خرق بيانات YouNow

فئات البيانات التي تم التحقق منها هي عناوين البريد الإلكتروني وعناوين IP والأسماء وأسماء المستخدمين وروابط الملفات الشخصية على شبكات التواصل الاجتماعي. أشار إعلان البيع إلى نحو 40 مليون صف من بيانات الحسابات، بينما حدد الفهرس الموثوق 18,241,518 عنوان بريد إلكتروني فريدًا؛ ولم تتضمن صفوف كثيرة أي بريد إلكتروني. لذا فإن الرقمين يعكسان وحدتي عد مختلفتين، ولا يجوز جمعهما أو عرضهما على أنهما يمثلان 40 مليون شخص مختلف. كانت YouNow تتحقق من هوية المستخدمين عبر مزوّدي خدمات تسجيل الدخول عبر شبكات التواصل الاجتماعي، وصرحت بأن مجموعة البيانات المرتبطة بالحادثة لم تتضمن أي كلمات مرور. قد يربط رابط ملف شخصي على إحدى شبكات التواصل الاجتماعي بين هوية المستخدم على YouNow وحضوره على منصة أخرى، بينما تساعد الأسماء وأسماء المستخدمين على انتحال الهوية بصورة مخصصة للشخص المستهدف. وتتيح عناوين البريد الإلكتروني التصيد الاحتيالي واكتشاف الحسابات، كما يمكن أن توفر عناوين IP معلومات تقريبية عن المنطقة وسياق الاتصال. أما كلمات مرور حسابات مزوّدي خدمات تسجيل الدخول عبر شبكات التواصل الاجتماعي ورموز الوصول والرسائل الخاصة ومعلومات الدفع ومحتوى البث، فليست من فئات البيانات التي تم التحقق منها هنا؛ وإضافتها ستتجاوز حدود الأدلة المتاحة.

ظهرت بيانات حسابات مرتبطة بـYouNow معروضة للبيع في 14 فبراير 2019، إلى جانب إعلانات بيع قواعد بيانات كبيرة أخرى. أما تاريخ 15 فبراير الوارد في السجل فهو تاريخ مرجعي في الفهرس؛ ولا تثبت الأدلة يوم استخراج البيانات. ادعى إعلان البيع وجود 40 مليون صف، لكن السجلات التي لا تتضمن بريدًا إلكترونيًا أدت إلى انخفاض العدد المتحقق منه لعناوين البريد الإلكتروني الفريدة. وطُرح احتمال وجود نقطة ضعف مشتركة في قواعد بيانات عدة مواقع، لكن لم يثبت وجود ثغرة في PostgreSQL أو خلل في التطبيق أو خطأ في الإعدادات لدى YouNow. ولا ينبغي استنتاج طريقة الوصول. يصف تعبير «تسريب قاعدة بيانات» الشكل الذي وُزعت به معلومات الحسابات، أي في صورة قاعدة بيانات ضخمة؛ ولا يعني تسجيل الدخول عبر شبكات التواصل الاجتماعي أن مزوّد الهوية قد تعرض للاختراق. غياب كلمات المرور لا يجعل البيانات غير ضارة، لكن لا يجوز وصف هذه الحادثة بأنها كشفت كلمات المرور.

الفئة الرئيسية المعرضة للخطر هي الأشخاص الذين استخدموا YouNow قبل فبراير 2019 وربطوا حساباتهم بعنوان بريد إلكتروني أو اسم أو اسم مستخدم أو ملف شخصي على إحدى شبكات التواصل الاجتماعي. ويسهّل استخدام اسم المستخدم نفسه عبر المنصات الربط بين الملفات الشخصية واستهداف الشخص بانتحال الهوية. وقد يُستخدم البريد الإلكتروني لإرسال تنبيهات أمنية مزيفة أو دعوات للبث أو إشعارات بحقوق النشر أو رسائل للتحقق أو استرداد الحساب. عنوان IP ليس عنوان المنزل، لكن المعلومات التقريبية عن الموقع أو مزوّد الاتصال أو الفترة التي جرى فيها الاتصال قد تجعل الرسالة تبدو مقنعة. وبما أن البيانات لا تتضمن أي كلمة مرور، فإن العثور على تطابق لا يثبت أن مهاجمًا كان يستطيع تسجيل الدخول إلى الحساب على شبكة التواصل الاجتماعي أو الاستيلاء على حساب YouNow. كذلك، لا يعني وجود رابط لملف شخصي على شبكة اجتماعية أن رمز وصول قد تسرب. فكشف البيانات والربط بين الهويات عبر المنصات والتصيد الاحتيالي وإساءة استخدام الحساب المؤكدة مخاطر مختلفة.

