اختراق قاعدة بيانات تطبيق "Timehop" مما أدى لتسريب بيانات 21 مليون مستخدم

كشفت الشركة المالكة لتطبيق Timehop عن حدوث اختراق بقاعدة بيانات مستخدمي التطبيق أدى إلى تسريب البيانات الشخصية ل 21 مليون مستخدم، وتتضمن هذه البيانات أسماء المستخدمين وعناوين البريد الإلكتروني، كما أن حوالي خمس المستخدمين المتأثرين بهذا الاختراق أي ما يعادل 4.7 مليون مستخدم- كانت حساباتهم تحتوي على أرقام هواتفهم الخاصة.
الجدير بالذكر أن تطبيق تايم هوب يعيد إظهار صورك ومشاركاتك القديمة التي تعود لسنوات على مواقع التواصل الإجتماعي مثل تويتر و فيسبوك وإنستجرام عن طريق الاتصال بملفات التعريف الخاصة بهذه المواقع.
وقالت الشركة الناشئة التي دمجت خدماتها في حسابات التواصل الاجتماعي للمستخدمين لإعادة نشر المشاركات والصور القديمة "إنها اكتشفت الهجوم أثناء عملها يوم 4 من الشهر الجاري، وقد تمكن مهندسو الشركة خلال ساعتين بتنفيذ إجراءات أمنية لإحباط هذا الاختراق واستعادة الخدمات وتأمينها".
ووفقًا للتحقيقات الأولية في الحادث والتي أعلنت عنها الشركة، فقد قام المهاجم أولاً بالوصول إلى مزود الحوسبة السحابية لتطبيق Timehop في 19 ديسمبر من عام 2017 باستخدام أوراق اعتماد مسؤول إداري مخترق، ووقام بإنشاء حساب مستخدم إداري جديد، وبدأ في إجراء أنشطة استطلاع داخل بيئة الحوسبة السحابية، وكرر ذلك مرتين متتالين الأولى في يوم واحد مارس 2018، والثانية في يوم واحد يونيو 2018، ثم في يوم 4 يوليو 2018 قام بتنفيذ أنشطة هجومية على قاعدة حفظ ونقل بيانات المستخدمين. وقد كشفت الشركة عن تفاصيل الاختراق في منشور على مدونتها يوم السبت الماضي، بعد عدة أيام من اكتشاف الهجوم.
أعلنت الشركة في منشورها أنها تلتزم بالشفافية والحرص على تزويد جميع مستخدميها وشركائها بالمعلومات التي يحتاجون إليها لفهم ما حدث، قائلة: "تم اختراق بعض البيانات والتي تشمل الأسماء، وعناوين البريد الإلكتروني، وبعض أرقام الهواتف، وهذا سيؤثر على حوالي 21 مليون مستخدم. في حين لم تتأثر أي بيانات أخري مثل الرسائل الخاصة أو البيانات المالية أو محتوى وسائل التواصل الاجتماعي أو بيانات Timehop، وللتأكيد لم يتم الوصول إلى أي من ذكرياتك الرقمية – منشورات وسائل التواصل الاجتماعي والصور- التي تخزنها على تطبيق تايم هوب Timehop".
لكن المفاتيح التي تسمح للمستخدمين بقراءة وعرض محتوى حسابات وسائل التواصل الاجتماعي الخاصة بهم قد تم اختراقها، لذلك فقد تم إلغاء تنشيط جميع المفاتيح وهذا يعني أن مستخدمي Timehop سوف يضطرون إلى إعادة المصادقة على التطبيق للاستمرار في استخدام الخدمة.
وأضافت: "إذا كنت قد لاحظت أي محتوى لا يتم تحميله، فذلك لأن Timehop ألغى ذلك بشكل استباقي، ربما لاحظت أن حسابك على التطبيق قد قام بتسجيل الخروج، لقد قمنا بذلك بحرص شديد لإعادة ضبط جميع المفاتيح، ونحن ليس لدينا أي دليل على أنه تم الوصول إلى أي حسابات دون إذن".
كما اعترفت الشركة بأنه يمكن نظريًا للمستخدمين الغير مُصرح لهم دخول الموقع أن يستخدموا الرموز التأمنية للوصول إلى حسابات مواقع التواصل الاجتماعي الخاصة بمستخدمي Timehop من خلال نافذة زمنية قصيرة، ولكنها أوضحت أن هذه الرموز لا تمنح أحداً بما في ذلك Timehop حق الوصول إلى فيسبوك ماسنجر أوالرسائل على تويتر أو إنستجرام أو الأشياء التي ينشرها أصدقاؤك على خلاصة الأخبار الخاصة بك على فيسبوك. حيث أن Timehop لديه فقط حق الوصول إلى مشاركات وسائل التواصل الاجتماعي التي تنشرها بنفسك في ملفك الشخصي.
