أفاد تقرير عن تسريب في وزارة الأمن الداخلي الأمريكية بأن أسماء أكثر من 40,000 موظف وأرقام هواتفهم وعناوين بريدهم الإلكتروني قد وُضعت في التداول. ويُعدّ خرق بيانات وزارة الأمن الداخلي الخاص ببيانات اتصال الموظفين، وفقًا لتقرير VOZ، ثالث تسريب بيانات حكومي يتصدّر العناوين في الشهر الماضي. ويعاني المقال المصدر من نقص في التفاصيل التقنية، لذا يلتزم هذا المقال بما تم الإبلاغ عنه ويشرح لماذا تهمّ هذه النوعية من البيانات، حتى عندما تبدو غير ضارة.
ما الذي تم كشفه في تسريب وزارة الأمن الداخلي
بناءً على ما ورد في التقرير، تشمل المعلومات المكشوفة أكثر من 40,000 موظف في وزارة الأمن الداخلي وتقتصر على ثلاثة أنواع من البيانات: الأسماء وأرقام الهواتف وعناوين البريد الإلكتروني. ولا يصف التقرير، في المواد المتاحة لنا، كيفية الحصول على البيانات، ولا من يقف وراءها، ولا متى حدث ذلك، ولا ما إذا كانت فئات أخرى مثل أرقام الضمان الاجتماعي أو السجلات المالية قد طالتها. ولن نخمّن في تلك التفاصيل.
يستحق هذا الفراغ في المعلومات الانتباه. فالتقارير الأولى عن الاختراقات غالبًا ما تكون ناقصة، وقد يتغيّر نطاقها مع تحقيقات الوكالات. تعامل مع الرقم الحالي على أنه الأساس المُبلَّغ عنه وليس الحصيلة النهائية، وترقّب البيانات الرسمية من وزارة الأمن الداخلي.
نمط من تسريبات البيانات الحكومية
حادثة وزارة الأمن الداخلي ليست معزولة. إذ يصنّفها التقرير على أنها ثالث تسريب بيانات حكومي يتصدّر العناوين في شهر واحد. وتقدّم حالتان أخريان حديثتان تمت تغطيتهما على vpn.social سياقًا مفيدًا. في إحداهما، أعلن مكتب التحقيقات الفيدرالي أنه يتعامل مع اختراق يطال البيانات الحساسة لموظفيه وتعهّد بملاحقة من يعتقد أنهم مسؤولون عنه. وفي الأخرى، أوقفت السلطات الفرنسية مراهقًا يبلغ 15 عامًا يُشتبه في اختراقه وكالة ANTS، وهي الوكالة التي تدير وثائق الهوية.
تتعلق هذه الحالات بوكالات ودول مختلفة، لذا لا ينبغي أن نفترض وجود صلة بينها. ما يجمعها هو الهدف: قواعد بيانات حكومية ضخمة مليئة بالمعلومات الشخصية عن الموظفين أو المواطنين. تمتلك الجهات الحكومية بيانات ثمينة للمجرمين، وفي بعض الحالات للفاعلين المعادين، مما يجعلها أهدافًا دائمة.
لماذا تغذّي بيانات الاتصال التصيّد الهندسي والهندسة الاجتماعية
من المُغري أن نستخفّ بتسريب الأسماء وأرقام الهواتف وعناوين البريد الإلكتروني باعتباره أمرًا طفيفًا. فلا كلمات مرور ولا بيانات مالية، فما الضرر إذن؟ الجواب أن بيانات الاتصال هي المادة الخام للهجمات المستهدفة.
فبوجود اسم موثّق، وبريد إلكتروني للعمل، ورقم هاتف مرتبط بصاحب عمل معروف، يستطيع المهاجم أن:
- يصوغ رسائل تصيّد هندسي مقنعة تخاطب الشخص باسمه وتشير إلى وكالته.
- ينفّذ مكالمات تصيّد صوتي (vishing) منتحلًا صفة دعم تقني أو زميل أو مورّد.
- يرسل رسائل نصية طُعمية توجّه المستلمين إلى صفحات تسجيل دخول مزيفة.
- ينتحل صفة من داخل المؤسسة لاستخلاص المعلومات من زملاء يثقون باسم مألوف.
