خرق بيانات Zoomcar

فئات البيانات التي تم التحقق منها هي عناوين البريد الإلكتروني وعناوين IP وبيانات الأسماء وأرقام الهواتف وكلمات المرور. وينبغي التعامل مع حقل كلمة المرور على أنه بيانات كلمات مرور مخزّنة بصيغة تجزئة bcrypt، لا كلمات مرور بنص صريح. ورغم أن bcrypt طريقة قوية لتخزين كلمات المرور، فإنها لا تزيل المخاطر تمامًا عندما تكون كلمات المرور ضعيفة أو معاد استخدامها. وإذا استُخدمت كلمة المرور نفسها في خدمات البريد الإلكتروني أو النقل أو الدفع أو التواصل الاجتماعي أو في حسابات العمل، فقد يستهدف المهاجمون هذه الحسابات بمحاولات تسجيل دخول آلية.

يوفّر الجمع بين الاسم ورقم الهاتف والبريد الإلكتروني سياقًا كافيًا للتصيّد الاحتيالي الموجّه. وعندما يتسنّى إثبات وجود علاقة بخدمة لتأجير السيارات، قد تبدو الرسائل المتعلقة بحجوزات وهمية أو تأكيدات دفع أو وثائق قيادة أو إشعارات أمنية أو طلبات دعم أكثر إقناعًا. ولا يُعدّ عنوان IP وحده دليلًا قاطعًا على الموقع الجغرافي، لكنه يوفّر قرائن إضافية عند ربطه بنشاط الحساب. ولا تشمل فئات البيانات المتحقق منها في هذا السجل لعام 2018 العنوان الفعلي أو بيانات بطاقة الدفع أو وثيقة الهوية الرسمية أو صورة رخصة القيادة أو وثيقة تسجيل المركبة أو سجل التنقلات.

ينبغي أن يظل النطاق المسجل لدى LeakData لحادثة Zoomcar محصورًا في 3,589,795 حساب بريد إلكتروني فريد. ويجب اعتماد 1 يوليو 2018 تاريخًا للخرق، وتسجيل 5 يونيو 2020 بوصفه تاريخ الإضافة المتحقق منه. ولا ينبغي إضافة الأعداد وحقول البيانات الواردة في التغطيات الإخبارية الأوسع أو في حوادث Zoomcar من أعوام أخرى إلى هذا السجل الخاص بعام 2018. وهذا التمييز مهم على وجه الخصوص؛ فقد تقع حوادث منفصلة للعلامة التجارية نفسها في تواريخ مختلفة، لكن يجب تقييم كل حادثة وفق تاريخها وفئات بياناتها المتحقق منها.

حقول البيانات المتحقق منها في هذا السجل هي عناوين البريد الإلكتروني وعناوين IP والأسماء وكلمات المرور وأرقام الهواتف. وينبغي أن يبيّن وصف كلمة المرور أنها مخزّنة بصيغة تجزئة bcrypt، وألا يصفها بأنها كلمة مرور بنص صريح. ولا ينبغي إدراج معلومات الدفع أو الحساب المصرفي أو وثيقة الهوية الرسمية أو ملف رخصة القيادة أو رقم تسجيل المركبة أو العنوان الفعلي أو سجل الموقع الجغرافي في الوقت الفعلي ضمن الحقول التي ثبت تأثرها بهذه الحادثة. فتوضيح حدود البيانات المتأثرة للمستخدم يقلّل الإنذارات الكاذبة ويحافظ على التركيز على الخطوات الأمنية اللازمة.

يواجه أكبر قدر من المخاطر المستخدمون الذين يعيدون استخدام كلمة مرور حساب Zoomcar في حسابات أخرى. وعندما يتوافر كلّ من عنوان البريد الإلكتروني ورقم الهاتف، يستطيع المهاجمون إرسال إشعارات وهمية تتعلق بالدعم أو الحجوزات أو العروض الترويجية أو الديون عبر البريد الإلكتروني ورسائل SMS على حد سواء. وتتيح بيانات الأسماء تخصيص الرسائل لكل مستخدم، بينما قد يوفّر عنوان IP قرائن إضافية عن السياق التقني للحساب. لذلك، يمكن أن يؤثر حساب قديم لتأجير السيارات في أمان حسابات البريد الإلكتروني والهاتف المحمول المستخدمة حاليًا.

قد يكون من يستخدمون Zoomcar بعنوان بريد إلكتروني تابع لشركة أكثر عرضة لمحاولات الهندسة الاجتماعية المتعلقة بالسفر وإدارة أساطيل المركبات. أما من ينشئون حسابًا بعنوان بريد إلكتروني شخصي، فتبرز لديهم مخاطر إعادة استخدام كلمات المرور ورسائل التوصيل أو الحجز الوهمية. ونظرًا إلى توافر رقم الهاتف، ينبغي الحذر من تبديل شرائح الاتصال الاحتيالي ومكالمات الدعم الوهمية ومحاولات طلب رموز التحقق. وإذا أظهرت نتيجة الفحص وجود تطابق، فلا ينبغي للمستخدم أن يعدّ توقفه عن استخدام الحساب القديم حماية كافية بحد ذاته.

