أكدت شركة ريفولوت العملاقة في مجال التكنولوجيا المالية وقوع اختراق للبيانات كشف معلومات حساسة عن العملاء بعد أن تعامل أحد الموظفين مع طلب احتيالي من شخص انتحل صفة جهة حكومية على أنه طلب شرعي. وأفصحت الشركة عن أن وثائق الهوية، بما في ذلك جوازات السفر ورخص القيادة، إلى جانب بيانات الاتصال والسجلات المالية، قد تمت مشاركتها مع الجهة المهاجمة. ولم يتم الكشف عن العدد الدقيق للعملاء المتأثرين.
ليست هذه المرة الأولى التي تضطر فيها ريفولوت إلى تفسير كيفية تجاوز محاولة انتحال مقنعة لدفاعاتها. وكما ورد في تقريرنا السابق عن اختراق بيانات ريفولوت الذي شمل بريدًا حكوميًا مزيفًا، فقد وجد المهاجمون مرارًا وتكرارًا نجاحًا في مجرد طلب البيانات أثناء انتحالهم صفة شخصية ذات سلطة، بدلاً من استغلال ثغرات البرمجيات أو تخمين كلمات المرور بالقوة.
ما الذي حدث ولماذا يهم
وفقًا للتقارير المتعلقة بالحادثة، لم ينشأ الاختراق عن برمجيات خبيثة أو خادم مخترق أو كلمة مرور مسروقة. بدلاً من ذلك، قدّم شخص انتحل صفة جهة حكومية طلبًا بدا رسميًا بما يكفي ليتصرف بناءً عليه أحد موظفي ريفولوت. وكانت النتيجة أن بيانات العملاء، بما في ذلك نسخ من وثائق الهوية مثل جوازات السفر ورخص القيادة، وتواريخ الميلاد، والعناوين البريدية وعناوين البريد الإلكتروني، وتفاصيل النشاط المالي، قد سُلّمت مباشرة إلى المهاجم.
يصعب بشكل خاص الدفاع ضد هذا النوع من هجمات الهندسة الاجتماعية بالأدوات التقنية وحدها. فجدران الحماية والتشفير والمصادقة متعددة العوامل تحمي من العديد من التهديدات، لكنها لا تستطيع دائمًا منع إنسان من اتخاذ قرار تحت الضغط. وعندما يبدو الطلب رسميًا، أو يأتي بالتنسيق الصحيح، أو يستشهد بلغة تنظيمية حقيقية، يمكن حتى للموظفين المدربين جيدًا أن يُخدعوا.
وبالنسبة لريفولوت تحديدًا، يسلط هذا الحادث الضوء على مشكلة أوسع في القطاع. فتطبيقات التكنولوجيا المالية تطلب routinely من العملاء رفع صور جوازات السفر ورخص القيادة ووثائق هوية أخرى كجزء من التحقق من اعرف عميلك (KYC)، وهو متطلب قانوني مصمم لمنع الاحتيال وغسل الأموال. ولكن بمجرد جمع تلك البيانات، تصبح هدفًا عالي القيمة موجودًا في أنظمة الشركة، ويعتمد أمنها بالكامل على العمليات الداخلية، وليس على التقنية فقط.
لماذا تُعد تطبيقات التكنولوجيا المالية هدفًا رئيسيًا
تحتل التطبيقات المالية موقعًا فريدًا في منظومة البيانات. فهي تجمع بين فئتين من المعلومات يعتز بهما المجرمون أكثر من غيرهما: وثائق الهوية الموثقة والنشاط المالي المفصل. فمسح جواز السفر وحده ذو قيمة لسرقة الهوية. وإذا اقترن بسجل معاملات العميل وعنوانه وتاريخ ميلاده، فإنه يصبح مجموعة أدوات كاملة للاحتيال أو الاستيلاء على الحساب أو التصيد المستهدف.