بالنسبة لموظفي وكالة تركّز على الأمن، يكمن الخطر في أن المهاجمين يعرفون بالضبط من يعمل هناك وكيف يصلون إليه. وحتى عدد صغير من الرسائل الناجحة قد يمنح المهاجم موطئ قدم. كما أن الخطر لا يقتصر على هؤلاء الموظفين. فأفراد العائلة والمتعاقدون وأي شخص يتواصل مع موظفي وزارة الأمن الداخلي قد يتلقون رسائل تبدو وكأنها صادرة من مصدر موثوق.
كذلك tend إلى إعادة استخدام التسريبات التي تقتصر على بيانات الاتصال. فيمكن دمج قوائم البريد الإلكتروني وأرقام الهواتف الموثّقة مع بيانات من حوادث أخرى. وتُظهر تغطيتنا لـتسريب LimeLeads الذي كشف 49.4 مليون جهة اتصال تجارية كيف يمكن لقواعد بيانات الاتصال أن تنتشر وتُستَخدم بعد وقت طويل من الحادثة الأصلية.
ماذا يعني هذا بالنسبة لك
قد لا تعمل في وزارة الأمن الداخلي، لكن الدروس تنطبق على الجميع. فمعظمنا أسماؤهم وبريدهم الإلكتروني وأرقام هواتفهم موجودة في قواعد بيانات كثيرة: جهات التوظيف وتجار التجزئة ووسطاء البيانات والوكالات الحكومية. وعندما يُخترق أحدها، تُستخدم نفس أساليب التصيّد الهندسي ضد الأشخاص العاديين.
إذا كنت موظفًا في وزارة الأمن الداخلي أو تعمل مع أحد موظفيها، فتوقّع رسائل غير مرغوبة أكثر من المعتاد وتعامل مع الطلبات غير المتوقعة بارتياب، حتى لو استخدمت اسمك أو أشارت إلى مكان عملك. وإذا لم تكن كذلك، فاعتبر هذا منبّهًا لمراجعة مقدار معلومات الاتصال الخاصة بك المتاحة علنًا ومن يستطيع الوصول إليك.
كيف تقلّل من تعرّض بياناتك الشخصية
لا يمكنك التحكم في تعرّض مؤسسة ما للاختراق، لكن يمكنك الحد من الضرر. وتشمل الخطوات العملية:
- استخدم أسماء بريد إلكتروني مستعارة فريدة لخدمات مختلفة، بحيث لا يربط تسريب في مكان واحد كل شيء آخر.
- احتفظ برقم هاتف منفصل للتسجيلات والإدراجات العامة، بدلًا من رقم هاتفك المحمول الأساسي.
- فعّل المصادقة متعددة العوامل، ويُفضّل عبر تطبيق مصادقة أو مفتاح عتادي بدلًا من الرسائل النصية.
- تحقّق قبل أن تثق. إذا طلب منك اتصال أو رسالة نصية أو بريد إلكتروني بيانات اعتماد أو إجراءً عاجلًا، فتواصل مع المؤسسة عبر قناة تعرف مسبقًا أنها حقيقية.
- لا تنقر على الروابط في الرسائل غير المتوقعة. انتقل إلى الموقع مباشرة بدلًا من ذلك.
- تحقّق من أدوات الإشعار بالاختراقات لمعرفة أي عناوينك ظهرت في تسريبات معروفة، وغيّر كلمات المرور وفقًا لذلك.
- اطلب الإزالة من مواقع وسطاء البيانات حيث تُدرَج تفاصيلك.
المقصود ليس القضاء على التعرّض، فهذا غير واقعي، بل جعل كل تفصيل مسرّب أقل فائدة للمهاجم.
الخلاصة
قد يبدو خرق بيانات وزارة الأمن الداخلي المُبلَّغ عنه لبيانات اتصال الموظفين متواضعًا مقارنة بالتسريبات التي تشمل كلمات مرور أو سجلات مالية، لكن بيانات الاتصال هي بالضبط ما يجعل التصيّد الهندسي والهندسة الاجتماعية ينجحان. ومع الإبلاغ عن ثلاثة تسريبات حكومية في شهر واحد، فإن الوقت مناسب الآن لتدقيق أين تتعرض بيانات اتصالك الخاصة، وتشديد عاداتك. ولمزيد من السياق حول النمط، اقرأ تغطيتنا لـخرق بيانات موظفي مكتب التحقيقات الفيدرالي واختراق سجلات هوية ANTS، ثم خصّص بضع دقائق لتأمين حساباتك.
