تسريب «جُمعت بياناتك آليًا» (You've Been Scraped)

تشمل فئات البيانات التي جرى التحقق منها عناوين البريد الإلكتروني وجهات العمل والمواقع الجغرافية والمسميات الوظيفية والأسماء والملفات الشخصية على وسائل التواصل الاجتماعي. وإذا أمكن ربط عنوان بريد إلكتروني شخصي بعنوان بريد إلكتروني للعمل يعود إلى الشخص نفسه، فقد يتمكن المهاجمون من معرفة المؤسسة التي يرتبط بها، والدور الذي يؤديه، والملفات الشخصية التي يمكن الوصول إليها. ويزيد وجود هذه الحقول معًا من مخاطر الاستهداف مقارنةً بالرسائل غير المرغوب فيها عمومًا، إذ يمكن تخصيص محتوى الرسالة وفقًا للدور والشركة والموقع والخلفية المهنية.

نظرًا إلى عدم التحقق من وجود حقل كلمات المرور، فلا ينبغي اعتبار بيانات هذه الواقعة مباشرةً قائمةً للاستيلاء على الحسابات. ومع ذلك، يزداد الخطر عند ربط عنوان البريد الإلكتروني وجهة العمل والمسمى الوظيفي ومعلومات الملف الشخصي الاجتماعي بكلمات مرور أو بيانات هواتف من تسربات أخرى. وقد يتلقى المستخدمون رسائل تصيد أكثر إقناعًا إذا كانوا يستخدمون لحسابات العمل صيغة عنوان البريد الإلكتروني نفسها المستخدمة في حساباتهم الشخصية، أو يعرضون في ملفاتهم الشخصية تفاصيل داخلية عن وظائفهم، أو يتركون علاقات العمل ظاهرة للعامة.

يقتصر النطاق على الواقعة المؤرخة في 5 أكتوبر 2018 وعلى 66,147,869 حسابًا متأثرًا. ولأن مالك مجموعة البيانات لم يُتحقق منه، تُرك حقل النطاق فارغًا، ولا تُعرض الواقعة بوصفها اختراقًا مباشرًا لأنظمة شركة بعينها. وتتشابه الحقول التي جرى الحصول عليها في طبيعتها مع البيانات المجمّعة من الملفات الشخصية على شبكات التواصل المهنية؛ لذلك يركز الوصف على حقول البيانات التي جرى التحقق منها وتأثيرها على المستخدم، بدلًا من الإشارات غير المؤكدة إلى العلامات التجارية.

لا تُضاف كلمات المرور أو معلومات الدفع أو بيانات الهوية الرسمية أو تاريخ الميلاد أو البيانات الصحية إلى القائمة التي جرى التحقق منها. ومع أن جهة العمل والمسمى الوظيفي ورابط الملف الشخصي الاجتماعي لا تشكّل، بمفردها، خطرًا واضحًا بقدر البيانات المالية، فإنها معلومات ثابتة يمكن استخدامها للتعرف على الفرد واستهدافه. لذلك، لا يُصنَّف السجل على أنه حساس، لكنه يُعد تسربًا ذا تأثير كبير من حيث الهوية المهنية والاحتيال الموجّه.

تتمثل الفئة الرئيسية المعرّضة للخطر في المستخدمين الذين تظهر عناوين بريدهم الإلكتروني للعمل أو عناوينهم الشخصية إلى جانب معلومات ملفاتهم الشخصية المهنية. وبالنسبة إلى العاملين في الموارد البشرية والمبيعات والمالية والإدارة والمشتريات والعلاقات الإعلامية والفرق التقنية، قد تسهّل هذه المعلومات على المهاجم بدء تواصل يوحي بالثقة. وعندما يظهر اسم جهة العمل والمسمى الوظيفي ورابط الملف الشخصي الاجتماعي للشخص نفسه معًا، قد تبدو دعوة اجتماع مزيفة أو عرض أو فاتورة أو عقد أو رسالة توظيف أكثر إقناعًا.

من منظور المؤسسات، لا يقتصر الخطر على صندوق بريد المستخدم الفردي. إذ يمكن أيضًا استخدام بيانات الملفات الشخصية المهنية المكشوفة لتقدير توزيع الأدوار داخل المؤسسة، أو اختيار جهات اتصال في سلسلة التوريد، أو إنشاء رسائل تنتحل صفة كبار الموظفين. لذلك، إلى جانب حماية الأفراد المتأثرين لحساباتهم، ينبغي لفرق الأمن في الشركات توخي مزيد من الحذر عند التعامل مع الروابط والملفات وطلبات الدفع غير المعتادة الواردة إلى بريد العمل.

