ما الذي يحدث فعلاً لبياناتك عندما يُخترق موقع إلكتروني

"نأخذ أمنك على محمل الجد"

لقد تلقيت البريد الإلكتروني. شركة تستخدمها تعرضت لـ"حادثة أمنية". يأخذون "خصوصيتك على محمل الجد". يعملون مع "خبراء رائدين في الأمن السيبراني". يوصون بأن "تغير كلمة مرورك كإجراء احترازي".

ماذا يعني هذا فعلاً؟ ما الذي حدث لبياناتك؟ وما الذي يفعله هؤلاء المخترقون بها الآن؟

كيف يحدث الاختراق فعلاً

أكثر السيناريوهات شيوعاً، مرتبةً حسب التكرار:

حقن SQL — يجد المهاجم نموذجاً على الموقع (بحث، تسجيل دخول، تواصل) يمكنه من خلاله حقن أوامر قاعدة البيانات. بدلاً من اسم مستخدم، يكتب ' OR 1=1 --. تُرجع قاعدة البيانات كل شيء. هذه الثغرة موجودة منذ عقود ولا تزال الأكثر شيوعاً.

حشو بيانات الاعتماد — يأخذ المهاجمون كلمات المرور من اختراقات أخرى ويجربونها على الموقع المستهدف. إذا أعدت استخدام كلمة مرور من موقع اخترق عام 2019، فلدى المهاجم بيانات اعتمادك جاهزة للتجربة.

التصيد على موظف — يضغط شخص في الشركة على بريد إلكتروني مزيف مقنع، ويسلم بيانات اعتماده، ويحصل المهاجم الآن على وصول داخلي. بدأت كثير من الاختراقات الكبرى بنقرة تصيد من موظف واحد.

برامج غير مُحدَّثة — خادم يعمل بنسخة قديمة من إطار عمل أو مكتبة بها ثغرة معروفة. يستغلها المهاجم، يحصل على الوصول، يستخرج البيانات.

التهديد الداخلي — أقل شيوعاً لكنه حقيقي. موظف ساخط، مقاول بصلاحيات أكثر مما يجب.

ما الذي يسرقونه

ليست كل الاختراقات متشابهة. ما يستخرجه المهاجم يعتمد على ما كانت الشركة تخزنه:

المستوى الأول — الأسوأ (يُباع كثيراً بـ 20-200 ريال للسجل)

• الاسم الكامل + البريد الإلكتروني + الهاتف + تاريخ الميلاد + العنوان البريدي
• أرقام بطاقات الائتمان جزئياً أو كاملاً
• أرقام الهوية الوطنية
• كلمات المرور بنص صريح (نعم، لا يزال هذا يحدث)

المستوى الثاني — سيئ

• البريد الإلكتروني + كلمة المرور المشفرة (كما هو الحال عادةً)
• اسم المستخدم + بيانات وصفية للحساب
• سجل الشراء

المستوى الثالث — مزعج لكن محدود

• عنوان البريد الإلكتروني فقط
• عناوين IP

تصف إشعار الاختراق من الشركة عادةً ما تم كشفه. اقرأه بعناية.

ما الذي يحدث للبيانات بعد ذلك

الساعة 0 — الاستخراج

يقوم المهاجم بنسخ البيانات. قد يكون داخل النظام لأيام أو أشهر قبل أن يلاحظه أحد — متوسط "وقت الإقامة" قبل الاكتشاف هو 197 يوماً.

الأيام 1-7 — الاستخدام الشخصي أو البيع

يقوم المهاجم إما بـ:

• استخدام البيانات بنفسه (إذا كانت شركته المستهدفة أو أراد حسابات معينة)
• بيعها فوراً في أسواق الشبكة المظلمة لتحقيق أقصى قيمة من "الطزاجة"

الأسابيع 1-4 — الاختراق يصبح عاماً

تكتشفه الشركة (عبر أدوات أمنية، أو إشعار من باحث، أو طلب فدية) أو يظهر في منتدى للمخترقين. تُخطر الشركة المستخدمين — في أغلب الأحيان بعد أسابيع من الحادثة.

الأشهر 1-12 — حملات حشو بيانات الاعتماد

يجرب المهاجمون تركيبة البريد الإلكتروني + كلمة المرور الخاصة بك على الخدمات الرئيسية: Gmail، Netflix، PayPal، البنوك. تجرب الأدوات الآلية آلاف التركيبات في الدقيقة. إذا أعدت استخدام تلك كلمة المرور في أي مكان، ستُوجَد.