كان الضرر من هذا الاختراق محدودًا بسبب التزام الشركة طويل الأمد باستخدام البيانات التي تحتاجها فقط لتوفير خدماتها. حيث لم تخزن Timehop بطاقة الائتمان الخاصة بالمستخدمين أو أي بيانات مالية أو بيانات مواقع أو عناوين IP، كما لم يتم تخزين نسخ من ملفات تعريف وسائل التواصل الاجتماعي الخاصة بهم، بل تقوم الشركة بفصل معلومات المستخدم عن محتوى وسائل التواصل الاجتماعي، وتقوم بحذف نسخها من الذكريات الخاصة بك بعد رؤيتك لها.
من حيث كيفية الوصول إلى شبكتها يبدوأن المهاجم تمكن من اختراق بيئة الحوسبة السحابية في Timehop من خلال استهداف حساب غير محمي بواسطة المصادقة متعددة العوامل Multi-factor Authentication.
من الواضح أن هذا فشل أمني كبير، ولكن لم تشرح الشركة بشكل صريح كيف حدث ذلك، فقط كتبت في منشورها: "لقد اتخذنا الآن خطوات تتضمن مصادقة متعددة العوامل لتأمين تفويضنا والتحكم في الوصول إلى جميع الحسابات".
كان جزءًا من الاستجابة الرسمية للحوادث التي تقول الشركة إنها بدأت في 5 يوليو، هو إضافة مصادقة متعددة العوامل إلى "جميع الحسابات التي لم تكن موجودة بالفعل بجميع الخدمات المستندة إلى الحوسبة السحابية (ليس فقط في مقدم خدمة الحوسبة السحابية)". لذا من الواضح أنه كان هناك أكثر من حساب غير مُؤمن تم استهدافه من قبل المهاجمين، لذلك سيكون فريقها التنفيذي مطالبًا بتفسير سبب عدم تطبيق المصادقة متعددة العوامل على جميع حسابات السحابة الخاصة بها.
وأعلنت الشركة إنه في الوقت نفسه الذي كنا نعمل فيه لإيقاف الهجوم وتشديد الأمن تواصلنا مع خبراء الأمن ومحترفي الاستجابة للحوادث، ومسؤولي إنفاذ القانون المحليين والاتحاديين للإبلاغ عن الاختراق، كما عملنا مع موفري وسائل التواصل الاجتماعي لدينا لضمان تقليل التأثير على مستخدمينا، ولكن من غير الواضح حتى الآن هل تم إبلاغ المستخدمين الذين تم اختراق بياناتهم أم لا؟
نشرت الشركة منشور مدونتها الذي كشفت فيه عن الاختراق الأمني على حسابها بموقع تويتر في يوم 8 يوليو / تموز. ولكن قبل ذلك كان حسابها على تويتر يؤكد فقط أن بعض أعمال الصيانة غير المجدولة قد تسببت في حدوث مشاكل للمستخدمين الذين يسجلون الدخول إلى التطبيق.
من متطلبات لائحة حماية البيانات GDPR -التي دخلت حيز التنفيذ مؤخرًا- وضع المسؤولية بشكل ثابت على أجهزة التحكم في البيانات للكشف عن الانتهاكات للسلطات الإشرافية وللقيام بذلك بسرعة، مع وضع معيار عالمي لفترة الإبلاغ بحيث تكون خلال 72 ساعة من لحظة اكتشاف الاختراق.
تشير شركة Timehop إلى لائحة حماية البيانات في منشورها قائلة: "على الرغم من أن لائحة حماية البيانات مبهمة فيما يخص هذا النوع من الاختراقات -حيث يجب أن يؤدي الخلل إلى خطر على حقوق الأفراد وحرياتهم، ولكننا كنا مبادرين وابلغنا جميع مستخدمي الاتحاد الأوروبي وقد قمنا بذلك في أسرع وقت ممكن، كما حافظنا على عملنا بشكل جيد مع المتخصصين لدينا في لائحة حماية البيانات GDPR لمساعدتنا في هذا الأمر".
كما قالت الشركة أنها اشتركت في خدمات شركة استخبارات للتهديد الإلكتروني للبحث عن أدلة على استخدام عناوين البريد الإلكتروني وأرقام الهواتف وأسماء المستخدمين التي تم اختراقها أو استخدامهم على الإنترنت وعلى شبكة الويب المظلمة Dark Web، وحتى الآن لم يظهر أي منهم، ولكن المرجح أن يظهروا قريباً.