خرق بيانات Zynga

تشمل فئات البيانات المؤكدة في هذه الحادثة عناوين البريد الإلكتروني وكلمات المرور وأرقام الهواتف وأسماء المستخدمين. وقد أُفيد بأن بيانات كلمات المرور مرتبطة بقيم تجزئة SHA-1 المملَّحة، وليست محفوظة كنص صريح؛ ومع ذلك، يظل الخطر قائمًا على كلمات المرور القديمة والمعاد استخدامها. ويُسهّل وجود عنوان البريد الإلكتروني واسم المستخدم في مجموعة البيانات نفسها على المهاجمين إنشاء رسائل تشبه الرسائل الصادرة عن ملفات لاعبين حقيقيين. وقد تواجه الحسابات التي تتضمن أرقام هواتف مخاطر إضافية، مثل مكالمات الدعم الزائفة وعمليات الاحتيال عبر الرسائل النصية القصيرة ومحاولات استرداد الحسابات. ولم يُؤكَّد أن المعلومات المالية مشمولة ضمن نطاق الحادثة؛ لكن الوصول إلى الحسابات والهوية داخل اللعبة والروابط الاجتماعية واستخدام كلمة المرور نفسها في خدمات أخرى تنشئ مخاطر غير مباشرة على خدمات أكثر أهمية.

تشمل حادثة Zynga مجموعة كبيرة من بيانات المستخدمين المرتبطة بحساباتهم في ألعاب الشركة الاجتماعية. ويتمثل مجال الخدمة الرئيسي المؤكد في الألعاب عبر الإنترنت وألعاب الأجهزة المحمولة؛ لذلك ينبغي النظر إلى القطاع بوصفه قطاع الألعاب الاجتماعية وتطوير ألعاب الأجهزة المحمولة، لا تجارة التجزئة. وقد تأكد أن عدد الحسابات المتأثرة يبلغ 172,869,660 حسابًا فريدًا. وتقتصر حقول البيانات على عناوين البريد الإلكتروني وكلمات المرور وأرقام الهواتف وأسماء المستخدمين. ورغم أن الأخبار تضمنت ادعاءات بأعداد أكبر أو حقول مختلفة، ينبغي الاقتصار على الفئات المؤكدة في التقارير الموجّهة إلى المستخدمين. ولا يقلل هذا التمييز من مخاطر التسريب، لكنه يمنع المبالغة غير الضرورية في أعداد السجلات والتواريخ وحقول البيانات.

يواجه الخطر الأكبر مستخدمو ألعاب Zynga الذين يستخدمون عنوان البريد الإلكتروني نفسه وكلمة المرور نفسها أو كلمة مشابهة عبر منصات مختلفة. ففي الألعاب الاجتماعية مثل Words With Friends وDraw Something وغيرها من الألعاب المشابهة، يستطيع المهاجمون إرسال رسائل مخصصة اعتمادًا على قوائم الأصدقاء والأسماء المستعارة داخل اللعبة والروابط الاجتماعية. وتستحق حسابات الألعاب التي أُنشئت منذ زمن طويل ثم نُسيت اهتمامًا أيضًا، لأن كلمات المرور القديمة قد تكون أُعيد استخدامها كثيرًا في خدمات أخرى. وينبغي للمستخدمين الذين تتضمن حساباتهم أرقام هواتف توخي مزيد من الحذر من رسائل استرداد الحسابات الزائفة ومكالمات الدعم المزيفة. وتتسع مخاطر الخصوصية وأمان الحساب لدى الأطفال والأشخاص الذين يشاركون الأجهزة مع أفراد الأسرة والمستخدمين الذين يربطون الألعاب الاجتماعية بـFacebook أو بخدمات مشابهة.

ينبغي للمستخدمين المتأثرين أولًا تغيير كلمة مرور حساب Zynga إلى كلمة مرور فريدة وقوية. وإذا استُخدمت كلمة المرور نفسها أو كلمة مشابهة في حساب آخر للعب أو البريد الإلكتروني أو وسائل التواصل الاجتماعي أو التسوق أو الخدمات المالية، فينبغي أيضًا إعطاء الأولوية لتحديث كلمات مرور تلك الحسابات. ويتيح استخدام مدير كلمات المرور العثور بسرعة على كلمات المرور المكررة وإنشاء كلمات فريدة لكل خدمة. كما ينبغي التحقق من عنوان البريد الإلكتروني ورقم الهاتف المخصصين لاسترداد الحساب، وإزالة أي حسابات مرتبطة غير مألوفة. وعند تلقي رسائل تبدو صادرة عن Zynga أو دعم اللعبة، ينبغي التحقق من عنوان المرسل قبل النقر على الروابط. ويلزم توخي حذر إضافي مع رسائل التحقق عبر الرسائل النصية القصيرة، ورسائل المكافآت والهدايا وتنبيهات الحساب، إذ قد يكون رقم الهاتف قد تعرّض للاختراق.

على المدى الطويل، ينبغي حماية حسابات الألعاب بالعناية نفسها المخصصة لحسابات البريد الإلكتروني الرئيسية والحسابات المالية. ويجب استخدام كلمة مرور فريدة لكل خدمة ألعاب، وتفعيل التحقق متعدد الخطوات حيثما أمكن. وينبغي مراجعة حسابات الألعاب القديمة دوريًا لإغلاقها أو تجديد كلمات مرورها. ويُسهّل استخدام اسم المستخدم نفسه على منصات متعددة على المهاجمين ربط الحسابات بعضها ببعض؛ لذلك يمكن تفضيل أسماء مستخدمين مختلفة وعناوين بريد إلكتروني منفصلة للحسابات الحساسة. وفي الأسر، ينبغي للوالدين مراجعة البريد الإلكتروني ومعلومات الدفع وإعدادات الروابط الاجتماعية في حسابات الألعاب التي يستخدمها الأطفال. أما في المؤسسات، فتكتسب أيضًا أهميةً السياساتُ التي تضبط استخدام كلمات المرور وتمنع الموظفين من استخدام كلمات مرور تسرّبت من حسابات ألعابهم الشخصية في أنظمة العمل.

عندما تظهر نتيجة Zynga على LeakData، فهذا يعني أن عنوان البريد الإلكتروني وارد في مجموعة بيانات Zynga لعام 2019. وتزيد هذه النتيجة، عند تقييمها إلى جانب بيانات اسم المستخدم وكلمة المرور، من خطر الاستيلاء على الحساب. وينبغي للمستخدم أولًا التحقق من حساب Zynga وحسابات الألعاب المرتبطة به، ثم من الحسابات الأخرى التي أُنشئت باستخدام عنوان البريد الإلكتروني نفسه. ويجب إعطاء الأولوية للخدمات التي تُستخدم فيها كلمة المرور نفسها، وحساب البريد الإلكتروني، ووسائل التواصل الاجتماعي، ومتاجر الألعاب، والحسابات المرتبطة بوسائل دفع. ولا ينبغي الخلط بين تاريخ الإشعار وتاريخ الاختراق: فالفترة الرئيسية للحادثة هي سبتمبر 2019، بينما تاريخ الإضافة المؤكد هو ديسمبر 2019. وهذا التمييز ضروري لعرض التسلسل الزمني الفعلي للمخاطر على نحو صحيح في شاشة أمان الحساب.