حصاد 2019.. أكبر 10 خروقات للبيانات خلال العام

شهد عام 2019 ارتفاعًا كبيرًا في خروقات البيانات، حيث كانت عبارة (قاعدة بيانات غير مُؤمنة) unsecured database موجودة بشكل متكرر في الأخبار على مدار عام 2019، وكانت قصص الشركات التي تم اختراقها  كثيرة بشكل ملفت للنظر، وذلك في مجالات مختلفة مثل: الرعاية الصحية، والضيافة، والتجارة الإلكترونية، والخدمات المالية، وغيرها.

كما أن معظم الخروقات حدثت بسبب ترك بيانات العملاء الحساسة غير محمية في برمجيات الإنترنت المفتوحة لتُشترى وتُباع من قبل المتسللين الذين لم يبذلوا مجهود حتى للعثور عليها، فكل شهر تقريًبا كان هناك أكثر من شركة تطلب من عملائها تغيير كلمات المرور الخاصة بهم، والإبلاغ عن أي ضرر.

خلال الأشهر التسعة الأولى من عام 2019؛ أُبلغ عن 5183 خرقًا أمنيًا ما تسبب في الكشف عن 7.9 مليار سجل، وبناءً عليه فقد ارتفع إجمالي عدد الخروقات بنسبة 33.3% مقارنةً بعام 2018، وكان هناك 6 خروقات فقط تسببت في كشف3.1 مليار سجل في الفترة ما بين 1 يوليو و30 سبتمبر.

وخلال شهر نوفمبر وصفت شركة الأبحاث (Risk Based Security) عام 2019 بأنه الأسوأ على الإطلاق للأمن الإلكتروني بسبب كثرة خروقات البيانات التي حدثت خلاله وعدد السجلات التي وصل إليها القراصنة.

وهنا يطرأ سؤال مهم؛ كم يكلف خرق البيانات في المتوسط أي مؤسسة؟ 

وفقًا لأحدث دراسة من شركة IBM؛ ارتفعت تكلفة خرق البيانات بنسبة 12% على مدار السنوات الخمس الماضية، حيث يكلف الاختراق الأمني الآن نحو  3.92 مليون دولارِِ في المتوسط، وتشمل هذه النفقات تغطية تكاليف التحقيق والتحكم في الأضرار والإصلاحات والدعاوى القضائية والغرامات، مع عدم وجود علامات على التباطؤ.  كما تُشكل هذه الخروقات خطرًا متزايدًا على الشركات الصغيرة، حيث تكلف ما يصل إلى 5% من الإيرادات السنوية، وهو مبلغ قد يكون معوقًا للشركات الصغيرة.

ما يصعب تقديره هو مقدار التكلفة التي يتحملها المستهلكون الفرديون في جميع أنحاء العالم هذا العام، و كذلك التكلفة المتوقعة خلال عام 2020، حيث كان من السهل الوصول إلى البيانات الأكثر حساسية في عام 2019 مثل: أرقام جوازات السفر، والسجلات الطبية، وتفاصيل الحسابات المصرفية، وبيانات الدخول إلى حسابات التواصل الاجتماعي، وأرقام الضمان الاجتماعي، ما دفع ملايين الأشخاص إلى إغلاق حساباتهم على مواقع التواصل الاجتماعي والبحث عن طرق تأمين قوية.

سيكون من المستحيل تقريبًا حساب الساعات والدولارات التي ينفقها الأشخاص الذين يحاولون التعافي من الإهمال المخزي لبعض هذه الشركات، حيث إن التنبؤ بالتكاليف المستقبلية أمر لا يمكن تصوره. ولكن حتى الآن؛ يُشير معظم الخبراء إلى أن اتباع الإجراءات الأساسية لأمن الإنترنت أثناء التصفح أو التسوق، سيساعد كثيرًا في حمايتك من التضرر بسبب الخروقات الضخمة.

