كابوس الحرق البطيء لخرق البيانات العامة الوطنية
تبدو خروقات البيانات بمثابة آفة لا نهاية لها ولا توجد لها إجابة بسيطة، لكن الاختراق الذي حدث في الأشهر الأخيرة لخدمة التحقق من الخلفية الوطنية للبيانات العامة يوضح مدى خطورة هذه الخروقات واستعصائها على الحل. وبعد أربعة أشهر من الغموض، بدأ الوضع الآن في التركيز مع اعتراف National Public Data أخيرًا بالانتهاك يوم الاثنين، تمامًا كما تسربت مجموعة من البيانات المسروقة علنًا عبر الإنترنت.
في أبريل، بدأ أحد المتسللين المعروفين ببيع المعلومات المسروقة، المعروف باسم USDoD، في بيع مجموعة من البيانات على منتديات الجرائم الإلكترونية مقابل 3.5 مليون دولار، والتي قالوا إنها تشمل 2.9 مليار سجل وأثرت على “جميع سكان الولايات المتحدة الأمريكية وكاليفورنيا والمملكة المتحدة”. ومع مرور الأسابيع، بدأت عينات من البيانات في الظهور حيث عمل ممثلون آخرون وباحثون شرعيون على فهم مصدرها والتحقق من صحة المعلومات. بحلول أوائل يونيو، كان من الواضح أن بعض البيانات على الأقل كانت مشروعة وتحتوي على معلومات مثل الأسماء ورسائل البريد الإلكتروني والعناوين الفعلية في مجموعات مختلفة.
البيانات ليست دقيقة دائمًا، ولكن يبدو أنها تتضمن مجموعتين من المعلومات. أحدهما يتضمن أكثر من 100 مليون عنوان بريد إلكتروني شرعي إلى جانب معلومات أخرى والثاني يتضمن أرقام الضمان الاجتماعي ولكن بدون عناوين بريد إلكتروني.
وكتبت شركة National Public Data يوم الاثنين: “يبدو أن هناك حادثًا يتعلق بأمن البيانات ربما شمل بعض معلوماتك الشخصية”. “يُعتقد أن الحادث تورط فيه طرف ثالث سيء كان يحاول اختراق البيانات في أواخر ديسمبر 2023، مع تسرب محتمل لبيانات معينة في أبريل 2024 وصيف 2024… المعلومات التي كان يشتبه في اختراقها تحتوي على الاسم، عنوان البريد الإلكتروني ورقم الهاتف ورقم الضمان الاجتماعي والعنوان (العناوين) البريدية.
وتقول الشركة إنها تتعاون مع “المحققين الحكوميين وإنفاذ القانون”. تواجه NPD دعاوى قضائية جماعية محتملة بشأن الانتهاك.
يقول الباحث الأمني جيريميا فاولر، الذي كان يتابع الوضع مع National Public Data: “لقد أصبحنا غير حساسين تجاه التسريبات التي لا تنتهي للبيانات الشخصية، ولكن أود أن أقول إن هناك خطرًا جديًا”. “قد لا يكون الأمر فوريًا، وقد يستغرق الأمر سنوات حتى يتمكن أحد الممثلين الإجراميين العديدين من اكتشاف كيفية استخدام هذه المعلومات بنجاح، ولكن خلاصة القول هي أن العاصفة قادمة.”
عندما تتم سرقة المعلومات من مصدر واحد، مثل سرقة بيانات العميل المستهدف من Target، يكون من السهل نسبيًا تحديد هذا المصدر. ولكن عندما تتم سرقة المعلومات من وسيط بيانات ولا تتقدم الشركة بالحادث، يكون الأمر أكثر تعقيدًا لتحديد ما إذا كانت المعلومات مشروعة ومن أين أتت. عادةً، الأشخاص الذين تعرضت بياناتهم للاختراق في أي انتهاك – الضحايا الحقيقيون – لا يدركون حتى أن National Public Data تحتفظ بمعلوماتهم في المقام الأول.
في تدوينة يوم الأربعاء حول محتويات ومصدر مجموعة البيانات الوطنية العامة، كتب الباحث الأمني تروي هانت: “الأطراف الوحيدة التي تعرف الحقيقة هي الجهات الفاعلة المجهولة التي تقوم بالتهديد والتي تقوم بتمرير البيانات ومجمع البيانات … لم يبق لنا سوى مع 134 مليون عنوان بريد إلكتروني متداول للعامة ولا يوجد مصدر واضح أو مساءلة.