. وعندما يتكرر عنوان البريد الإلكتروني أو رقم الهاتف أو اسم المستخدم أو معرّف الجهاز أو كلمة المرور، فقد يحاول المهاجمون استخدام هذه التفاصيل في خدمات مختلفة.

يمكن استغلال سياق الاتصالات عبر رسائل زائفة تتعلق بالتحقق من الخط، أو الفوترة، أو المودم، أو تغيير SIM، أو التحقق من الهوية. ويبرز البريد الإلكتروني الخاص بالعمل والمعلومات الوظيفية لدى مستخدمي الشركات، بينما يبرز العنوان وتاريخ الميلاد والمشتريات والموقع وسياق العضوية لدى المستخدمين الأفراد. وفي مجالات مثل التعليم والاتصالات والتمويل والسفر والسياسة وطلبات التوظيف وخدمات VPN، قد يزيد السياق نفسه أيضًا من خطر الاستهداف.

ينبغي للمستخدمين المتأثرين مراجعة إعدادات أمان الحساب لدى مزوّد الاتصالات، وجلسات البريد الإلكتروني، وطلبات التحقق الواردة عبر الهاتف. وإذا أُدرجت كلمة مرور أو حقل شبيه بكلمة المرور، فعلى المستخدمين تغييرها في جميع الحسابات التي يستخدمون فيها كلمة المرور نفسها، واستخدام كلمة مرور فريدة، وتفعيل المصادقة متعددة العوامل حيثما أمكن. وقد لا يكفي اتخاذ إجراء على منصة واحدة فقط.

إذا وُجدت حقول مثل الهاتف أو العنوان أو تاريخ الميلاد أو معرّف الجهاز أو الهوية الرسمية أو طلب التوظيف أو رصيد المكافآت، فينبغي للمستخدمين مراجعة معلومات استرداد الحساب، والجلسات المسجلة، وإعادة توجيه البريد الإلكتروني، والرسائل المشبوهة. أما المؤسسات، فينبغي لها تحديث إجراءاتها للتعامل مع تنبيهات الموظفين والفواتير الزائفة ومحاولات التحقق من الحسابات.

توفر رموز PIN القوية للعملاء، والمصادقة متعددة العوامل، وتنبيهات تغيير SIM في حسابات الاتصالات حماية طويلة الأمد. وعلى المدى الطويل، يشكّل استخدام مدير كلمات مرور، وكلمات مرور فريدة، والمصادقة متعددة العوامل، وإغلاق الحسابات القديمة، وحذف حقول الملف الشخصي غير الضرورية، وتقليل البيانات، خط الدفاع الأساسي. ولأن البيانات الشخصية الدائمة لا يمكن استعادتها، تعتمد الحماية على تعزيز الممارسات الأمنية المتعلقة بالحسابات.

من جانب الشركات والمؤسسات، ينبغي إعادة النظر في الجرد بعد الحادث، وأذونات الوصول، وتخزين البيانات القديمة، وإجراءات الإخطار، واستخدام منصات الجهات الخارجية. ومن جانب المستخدمين، يوفر تجنّب تكرار معلومات الهوية نفسها عبر خدمات مختلفة، واعتياد التحقق من الاتصالات المشبوهة عبر قناة ثانية، حماية مستدامة.

ينبغي للمستخدم الحذر من طلبات التحقق الزائفة التي قد ترد عبر خط الهاتف وحساب البريد الإلكتروني إذا تطابقت بياناته مع هذا السجل. وعند ظهور تطابق، ينبغي له أولًا الاطلاع على حقول البيانات المدرجة، ثم ترتيب أولويات الإجراءات وفقًا لهذه الحقول. فإذا وُجدت كلمة مرور، تكون الأولوية لتغييرها؛ وإذا وُجدت هوية رسمية، فتكون الأولوية لمراقبة الهوية؛ وإذا وُجدت معلومات عن الموقع أو الجهاز، فتكون الأولوية لأمان الجهاز؛ وإذا وُجدت معلومات تعليمية أو طلب توظيف، فتكون الأولوية للتحقق من الحساب لدى المؤسسة.

التقييم النهائي: يمثل هذا السجل حادثًا حساسًا يتعلق ببيانات الاتصالات، لأنه يجمع بين حقول تاريخ الميلاد والعنوان ورقم الهاتف وكلمة المرور. وينبغي للمستخدم مقارنة هذا السجل بسجل حساباته، ومراجعة كل خدمة يستخدم فيها عنوان البريد الإلكتروني أو رقم الهاتف أو اسم المستخدم أو كلمة المرور نفسها على حدة. كما ينبغي اعتبار المكالمات والرسائل ورسائل البريد الإلكتروني أو إشعارات استرداد الحساب غير المتوقعة أعلى خطورة بعد الحادث.