سنستعرض اليوم أكبر 10 خروقات للبيانات حدثت خلال عام 2019:

1- اختراق سلسلة فنادق ماريوت والوصول إلى 383 مليون سجل:

بدأ عام 2019 بإصدار شركة (ماريوت إنترناشيونال) Marriott International للخدمات الفندقية يوم 4 يناير بيانًا تؤكد فيه أن المتسللين وصلوا إلى سجلات تتضمن: بعض أرقام جواز السفر ومعلومات بطاقات الائتمان لما يصل إلى 383 مليون ضيف. وهذا العدد أكثر من ضعف عدد المستخدمين الذين تأثروا بأشهر اختراق في التاريخ وهو اختراق شركة Equifax العاملة في مجال خدمات الائتمان الاستهلاكي، والذي وصل إلى 147.7 مليون أمريكي.

2- (المجموعة 1) Collection #1 والوصول إلى 773 مليون سجل:

أعلن الباحث الأمني (تروي هانت) Troy Hunt  يوم 17 يناير عن أكبر مجموعة من البيانات المخترقة والتي تضم أكثر من 773 مليون عنوان بريد إلكتروني و 22 مليون كلمة مرور، ويصل حجم ملف البيانات المستضاف على خدمة التخزين السحابية MEGA إلى 87 جيجابايت، مما يجعله أكبر اختراق فردي للبيانات.

وتحتوي المجموعة على أكثر من 12 ألف ملف منفصل، بإجمالي عدد عناوين بريد إلكتروني وكلمات مرور يقترب من 2.7 مليار، وبالرغم من أن معظم عناوين البريد الإلكتروني قد  ظهرت في خروقات أُكتشفت سابقًا، إلا أن الباحث أشار إلى وجود 140 مليون عنوان بريد إلكتروني جاءت من خرق كبير للبيانات لم يُبلغ عنه أو من خلال العديد من خروقات البيانات الأصغر أو مزيج من الاثنين معاً.

3- اختراق 16 موقعًا وتسريب أكثر من 617 مليون سجل:

أفاد تقرير لموقع (The Register) يوم 11 فبراير أن هناك أكثر من 617 مليون سجل سُرقت من 16 موقعًا على الويب، وطُرحت للبيع على الويب المظلم، فقد رأى مالكو هذه المواقع المخترقة بيانات المستخدمين المسروقة تُباع بسعر أقل من 20 ألف دولار بعملة (بيتكوين) Bitcoin الرقمية على شبكة (الإنترنت المظلم) Dark Web.

وقد سُرقت هذه البيانات من مواقع: Dubsmash، وArmor Games، و500px، وWhitepages، وShareThis، وMyFitnessPal، وMyHeritage، وHouzz وموقع حجز السفر Ixigo، وموقع بث الفيديو المباشر YouNow، وغيرها.

وفي الوقت نفسه؛ عرضت مجموعة من الخروقات الأمنية الأصغر مدى خطورة إهمال الأمن الإلكتروني في مجال الرعاية الصحية:

• يوم 19 فبراير: تم اكتشاف ما يقرب من 2.7 مليون مكالمة هاتفية من المكالمات المسجلة بواسطة الخط الساخن للخدمات الصحية الوطنية السويدية على نظام غير مشفر يمكن الوصول إليها دون كلمة مرور أو أي وسيلة مصادقة، حيث كانت في متناول أي شخص لديه اتصال بالإنترنت.
• يوم 20 فبراير: احتجز مهاجم ما يصل إلى 15000 ملف من ملفات المرضى في وحدة أمراض القلب المتخصصة في (مستشفى كابريني) Cabrini Health في إستراليا للحصول على فدية.
• يوم 22 فبراير: كشفت (UConn Health) أن طرفًا ثالثًا غير مصرح به قد وصل إلى حسابات البريد الإلكتروني للموظفين ما أدى إلى اختراق سجلات 326 ألف مريض.

4- الوصول إلى 540 مليون سجل لمستخدمي فيسبوك:

كشف الباحث الأمني ​​(برايان كريبس) Brian Krebs يوم 21 مارس أن فيسبوك عرضت مئات الملايين من كلمات المرور للخطر، وذلك عبر تخزينها ما يصل إلى 600 مليون كلمة مرور لمستخدمي فيسبوك وإنستاجرام لعدة سنوات بتنسيق نص عادي يمكن قراءته، ما يعني أنه كان من الممكن قراءتها من قبل الآلاف من موظفي الشركة.