لا يفكر كثير من المستخدمين مرتين قبل رفع صورة جواز سفر أو ربط حساب بنكي بتطبيق جديد، خاصة عندما تَعِد الخدمة بسهولة مثل صرف العملات الفوري أو تداول العملات المشفرة. لكن كل مستند يُرفع وكل حساب يُربط يوسّع ما يُسمى أحيانًا "البصمة البيانية" للشركة، أي إجمالي كمية المعلومات الحساسة التي تحتفظ بها ويجب أن تحميها. وكلما جمعت الشركة أكثر، زاد الضرر الذي يمكن أن يسببه اختراق واحد أو موظف واحد مخدوع.
هذا لا يعني أن تطبيقات التكنولوجيا المالية غير آمنة بطبيعتها، لكنه يعني أن على العملاء التعامل مع طلبات التحقق من الهوية بنفس التدقيق الذي يطبقونه على أي معاملة حساسة أخرى. فليست كل تطبيق يحتاج إلى نفس مستوى التوثيق، وليست كل شركة لديها ضوابط داخلية بنفس الصرامة للتعامل مع طلبات إنفاذ القانون أو الجهات التنظيمية.
ما يعنيه هذا بالنسبة لك
إذا كنت تستخدم ريفولوت أو خدمة تكنولوجيا مالية مماثلة، فلا داعي للذعر، لكن يستحق الأمر اتخاذ بعض الخطوات الملموسة. أولاً، راقب حساباتك بحثًا عن نشاط غير عادي، خاصة إذا تم إخطارك بأن بياناتك ربما تأثرت. ثانيًا، كن يقظًا تجاه محاولات التصيد اللاحقة. فالمهاجمون الذين يحصلون على وثائق الهوية وبيانات الاتصال غالبًا ما يستخدمونها لصياغة رسائل احتيالية مقنعة تستشهد بمعلومات شخصية حقيقية، مما يجعل رصدها أصعب من رسائل التصيد العامة.
وعلى نطاق أوسع، يذكّرنا هذا الحادث بالتفكير النقدي في التطبيقات التي نأتمنها على وثائق الهوية. فقبل رفع جواز سفر أو ربط حساب بنكي، تحقق مما إذا كانت الشركة لديها سجل من الشفافية بشأن الحوادث الأمنية، وما إذا كانت تقدم ضوابط خصوصية واضحة، وما إذا كان مستوى التحقق المطلوب يتوافق فعلاً مع الخدمة التي تسجل فيها. كما أن ممارسة تقليل البيانات، أي مشاركة ما هو ضروري فقط، وتجنب إعادة استخدام نفس المستندات عبر منصات متعددة دون داعٍ، يمكن أن يقلل من تعرضك إذا تعرضت أي شركة واحدة لاختراق.
لن يمنع استخدام أدوات الخصوصية مثل VPN حدوث اختراق من جانب الشركة كهذا، لأن الكشف حدث من طرف ريفولوت، وليس عبر اتصال معترض. لكن الحفاظ على نظافة قوية للحسابات، وكلمات مرور فريدة، وعادات مشاركة حذرة يظل أحد أفضل الدفاعات المتاحة للمستخدمين العاديين وهم يتنقلون في مشهد تطبيقات مالية متزايد الشهية للمستندات.
النقاط الرئيسية
راجع أي إخطارات من ريفولوت بعناية وراقب الرسائل اللاحقة المشبوهة التي تشير إلى تفاصيلك الشخصية. وفكّر في تجميد رصيدك الائتماني أو مراقبته إذا كانت نسخ جواز السفر أو وثائق الهوية متضمنة. وفي المستقبل، تساءل لماذا يحتاج تطبيق ما إلى مستندات معينة قبل رفعها، ووزّع التحقق المالي والهوي على عدد أقل من المنصات حيثما أمكن. ويعد البقاء على اطلاع بحوادث مثل اختراق بيانات ريفولوت هذا من أبسط طرق حماية نفسك في بيئة يمكن فيها حتى للشركات الموثوقة أن تقع ضحية محاولة انتحال مقنعة.
