هل البيانات المسروقة خلال عملية الخرق لها صلاحية؟

كتب: عبدالعزيز خلف

“تم اختراق بيانات نصف مليار مستخدم على منصة التواصل الاجتماعي الفيسبوك “، هذا أو شيء مشابه جدًا هو عنوان رئيسي ربما شاهدته في وسائل الإعلام في الأيام الأخيرة. أي خرق للبيانات، لا سيما الانتهاك الذي يؤثر على مثل هذا العدد الكبير من المستخدمين، هو أمر مزعج لكل من الشركات والأفراد المعنيين؛ على الرغم من ذلك، تبدو هذه النوعية من الاخبار وكأنها معتادة.

بدأ الجدول الزمني لخرق البيانات هذا، وفقًا للفيسبوك، في عام 2018، عندما اتضح أن الجهات الخبيثة كانت تسيء استخدام ميزة على الفيسبوك تسمح للمستخدم بالبحث عن مستخدم آخر عن طريق رقم الهاتف لتحديد موقعه على الشبكة الاجتماعية. كانت هذه الميزة مفيدة بشكل خاص في المناطق التي يشترك فيها العديد من المستخدمين في نفس الاسم الأول والأخير، مما يجعل تعقب الشخص الفعلي الذي كنت تبحث عنه أمرًا معقدًا. لسوء الحظ، سمح هذا للمخترقين السيئين بإساءة استخدام الميزة و “كشط” الفيسبوك باستخدام الأتمتة والبرامج النصية لتجميع قاعدة بيانات تتضمن اسم الضحية ورقم هاتفه.

أزال الفيسبوك الميزة في أبريل 2018، بعد فترة وجيزة من فضيحة Cambridge Analytica، وعندما تم تحديد نشاط “الكشط” الضار. وحتى عام 2019، وكما ذكرت TechCrunch، وجد باحث أمني سجلات لـ 400 مليون حساب على الفيسبوك في قاعدة بيانات غير محمية عبر الإنترنت. وأكد الفيسبوك أن البيانات مؤرخة ويبدو أنه تم جمعها قبل إزالة ميزة البحث في عام 2018. تمت إزالة البيانات الغير محمية من الوصول العام.

وذكرت شبكة CNN والعديد من وسائل الإعلام الأخرى أن الباحثين الأمنيين قد حددوا، مرة أخرى، قاعدة بيانات غير محمية يمكن الوصول إليها للجمهور مع ما يبدو أنه نفس البيانات التي تم مسحها كما ورد في عام 2019.

هناك بعض التكهنات، وفقًا لما أوردته TechCrunch، بأن مجموعة البيانات الأصلية ربما تمت إضافتها أيضًا منذ أن تم إلغاؤها في عام 2018، وفقًا لاقتباسات من لجنة حماية البيانات في أيرلندا (DPC). يشار إلى DPC على أنها محاولة لإثبات الحقائق الكاملة للتأكد مما إذا كان الانتهاك قد حدث قبل سريان اللائحة العامة لحماية البيانات (GDPR).

إذا كان الملف الشخصي للضحية على الفيسبوك عامًا، في وقت كشط الملف الشخصي للضحية على الفيسبوك، فربما يكون الفاعل الضار قد جمع معلومات أكثر حساسية والتي يمكن استخدامها بعد ذلك لإنشاء ملف تعريف للضحية. يمكن استخدام البيانات التي تحتوي على بيانات غنية بمعلومات التعريف الشخصية ضد الضحية في سرقة الهوية، والتصيد المستهدف، والهندسة الاجتماعية، والاستيلاء على الحساب، وغيرها من عمليات الاحتيال التي قد تسبب اضرارا كبيرة.

هل تتضاءل قيمة البيانات بمرور الوقت؟ الجواب هو نعم ولا. لدي نفس رقم الهاتف اليوم كما فعلت في 2018، المعلومات الثابتة مثل تاريخ الميلاد لا تزال كما هي، وحتى الجدول الزمني للنشاط لن يتغير ولكنه سيتوقف للتو عند نقطة جمع البيانات. بينما من المحتمل أن تكون كلمات المرور، التي لا تحتوي عليها هذه البيانات، قد تم تغييرها في السنوات الثلاث الماضية.

يشير موقع تتبع خرق البيانات Have I Been Pwned (HIBP) إلى أن 2.5 مليون فقط من السجلات الموجودة في البيانات الغير محمية والمتاحة للجمهور تضمنت عنوان بريد إلكتروني؛ واحتوت رغم ذلك معظم السجلات على الأسماء والجنس وتاريخ الميلاد والموقع و الحالة الإجتماعية وبيانات العمل. سأعتبر هذه البيانات الشخصية، حتى بدون عنوان بريد إلكتروني، بمثابة تنازل عن هويتي وشيء يجب أن أهتم به.

كيف تتحقق مما إذا كنت قد تأثرت

بالنسبة لحسابات المستخدمين التي تحتوي على عنوان بريد إلكتروني، يمكن للجهات الخبيثة محاولة الوصول إلى الفيس بوك والمواقع والخدمات الأخرى باستخدام عنوان البريد الإلكتروني وتنفيذ هجمات ضارة باستخدام كلمات مرور شائعة الاستخدام. إذا كان الضحية يستخدم كلمات مرور بسيطة، نفس الكلمة الموجودة في العديد من المواقع، ولم يغيرها مطلقًا، فعليه اتخاذ إجراء اليوم – تغيير كلمات المرور، وجعلها فريدة ومعقدة، ويرجى تشغيل المصادقة متعددة العوامل. يمكنك التحقق مما إذا كنت واحدًا من 2.5 مليون على موقع HIBP.

ولعل الأهم من ذلك هو أن الموقع الآن يمكّن لأي شخص من التحقق مما إذا كان رقم هاتفه قد تعرض للانتهاك.

لماذا يعد هذا مهمًا بخلاف العدد الهائل من أرقام الهواتف المسربة؟ إذا تلقيت يومًا رسالة نصية قصيرة SMS لإعادة تعيين كلمة مرور Netflix أو تخبرك بوجود بطاقة هدايا في انتظارك، فيجب أن تدرك أن الجهات الفاعلة السيئة ستستخدم على الأرجح البيانات التي بحوزتها، والاسم ورقم الهاتف للهندسة الاجتماعية استجابة ستمنحهم إمكانية الوصول للبيانات التي ستمكنهم استثمارها بعد ذلك. من المحتمل أيضًا أن يكون المجرمون قد قاموا بدمج هذه البيانات مع بيانات أخرى تم اختراقها، والتي قد تتضمن عنوان بريدك الإلكتروني وبيانات شخصية أخرى، مما يمنح الممثل السيئ معلومات كافية لشن هجوم هندسة اجتماعية ذي مظهر موثوق به على الأفراد.

ستساعد اليقظة والتأكد من كل رسالة وبريد إلكتروني تتلقاه في حماية حساباتك عبر الإنترنت. قم بإقران ذلك بكلمات مرور فريدة لكل حساب، وستساعدك المصادقة متعددة العوامل وبرامج الأمان الجيدة مثل التي تقدمها ESET على حمايتك. وإذا كنت لا تستطيع تذكر كلمات المرور أو إنشاء كلمات مرور معقدة فريدة، ففكر في مدير كلمات المرور.