كما أنه خلال شهر أبريل أعلن باحثوا شركة UpGuard للخدمات الأمنية أن مطوري تطبيقات فيسبوك تركوا بيانات مئات الملايين من المستخدمين مكشوفة ضمن خوادم سحابية مفتوحة للعامة، وأوضح الباحثون أن أكبر مجموعتين من البيانات جاءتا من:

• شركة مكسيكية تُدعى (Cultura Colectiva): حفظت بيانات بحجم 146 جيجابايت تضمنت أكثر من 540 مليون سجل على خادم (Amazon S3) بدون كلمة مرور، مما يسمح لأي شخص بالوصول إليها، والتي تحتوي على معلومات مثل: التعليقات، والإعجابات، وردود الفعل، وأسماء الحسابات، وغيرها.
• شركة أمريكية تُدعى (At the Pool): لا يعد اكتشافها كبيرًا مثل مجموعة بيانات Cultura Colectiva، ولكنه يحتوي على كلمات مرور نصية (أي غير محمية) لما يصل إلى 22000 مستخدم.

5- اختراق Verifications.io والوصول إلى 808 مليون سجل:

أعلن الباحثان (Bob Diachenko) و(Vinny Troya) خلال شهر أبريل عن عثورهما على قاعدة بيانات يمكن الوصول إليها وتحتوي على 150 جيجابايت من بيانات التسويق التفصيلية. وقد كانت قاعدة البيانات مملوكة لشركة Verifications.io للتحقق من صحة البريد الإلكتروني.

احتوت قاعدة البيانات على أربع مجموعات منفصلة من البيانات، بلغ مجموع سجلاتها أكثر من 808 سجل، ربما تكون هذه قاعدة بيانات البريد الإلكتروني الأكبر والأكثر شمولًا، وكان الجزء الأكبر منها يحمل اسم (mailEmailDatabase) وكان يحتوي على ثلاثة مجلدات صُممت لتضم الرمز البريدي، ورقم  الهاتف، والعنوان، والجنس، والبريد الإلكتروني. ومن خلال مراجعة مجموعة عشوائية من السجلات باستخدام قاعدة بيانات (HaveIBeenPwned) تبين أن هذه البيانات لا تعود لأي تسريبات سابقة، ولكنها مجموعة جديدة تمامًا من البيانات.

 6- اختراق موقع Canva وتسريب 139 مليون سجل:

أعلن موقع (Canva) أشهر المواقع المتاحة في مجال التصميم خلال شهر مايو عن تعرضه لاختراق أمني أثر على 139 مليون مستخدم. تضمنت البيانات: أسماء المستخدمين الحقيقية، وعناوين البريد الإلكتروني، وكلمات المرور، ومعلومات عن المدينة. بالإضافة إلى ذلك؛ من بين 139 مليون مستخدم كان لدى 78 مليون مستخدم عنوان Gmail مرتبط بحساب Canva الخاص بهم.

وقد أعلن موقع ZDnet  يوم 24 مايو أن المتسلل المسؤول عن هذا الاختراق قام بعرض بيانات 932 مليون سجل للبيع على الإنترنت المظلم سُرقت من 44 شركة من جميع أنحاء العالم ومن بينها بيانات موقع Canva.

7- اختراق شركة (First American) وتسريب 885 مليون سجل:

كشف الباحث الأمني (براين كريبس) Brian Krebs يوم 24 مايو عن تعرض شركة (First American) – وهي أكبر شركة تأمين ملكية عقارية في الولايات المتحدة – لاختراق أمني كشف عن 885 مليون وثيقة رقمية تقريبًا، وكانت هذه الوثائق مخصصة للرهن العقاري و مئات الملايين منها يعود تاريخها إلى عام 2003.

شملت السجلات أرقام الحسابات البنكية، وبيانات الرهن العقاري، وأرقام الضمان الاجتماعي، وإيصالات المعاملات البنكية، والمستندات الضريبية وصور رخص القيادة. وكانت  هذه السجلات متاحة دون مصادقة،بحيث يمكن قراءتها من قبل أي شخص باستخدام متصفح الويب.