ينبغي للمستخدمين المتأثرين أن يراجعوا أولًا سجل الجلسات وقواعد إعادة التوجيه وعناوين الاسترداد والتنبيهات الأمنية غير المتوقعة في حسابات بريدهم الإلكتروني للعمل وحساباتهم الشخصية. ويجب تخصيص كلمة مرور فريدة لكل خدمة تستخدم عنوان البريد الإلكتروني نفسه، وتفعيل المصادقة متعددة العوامل حيثما أمكن. وحتى إن لم تكن كلمة المرور ضمن الحقول التي جرى التحقق منها في هذه الواقعة، فقد يُستخدم عنوان البريد الإلكتروني في محاولات الاستيلاء على الحسابات إذا كان قد ظهر في تسربات سابقة.

ينبغي التحقق عبر قناة أخرى من المستندات والرسائل المستندة إلى معلومات المسمى الوظيفي أو جهة العمل، مثل مستندات المراجعة وطلبات الموافقة على الدفع ونماذج الموارد البشرية ودعوات الاجتماعات المزيفة ورسائل تحديث الملف الشخصي. ويجب تقليل الحقول الظاهرة للعامة في الملفات الشخصية الاجتماعية، مثل البريد الإلكتروني والهاتف وتاريخ الميلاد والسجل الوظيفي وقائمة العلاقات، وفحص طلبات التواصل من أشخاص مجهولين بعناية. وعلى من يستخدمون حساب المؤسسة إبلاغ فريق الأمن بالرسائل المشبوهة وعدم فتح الملفات الإضافية مباشرةً.

نظرًا إلى تعذّر استرجاع بيانات الملفات الشخصية المهنية الدائمة، ينبغي أن تقوم الحماية طويلة الأمد على تقليل ظهور المعلومات والفصل بين الحسابات. وينبغي للمستخدمين عدم استخدام بريد العمل للاشتراكات الشخصية، والحد من معلومات الاتصال غير الضرورية في الملفات الشخصية الاجتماعية، وإغلاق الحسابات القديمة. وتُعد أدوات إدارة كلمات المرور، وكلمات المرور الفريدة، والمصادقة متعددة العوامل، والفحوصات الدورية لأمان الحساب وسائل الدفاع الأساسية ضد دمج مجموعات البيانات هذه مع هجمات أخرى.

ينبغي للمؤسسات أن تراجع بانتظام مدى ظهور معلومات أدوار الموظفين في الأماكن المتاحة للعامة، وأن تحدّث التدريب التوعوي بشأن رسائل التوظيف والموردين المزيفة، وأن تستخدم إجراء موافقة إضافيًا للمهام عالية المخاطر. وعند تعزيز أمان البريد الإلكتروني وسجلات التحقق من النطاق وقنوات الإبلاغ عن التصيد وضوابط تغيير بيانات الدفع للموردين، ينخفض بدرجة كبيرة تأثير الهجمات التي تستفيد من بيانات الملفات الشخصية المهنية.

إذا ظهرت للمستخدم مطابقة، فعليه تقييم كل حقل من حقول البيانات الظاهرة على حدة: فقد يُستخدم عنوان البريد الإلكتروني للتواصل ومحاولات استخدام كلمات المرور، وقد تُستخدم جهة العمل والمسمى الوظيفي لرسائل الوظائف المزيفة، بينما قد يُستخدم الموقع وروابط الملفات الشخصية الاجتماعية للربط بين البيانات وهوية الشخص. وينبغي ترتيب الأولويات على النحو الآتي: تأمين حساب البريد الإلكتروني، وتغيير كلمات المرور المعاد استخدامها، وتقليل ظهور الملفات الشخصية الاجتماعية، والتحقق من الرسائل المشبوهة المرتبطة بالعمل.

مع أن واقعة 'جُمعت بياناتك آليًا' ليست تسربًا تقليديًا لكلمات المرور، فإنها واقعة تسرب بيانات واسعة النطاق تكشف الهوية المهنية. وعندما يُعثر على اسم الشخص ومعلومات عمله ورابط ملفه الشخصي الاجتماعي معًا، يصبح من الأسهل على المهاجم إنشاء رسائل تبدو جديرة بالثقة. لذلك، ينبغي للمستخدمين المتأثرين ألا يركزوا على أمان كلمات المرور وحده، بل أيضًا على التواصل المرتبط بالعمل، وخصوصية الملفات الشخصية، والتحذيرات من الهندسة الاجتماعية، وخطوات التحقق داخل المؤسسة.