خرق بيانات Wedbush Securities لعام 2025

الدليل الأساسي هو إخطار Wedbush Securities للمستهلكين، المؤرخ في 20 نوفمبر 2025 والمنشور ضمن سجلات الجهات التنظيمية في ماساتشوستس وكاليفورنيا. ويوضح الخطاب مباشرةً، نيابةً عن الشركة، خطأ تهيئة التطبيق المتاح عبر الويب، والفترة التي كان الوصول خلالها ممكنًا، وتواريخ المراجعة، وحقول البيانات الخاصة بكل شخص، وإجراءات احتواء الحادث في البيئة، وخدمات حماية الهوية.

يوفر سجل المدعي العام في كاليفورنيا مسارًا رسميًا ثانيًا للإفصاح. ويربط Claim Depot بين الإيداعين لدى الولايتين والخطاب الموجه إلى المستهلكين، ويقدم بصورة مستقلة ملخصًا للتسلسل الزمني وفئات البيانات. وتتفق المصادر بشأن الجهة المعنية، وخطأ التهيئة، والفترة من 17 مايو إلى 11 يوليو، والنطاق الذي يشمل الأسماء وأسماء المؤسسات المالية وأرقام الحسابات وSSNs.

في نحو 11 يوليو، اكتشفت Wedbush أن أحد تطبيقاتها الداخلية المتاحة عبر الويب قد هُيئ بصورة خاطئة أتاحت إمكانية الوصول غير المصرح به. وسارعت الشركة إلى تأمين التطبيق وبدأت التحقيق في طبيعة الوصول المحتمل ونطاقه. ووجدت المراجعة أن جهات غير مصرح لها ربما وصلت إلى مجموعة محدودة من بيانات العملاء في التطبيق خلال الفترة من 17 مايو إلى 11 يوليو.

لا يؤكد الخطاب المنشور للعامة أن ملفات محددة قد نُزّلت أو أُخرجت من النظام؛ بل يستخدم تقديرًا مفاده أن تلك الجهات «ربما كان بإمكانها الوصول». كما لا يحدد الجهة المسؤولة، أو طريقة الاكتشاف الأولي، أو آلية المصادقة، أو التفاصيل التقنية لخطأ التهيئة.

تختلف المعلومات الواردة في الملفات المتأثرة من شخص إلى آخر، لكنها قد تشمل اسم العميل، واسم المؤسسة المالية المعنية، ورقم الحساب، ورقم الضمان الاجتماعي. وتشكل هذه الحقول مجتمعةً خطرًا كبيرًا يتمثل في انتحال صفة بنك أو شركة وساطة لاستهداف العميل، وطلبات احتيالية للتحقق من الحساب، وسرقة الهوية.

يسرد ملحق الحماية تواريخ الميلاد والعناوين ووثائق الهوية الحكومية ضمن المعلومات العامة التي قد تُطلب لتجميد الائتمان. ولا يؤكد هذا القسم أن هذه الحقول كانت متاحة للوصول أثناء الحادث.

قد يساعد اسم المؤسسة المالية المهاجم على استهداف شخص عبر علاقة فعلية تربطه ببنك أو شركة وساطة. وقد يُساء استخدام رقم الحساب في طلبات تحويل احتيالية، أو مخططات احتيالية للتحقق من الحساب، أو انتحال صفة دعم العملاء. وتزداد المخاطر عند اقترانه بـ SSN، مع أن رقم الحساب وحده لا يعني أن كلمة مرور أو إمكانية تسجيل الدخول قد تعرضت للاختراق.

لا يفصح الإخطار الرسمي عن نوع الحساب، أو رقم التوجيه المصرفي، أو الرصيد أو المركز المالي، أو سجل المعاملات، أو رقم بطاقة الدفع، أو رمز PIN، أو كلمة مرور للدخول عبر الإنترنت، أو رمز للمصادقة متعددة العوامل. وينبغي للعملاء مراقبة حساباتهم لرصد التحويلات غير المألوفة، والمستفيدين الجدد، والتغييرات في بيانات الاتصال، والتحديثات في إعدادات الأمان.

لا تنشر ملفات الولايتين المتاحة للعامة إجماليًا على مستوى البلاد بعد استبعاد التكرار. ولا يمكن اعتبار عدد سكان ماساتشوستس أو كاليفورنيا المتأثرين، إن توفر، ممثلًا للنطاق الوطني الكامل.

قالت Wedbush إنها لم تكن على علم، حتى تاريخ الخطاب، بأي محاولة لإساءة استخدام المعلومات المرتبطة بالحادث أو بأي إساءة استخدام فعلية لها. وهذه نتيجة إيجابية حتى ذلك التاريخ، وليست ضمانًا ضد الاحتيال في المستقبل. ولأن SSNs وأرقام الحسابات معرّفات طويلة الأمد أو حساسة، تظل مراقبة الائتمان والحسابات المالية على المدى الطويل إجراءً مناسبًا لمتلقي الإخطار.

أمّنت الشركة التطبيق، واتخذت خطوات فورية لحماية البيئة، وأخطرت جهات إنفاذ القانون، وبدأت تحقيقًا لتحديد النطاق، وراجعت السياسات والإجراءات. وعُرضت على الأشخاص المؤهلين خدمات مجانية لمدة 12 شهرًا تشمل مراقبة الائتمان لدى مكتب واحد للمعلومات الائتمانية، وتقريرًا ائتمانيًا، ودرجة ائتمانية، ومساعدة استباقية لمواجهة الاحتيال عبر Cyberscout.

ينبغي لمتلقي الإخطار التسجيل باستخدام الرمز الوارد في خطابهم فقط، ومراجعة كشوف الحسابات والتقارير الائتمانية بحثًا عن استعلامات أو معاملات غير مألوفة. وعندما يكون SSN ضمن المعلومات المعنية، قد يكون من المناسب تجميد الائتمان لدى المكاتب الثلاثة جميعها، ووضع تنبيه احتيال، والحصول على رمز PIN لحماية الهوية من IRS. ويتوفر خط للمساعدة على الرقم 833-467-0739 من الساعة 8:00 صباحًا إلى الساعة 8:00 مساءً بالتوقيت الشرقي، من الاثنين إلى الجمعة.