8- اختراق (Capital One) وتسريب بيانات 106 مليون سجل:

أعلنت شركة (كابيتال ون) Capital One – من أكبر المؤسسات المالية في الولايات المتحدة والمالكة لسلسلة من البنوك – يوم 29 يوليو عن اختراق أمني نتيجة ثغرة أمنية في البنية التحتية لخوادم الشركة كشف عن ما يقرب من 100 مليون سجل للمستخدمين في الولايات المتحدة، ونحو 6 ملايين سجل للمستخدمين في كندا.

شملت أكبر فئة من البيانات المُسربة معلومات متعلقة بالعملاء الأفراد والشركات الصغيرة التي استعملت بطاقات الائتمان الخاصة بالشركة من 2005 حتى بداية عام 2019، وقد تنوعت هذه البيانات بين الأسماء والعناوين والرموز البريدية وأرقام الهواتف وتواريخ الميلاد وعناوين البريد الإلكتروني والدخل، بالإضافة إلى بيانات بطاقة الائتمان.

ولم يتم اختراق جميع أرقام الحسابات المصرفية أو أرقام الضمان الاجتماعي، ولكن تأثر بهذا الاختراق نحو 140 ألف رقم ضمان اجتماعي لعملاء بطاقات الائتمان، ونحو 80 ألف رقم حساب مصرفي مرتبط بعملاء من حاملي بطاقات الائتمان.

سرعان ما اكتشفت الشركة الثغرة وقامت بإصلاحها مباشرة، وقامت بالتعاون من المباحث الفيدرالية FBI للكشف عن هوية المخترق، ومن جانبها أعلنت وزارة العدل الأمريكية القبض على مهندسة برمجيات تُسمى Paige A. Thompson كانت تعمل في شركة أمازون لها علاقة بحادثة الاختراق. وقد تبين بعد التحقيقات أن Thompson ترتبط بحوادث اختراق لعدة شركات أخرى.

9- كشف بيانات 7.5 ملايين مستخدم لشركة أدوبي:

أعلنت شركة Comparitech المتخصصة في مجال الأمن الإلكتروني يوم 25 أكتوبر أن شركة أدوبي تركت أحد خوادمها بدون تأمين، حيث كان من الممكن الوصول إليه على الويب دون الحاجة لكلمة مرور، أو أي نوع من المصادقة، ما كشف عن بيانات  7.5 ملايين سجل  لمستخدمي خدمتها السحابية (كريتيف كلاود) Creative Cloud. وقد أغلقته الشركة على الفور بعد التحذير.

واشتملت قاعدة البيانات المكشوفة على تفاصيل مثل: عناوين البريد الإلكتروني، وتواريخ إنشاء الحساب، والمنتجات المشترك بها المستخدم، وحالات الاشتراك، ومعرفات الأعضاء، وبلد المنشأ، والوقت منذ آخر تسجيل دخول وما إذا كانوا موظفين لدى أدوبي أم لا. كما أكدت أدوبي أن البيانات لم تتضمن أي كلمات مرور أو معلومات مالية.

10- اختراق TrueDialog وكشف أكثر من مليار سجل:

أعلن باحثان من شركة vpnMentor يوم 2 ديسمبر عن عثورهما على قاعدة بيانات غير محمية تابعة لشركة الاتصالات الأمريكية (TrueDialog) تحتوي عشرات الملايين من الرسائل النصية القصيرة SMS، التي أُرسل معظمها من قبل الشركات إلى العملاء المحتملين.

وقد صرح الباحثان أن قاعدة بيانات TrueDialog المُستضافة على خدمة Microsoft Azure والتي تعمل على Oracle Marketing Cloud في الولايات المتحدة الأمريكية، تضمنت 604 جيجابايت من البيانات. وشمل ذلك ما يقرب من 1 مليار سجل.

واشتملت قاعدة البيانات على تفاصيل مثل: الأسماء الكاملة للمستلمين، وأصحاب حسابات TrueDialog، ومحتوى الرسائل، وعناوين البريد الإلكتروني، وأرقام هواتف المستلمين والمستخدمين، وتواريخ الإرسال، ومؤشرات الحالة على الرسائل المرسلة.