على المستخدم الذي يظهر عنوان بريده الإلكتروني ضمن بيانات Zoomcar أن يتأكد أولًا من أن كلمة المرور القديمة التي استخدمها لحساب Zoomcar لم تعد صالحة لأي حساب آخر. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في حسابات البريد الإلكتروني أو الخدمات المصرفية أو التواصل الاجتماعي أو النقل أو التسوق أو العمل، فيجب تعيين كلمة مرور طويلة ومختلفة لكل حساب. ويساعد استخدام مدير كلمات المرور على تقليل مخاطر إعادة استخدامها. ولا يكفي تغيير جزء صغير من كلمة المرور أو إضافة تاريخ في نهايتها؛ بل يجب التخلي تمامًا عن النمط القديم.

ينبغي تفعيل المصادقة الثنائية للخدمات المرتبطة بحساب بريدك الإلكتروني ورقم هاتفك. وإذا تلقيت رسالة غير متوقعة بشأن حجز أو دفع أو رسوم أضرار أو وثائق قيادة أو أمان الحساب، فاستخدم التطبيق أو الموقع الرسمي مباشرة بدلًا من النقر على رابط. ولا تشارك رموز التحقق التي تتلقاها عبر SMS مع أي شخص. وإذا ظهرت جلسة مشبوهة أو طلب غير متوقع لإعادة تعيين كلمة المرور أو إشعار بجهاز غير معروف، فينبغي إنهاء الجلسات ومراجعة معلومات استرداد الحساب وفحص حسابات خدمات النقل الأخرى التي أُنشئت بالبريد الإلكتروني نفسه.

يُظهر خرق Zoomcar أن حسابات خدمات النقل والتأجير تحتاج إلى حماية بقدر ما تحتاج إليها الحسابات الأساسية المرتبطة بهوية المستخدم. وينبغي تجنّب إعادة استخدام كلمات المرور بين الحسابات الشخصية وحسابات العمل والخدمات المالية والنقل والتواصل الاجتماعي. ولأن أرقام الهواتف وعناوين البريد الإلكتروني قد تبقى دون تغيير لسنوات عديدة، يمكن أن تستعيد بيانات الخروقات القديمة قيمتها في حملات تصيّد احتيالي جديدة. وينبغي إغلاق حسابات خدمات النقل غير المستخدمة أو عزلها بكلمات مرور فريدة وحماية متعددة العوامل.

أما الدرس الأهم لمقدمي الخدمات فهو حماية قيم تجزئة كلمات المرور بأساليب قوية، وتدقيق سجلات الوصول بانتظام، وتقليل حقول البيانات الشخصية غير الضرورية، وإرسال إشعارات الخرق دون تأخير. ولأن خدمات مشاركة السيارات قد تتضمن مجالات حساسة إضافية، مثل بيانات الدفع والهوية ووثائق المركبات، يجب أن يوضّح تقرير الحادثة أيًّا من هذه المجالات تأثر وأيًّا منها لم يتأثر. وفي حالة Zoomcar هذه لعام 2018، ينبغي أن يركّز توضيح المخاطر على أمان الحساب والاحتيال عبر الهاتف والتصيّد الاحتيالي.

تبيّن نتيجة فحص سجل خرق Zoomcar ما إذا كان عنوان البريد الإلكتروني المُدخل موجودًا في مجموعة البيانات المتحقق منها هذه. وإذا كانت النتيجة إيجابية، فينبغي اعتبار عنوان البريد الإلكتروني وعنوان IP وبيانات الاسم ورقم الهاتف وقيمة تجزئة كلمة المرور بصيغة bcrypt معرّضة للخطر. أما إذا كانت النتيجة سلبية، فهذا يعني فقط عدم العثور على تطابق في مجموعة البيانات المحددة هذه؛ ولا يثبت أن الشخص لم يتأثر بحوادث أخرى لدى Zoomcar أو بخروقات لدى خدمات نقل أخرى. ويساعد الحفاظ على دقة التواريخ في تجنّب الخلط بين الحوادث القديمة والتصريحات الصادرة في أعوام مختلفة.

الإجراء الصحيح هو التخلي تمامًا عن كلمة المرور القديمة، وتغيير جميع كلمات المرور المعاد استخدامها، وتفعيل الحماية متعددة العوامل لحساب البريد الإلكتروني، والحذر من رسائل الدعم أو الحجوزات الوهمية التي تصل عبر رقم الهاتف. وينبغي للمستخدم أيضًا مراجعة حسابات النقل وتأجير السيارات والدفع والتواصل الاجتماعي التي أُنشئت باستخدام البريد الإلكتروني ورقم الهاتف نفسيهما. وبذلك تقلّ مخاطر أن يؤدي خرق بيانات وقع في 2018 إلى الاستيلاء على الحسابات أو التصيّد الاحتيالي الموجّه أو الاحتيال عبر الهاتف اليوم.