هل يمكنك التحقق مما إذا كان قد تم تسريب بيانات Odido الخاصة بك وثلاثة أسئلة أخرى

في الأيام الأخيرة، ظهرت شركة الاتصالات Odido في الأخبار كثيرًا بسبب اختراق البيانات من قبل مجموعة ShinyHunters. تم الاستيلاء على ملايين البيانات، وطالبت المجموعة أوديدو بدفع فدية وإلا فإنها ستنشر معلومات حساسة.

وكان أمام الشركة حتى اليوم للقيام بذلك، لكنها أعلنت أنها لن تدفع فدية. رداً على ذلك، نشرت ShinyHunters بعض البيانات التي تم التقاطها. أربعة أسئلة حول البيانات المسروقة.

يكاد يكون من المستحيل التحقق مما إذا كنت تظهر في البيانات التي تم نشرها اليوم. ثم سيتعين عليك الوصول إلى “الويب المظلم”، ثم العثور على هذا الموقع المحدد ومن ثم تكون قادرًا على التعامل مع ملف نصي بحجم 10 غيغابايت. تم إعداد هذا الملف أيضًا بطريقة فنية تنسيق لا يمكن تحويله مباشرة إلى جدول مفهوم.

علاوة على ذلك، فإن تنزيل البيانات يعد جريمة يعاقب عليها، كما يقول متحدث باسم الشرطة.

لدى الشرطة موقع “Check Je Hack”، حيث يمكن للمواطنين التحقق من البيانات الخاصة بهم التي تم تسريبها. ستظهر المعلومات من هذا الاختراق هناك أيضًا في مرحلة ما؛ عندما يكون غير معروف.

وتقول Odido أيضًا إنها ستتصل بالعملاء الذين تم نشر بياناتهم اليوم.

البيانات الخاصة بـ 430.000 مستهلك و290.000 شركة التي تم الإعلان عنها اليوم تتعلق فقط بالاسم والعنوان وأي ملاحظات قدمها Odido. هذه ملاحظات مثل “هل لدى هذا العميل متأخرات في الدفع؟”

ولا يزال المتسللون يحتفظون بمواد أكثر حساسية مثل بيانات جواز السفر وعناوين البريد الإلكتروني وأرقام الهواتف وتواريخ الميلاد. يقول المجرمون إن بإمكانهم نشرها لاحقًا إذا لم يصل أوديدو.

من الناحية النظرية، يمكن استخدام هذه المعلومات لارتكاب عمليات احتيال في الهوية: طلب الخدمات أو إجراء عمليات شراء باسم شخص لا يعرف شيئًا عنها. ومع ذلك، أصبح هذا الأمر صعبًا بشكل متزايد، حيث يقوم المزيد والمزيد من الشركات والمنظمات الحكومية بتثبيت فحوصات إضافية تتطلب من شخص ما إثبات هويته، على سبيل المثال عبر DigiD أو الخدمات المصرفية عبر الإنترنت.

على أية حال، فقد سهلت هذه المعلومات على المجرمين الاحتيال على المواطنين: حيث يمكن الاتصال بهم عبر البريد الإلكتروني أو الهاتف للنقر على رابط أو تنفيذ إجراء آخر يمكن استخدامه لابتزاز الأموال.

تحتوي البيانات المسربة أيضًا على عشرات من أرقام ضريبة القيمة المضافة للشركات. وهذا أمر محفوف بالمخاطر إذا كانت ملكية فردية. حتى عام 2020، كانت أرقام ضريبة القيمة المضافة لتلك الشركات تتكون من رقم BSN الخاص لرائد الأعمال، والذي كان يُعرف سابقًا برقم الضمان الاجتماعي.

ولأن البيانات الموجودة في الملفات المسربة تكون قديمة في بعض الأحيان، فقد تحتوي على أرقام BSN للأشخاص. لم يعد رقم BSN يُستخدم الآن لأرقام ضريبة القيمة المضافة الخاصة بالملكية الفردية. حظرت هيئة حماية البيانات الهولندية هذا في عام 2018.

وفي وقت سابق من هذا الأسبوع، ذكرت مجموعة القراصنة “مبلغا من سبعة أرقام” كشرط لعدم توزيع البيانات، أو بعبارة أخرى: مبلغ يتراوح بين 1 و10 ملايين يورو. بالأمس، أبلغ أحد الجناة NOS أنهم “وافقوا أيضًا على نصف مليون”.

ووفقاً للشرطة، فمن غير الحكمة دفع فدية في قضية كهذه، لأنها تحافظ على نموذج الإيرادات للمجرمين: ففي نهاية المطاف، كل عمل قرصنة يدر المال هو حافز للقيام بعمل آخر. علاوة على ذلك، ليس هناك ما يضمن عدم بيع البيانات بشكل خاص لمجرمين آخرين أو توزيعها بطريقة أخرى.

سبق أن أخبر خبراء الجرائم الإلكترونية NOS أن هذه المجموعة، ShinyHunters، تتمتع بسمعة طيبة في القيام بما وعدت به بمجرد تحويل الأموال. ويشيرون أيضًا إلى أنه بالنسبة لشركة ما، يعد هذا “تحليلًا بسيطًا للتكلفة والعائد”: هل تفوق تكلفة الفدية الضرر الذي لحق بسمعة الشركة، والضرر الذي لحق بعملائها؟ في هذه الحالة، قد يكون الأمر يستحق أن تدفعه الشركة.

ووفقا لخبير الأمن السيبراني جوي فينيس، فإن أكثر من ربع الشركات المتضررة من عمليات اختراق مماثلة في هولندا دفعت أموالا للمبتزين العام الماضي، على الرغم من نصيحة الشرطة.

تكتب شركة Odido نفسها ردًا على الأسئلة المتداولة بأن خرق البيانات لا يمنح الحق في التعويض تلقائيًا. ووفقا للشركة، لا يوجد حاليا أي سبب للاعتقاد بأن أي ضرر هو نتيجة لخرق البيانات.

لا ترغب هيئة حماية البيانات الهولندية في التعليق على هذه الحالة تحديدًا، لكن متحدثًا باسمها يقول إن التعويض ممكن في ظل ظروف معينة. على سبيل المثال، يجب أن تكون قادرًا على إثبات تعرضك لضرر، وأن هناك علاقة سببية بين تسرب البيانات والضرر، وأن الشركة لم تقم بحماية بياناتك بشكل صحيح.