خرق بيانات Tokopedia

كشفت هذه الحادثة بيانات الهوية، مثل عنوان البريد الإلكتروني والاسم الكامل والجنس وتاريخ الميلاد، إلى جانب قيم تجزئة كلمات المرور. ويجعل الجمع بين البريد الإلكتروني والاسم الكامل الرسائل المزيفة المتعلقة بالعروض الترويجية أو الطلبات أو المرتجعات أو الشحن أو حسابات المتاجر أكثر إقناعًا. كما تساعد معلومات تاريخ الميلاد والجنس المهاجمين على إعداد رسائل مخصصة. ورغم حماية قيم تجزئة كلمات المرور باستخدام SHA2-384، فإن إعادة استخدام كلمة المرور نفسها في خدمات مختلفة قد تدفع المهاجمين إلى تجربة كلمات مرور تم التوصل إليها بكسر التجزئة أو بالتخمين على مواقع أخرى. لذلك، لا ينبغي اعتبار الخطر محصورًا في حساب Tokopedia وحده؛ بل ينبغي أيضًا مراعاة حسابات التسوق والدفع والتواصل الاجتماعي والبريد الإلكتروني الأخرى التي تستخدم عنوان البريد الإلكتروني نفسه.

يُسجَّل تاريخ الخرق على أنه 17 أبريل 2020، وتاريخ الإدراج الأول على أنه 2 مايو 2020، وتاريخ التحديث على أنه 17 يوليو 2020. ويشمل النطاق الأساسي الذي تعتمده LeakData عددًا قدره 71,443,698 عنوان بريد إلكتروني فريد. وتذكر بعض التقارير ملفًا أوليًا يضم 15 مليون صف، ثم تزعم لاحقًا وجود نحو 91 مليون سجل خام؛ وقد تختلف هذه الأعداد عن عدد عناوين البريد الإلكتروني الفريدة بسبب الصفوف المكررة أو الحقول المفقودة أو السجلات التي لا تحتوي على بريد إلكتروني. والعدد المعروض للمستخدم في هذه الصفحة يمثل نطاق عناوين البريد الإلكتروني الفريدة، وهو النطاق الذي له دلالة بوصفه نتيجة بحث. وتقتصر فئات البيانات المؤكدة على تاريخ الميلاد والبريد الإلكتروني والجنس والاسم وقيم تجزئة كلمات المرور؛ ولا يشمل نطاق البحث هذا بيانات أدوات الدفع.

يكون الخطر أعلى لدى الأشخاص الذين فتحوا حسابًا في Tokopedia قبل 2020، واستخدموا خدمات التسوق أو البيع، واستخدموا عنوان البريد الإلكتروني نفسه لخدمات أخرى، وأعادوا استخدام كلمة مرورهم. وينبغي للمستخدمين المرتبطين بخدمات التجارة الإلكترونية التي تتخذ من إندونيسيا مقرًا لها توخي مزيد من الحذر تجاه الرسائل المتعلقة بحالة الطلبات والمرتجعات وتأكيد الدفع والتحقق من الحساب وقسائم العروض الترويجية. وقد يزداد الخطر لدى أصحاب حسابات البائعين عبر رسائل العملاء ولوحة إدارة المتجر وإشعارات الدفع وطلبات الدعم المزيفة. وإذا كان عنوان البريد الإلكتروني نفسه مستخدمًا أيضًا لحساب مصرفي أو حساب لدى شركة توصيل أو على وسائل التواصل الاجتماعي أو للعمل، فقد يجمع المهاجمون هذه المعلومات لمحاولة الدخول إلى الحسابات وتنفيذ تصيد احتيالي موجّه.

ينبغي تغيير كلمة مرور حساب Tokopedia أو أي حسابات أخرى أُنشئت باستخدام كلمة المرور نفسها فورًا. ويُفضَّل استخدام كلمة مرور فريدة وطويلة وعشوائية لكل حساب، والاستعانة بمدير كلمات مرور، وتفعيل المصادقة متعددة العوامل للحسابات المهمة. وينبغي فحص رسائل البريد الإلكتروني المتعلقة بالطلبات أو الشحن أو الخصومات أو المرتجعات أو قفل الحساب أو التحقق من الدفع بعناية. وبدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة اسم النطاق الرسمي يدويًا، وعدم مشاركة رموز الاستخدام لمرة واحدة مع أي شخص عبر الهاتف أو الرسائل. وعلى مستخدمي حسابات البائعين أيضًا مراجعة جلسات لوحة إدارة المتجر والأجهزة المصرّح لها وإعدادات الدفع. وإذا ورد إشعار بتسجيل دخول مشبوه، فينبغي إنهاء الجلسات والبدء بإعادة تعيين كلمة المرور عبر قناة موثوقة.

ينشأ الخطر المستمر في خروقات التجارة الإلكترونية من استخدام بيانات ملفات العملاء إلى جانب قوائم كلمات المرور ورسائل التصيد الاحتيالي. وينبغي للمستخدمين مراجعة حسابات المتاجر القديمة بانتظام، وإغلاق الحسابات غير المستخدمة، وتقليل الأذونات التسويقية، واستخدام وسائل تحقق إضافية للحسابات المهمة المنشأة بعنوان البريد الإلكتروني نفسه. وعلى مستوى المؤسسات، ينبغي الاحتفاظ بالحد الأدنى من بيانات العملاء، واستخدام خوارزميات قوية ومحدّثة لتجزئة كلمات المرور، وتطبيق قيم التمليح وضوابط حماية إضافية، ومراقبة عمليات تصدير البيانات غير المعتادة والاستعلامات ذات الحجم الكبير باستخدام أنظمة إنذار مبكر. وينبغي إعداد إشعارات المستخدمين بلغة واضحة، مع ذكر التاريخ وشرح فئات البيانات صراحةً، حتى يعرف المستخدمون الحسابات التي عليهم مراجعتها.

يمكنك التحقق مما إذا كان عنوان بريدك الإلكتروني مطابقًا لعنوان ضمن خرق بيانات Tokopedia من خلال البحث عنه على LeakData. وإذا وُجد تطابق، فابدأ بإعطاء الأولوية لحسابك في Tokopedia، ثم للحسابات الأخرى التي تستخدم البريد الإلكتروني نفسه أو كلمة المرور نفسها. وإلى جانب تغيير كلمة مرورك، من المهم تفعيل المصادقة متعددة العوامل ومراجعة سجل الجلسات وإلغاء التصاريح الممنوحة للأجهزة القديمة. وبسبب انكشاف تاريخ ميلادك ومعلومات اسمك، تعامل بقدر أكبر من الشك مع الرسائل التي تتضمن تفاصيل شخصية. وعند تلقي روابط غير متوقعة تتعلق بالتوصيل أو الإرجاع أو التحقق من الحساب أو العروض الترويجية، افتح الموقع الرسمي بنفسك قبل إدخال معلوماتك. تقلل هذه الخطوات احتمال استخدام البيانات التي تعود إلى 2020 اليوم لاختبار الحسابات وإرسال إشعارات شراء مزيفة وتنفيذ احتيال موجّه.