السنة الأولى وما بعدها — الذيل الطويل

بيانات الاختراق لا تنتهي صلاحيتها. يمكن استخدام اختراق عام 2018 لحملات التصيد عام 2026. يتم دمج بيانات من اختراقات متعددة ("إثراء البيانات") لبناء ملفات تعريف أكثر اكتمالاً للهجمات المستهدفة.

كيف يتم (ويجب) تخزين كلمات المرور

عندما تخزن شركة ما كلمة مرورك، لا ينبغي أبداً تخزين كلمة المرور الفعلية. تقوم بدلاً من ذلك بتخزين تجزئة — تحويل رياضي لا رجعة فيه.

• تحدد كلمة المرور: كلمة_المرور_123
• يقوم الموقع بتخزين: 6f3b56e15f5f9a5b... (تجزئة SHA-256)
• عند تسجيل الدخول: يقوم الموقع بتجزئة مدخلاتك ويقارن التجزئتين

المشكلة: ليست كل التجزئات متشابهة.

MD5 — سريع الحساب، سريع الاختراق. يمكن لوحدة معالجة رسوميات واحدة اختبار 10 مليارات تجزئة MD5 في الثانية. يمكن كسر قاعدة بيانات MD5 مخترقة تحتوي على 10 ملايين كلمة مرور في دقائق.

SHA-256 (بدون ملح) — أفضل، لكن لا يزال سريعاً. يمكن لجداول قوس قزح (قواعد بيانات التجزئات المحسوبة مسبقاً) كسر كلمات المرور الشائعة فوراً.

bcrypt / Argon2 — مصممة لتكون بطيئة. وحدة المعالجة الرسومية التي تكسر 10 مليارات تجزئة MD5 في الثانية يمكنها فقط كسر ~100 تجزئة bcrypt في الثانية. اختراق كلمات المرور المجزأة بـ bcrypt يستغرق أشهراً لا دقائق.

نص صريح — نعم، بعض الشركات لا تزال تخزن كلمات المرور بنص صريح. إذا قال إشعار الاختراق "كلمات المرور تعرضت للكشف" وليس "كلمات المرور المجزأة تعرضت للكشف"، فهذه إشارة تحذير.

ما يجب فعله عند تلقي البريد الإلكتروني

فوراً (أول 24 ساعة):

1. غير كلمة مرورك على ذلك الموقع — حتى لو أثر الاختراق فقط على كلمات المرور المجزأة
2. إذا كنت تستخدم نفس كلمة المرور في مكان آخر، غيرها هناك أيضاً — في كل مكان، في نفس اليوم
3. تحقق مما إذا كان الموقع يخزن بيانات حساسة (بطاقة، هوية) — إذا كان الأمر كذلك، راقب تقرير ائتمانك

خلال الأسبوع:

1. فعّل المصادقة الثنائية على الموقع المتأثر إذا لم تكن قد فعلت ذلك
2. تحقق من بريدك الإلكتروني عبر قاعدة بيانات HaveIBeenPwned لرؤية الحجم الكامل لتعرضك
3. أنشئ كلمة مرور جديدة وفريدة لكل موقع تجده مخترقاً (منشئ كلمات المرور)

على المدى البعيد:

1. استخدم كلمة مرور مختلفة لكل موقع — دائماً. مدير كلمات المرور يجعل هذا قابلاً للإدارة.
2. فعّل المصادقة الثنائية على البريد الإلكتروني — إنه مفتاح استرداد كل شيء آخر
3. فكر في تجميد الائتمان إذا تعرض رقم هويتك للكشف

الشيء الوحيد الذي يهم حقاً

إعادة استخدام كلمات المرور هي جذر معظم عمليات الاستيلاء على الحسابات بعد الاختراق. إذا كانت كلمة مرور LinkedIn الخاصة بك من عام 2012 هي نفسها كلمة مرور Gmail اليوم، فإن اختراقاً عمره 12 عاماً لا يزال تهديداً حالياً.

تحقق مما إذا كان بريدك الإلكتروني في اختراق. إذا كان كذلك، تعامل مع كل كلمة مرور كنت تستخدمها في ذلك الوقت على أنها مخترقة — وأنشئ كلمات مرور جديدة.