إذا ظهر تطابق لبياناتك، فأمّن حسابك لدى مزوّد خدمة تسجيل الدخول عبر الشبكات الاجتماعية الذي استخدمته مع YouNow، وكذلك حساب البريد الإلكتروني المرتبط به. فعّل المصادقة متعددة العوامل، وراجع معلومات استرداد الحساب، وأنهِ الجلسات التي لا تتعرف عليها، وأزل التطبيقات المرتبطة التي لم تعد تستخدمها. وعند تلقي رسائل تبدو صادرة عن دعم YouNow أو دعم إحدى شبكات التواصل الاجتماعي، افحص نطاق المرسل الفعلي ووجهة الرابط؛ وافتح التطبيق أو اكتب العنوان بدلًا من تسجيل الدخول عبر رسالة. وبما أن كشف كلمات المرور لم يُتحقق منه، فلا تفترض اعتمادًا على هذا السجل وحده أن كلمة مرور حسابك لدى مزوّد خدمة تسجيل الدخول عبر الشبكات الاجتماعية قد تسربت. ومع ذلك، استبدل كلمات المرور التي تعيد استخدامها بكلمات فريدة، لأنها قد تظهر في حادثة أخرى. وإذا وجدت ملفًا شخصيًا ينتحل هويتك أو بثًا غير مصرح به أو تطبيقًا لا تعرفه أو تغييرًا غير متوقع في معلومات الاسترداد، فاحتفظ بالأدلة، وأنهِ الجلسات، وأبلغ عن ذلك عبر قنوات الدعم الرسمية.

تسجيل الدخول عبر شبكات التواصل الاجتماعي مريح، لكن مزوّدًا واحدًا قد يصبح بوابة للعديد من الحسابات. استخدم كلمات مرور فريدة لحساب بريدك الإلكتروني الأساسي وحساباتك على شبكات التواصل الاجتماعي، واحفظها في مدير كلمات مرور، وفعّل المصادقة متعددة العوامل باستخدام تطبيق أو مفتاح أمان مادي. راجع أذونات التطبيقات المرتبطة بانتظام، وأزل الخدمات غير المستخدمة، ولا تمنح أي تطبيق صلاحيات وصول إلى ملفك الشخصي لا يحتاج إليها. استخدام اسم المستخدم نفسه عبر المنصات يسهّل الربط بين الهويات؛ لذا فكر في استخدام أسماء مستخدمين منفصلة أو عناوين بريد إلكتروني مستعارة لهويتك المستخدمة في البث العام وحساباتك الخاصة. قلّل معلومات الموقع وبيانات الاتصال والروابط بين الشبكات التي لا حاجة إليها في ملفاتك الشخصية. لا تكتفِ بحذف التطبيق لترك الحساب؛ بل استخدم خيارات إغلاق الحساب وحذف البيانات. تحقق من الإشعارات الأمنية داخل الخدمة بدلًا من اتباع رابط في رسالة بريد إلكتروني، وواصل التحقق دوريًا مما إذا كانت بياناتك قد تعرضت للكشف.

العثور على تطابق لعنوان بريد إلكتروني يعني أنه ظهر في مجموعة البيانات المرتبطة بـYouNow، التي تضم 18,241,518 عنوانًا فريدًا. لكنه لا يثبت أن الصفوف البالغ عددها، وفقًا للادعاء، 40 مليونًا كانت تمثل مستخدمين مختلفين، أو أن الحساب لا يزال مفتوحًا، أو أن كلمة مرور كانت ظاهرة، أو أن مزوّد خدمة تسجيل الدخول عبر الشبكات الاجتماعية قد تعرض للاختراق. إذا ظهر تطابق، فراجع الجلسات والتطبيقات المرتبطة وإعدادات الاسترداد في الحساب على شبكة التواصل الاجتماعي الذي استخدمته لتسجيل الدخول، وانتبه إلى إشعارات YouNow المزيفة التي تستهدف بريدك الإلكتروني أو اسم المستخدم الخاص بك. عدم العثور على تطابق لا يشكل ضمانًا مطلقًا للأمان، فقد تكون استخدمت بريدًا إلكترونيًا آخر، أو ظهرت فقط في صف لا يتضمن بريدًا إلكترونيًا، أو تعرضت لحادثة أخرى. ولا تغطي خدمات التحقق سوى مجموعات البيانات المفهرسة. حافظ على حقيقة أن كلمات المرور لم تكن موجودة، ولا تصف رابط ملف شخصي على شبكة اجتماعية بأنه رمز وصول. وعند تقييم الرسائل المشبوهة، قيّم نطاق المرسل ووجهة الرابط والضغط لاتخاذ إجراء وطلبات كلمات المرور أو رموز التحقق معًا.