ملخص الرسالة: إن العمل على إعداد إشعار الاختراق أثناء حدوث خرق هو وصفة للكارثة.
في ديسمبر 2018، تعرضت Booking.com لاختراق أمني، حيث تم استغلالها من خلال هجوم التصيد الصوتي (Vishing ). لمن لا يعرف، التصيد الصوتي هو أسلوب اختراق يتم فيه انتحال صفة شركات موثوقة عبر المكالمات الهاتفية ورسائل البريد الصوتي، لإقناع المستخدمين بتقديم معلومات شخصية حساسة، مثل بياناتهم المصرفية وأرقام بطاقات الائتمان وغيرها . يشبه هذا الأسلوب التصيد الاحتيالي والتصيد عبر الرسائل النصية ، ولكنه يستخدم أنظمة الهاتف والبريد الصوتي بدلاً من البريد الإلكتروني أو الرسائل النصية. تكمن أهمية هذا الاختراق ليس في الاختراق نفسه، بل في الغرامات اللاحقة التي فرضتها هيئة حماية البيانات الهولندية. تابع القراءة لمعرفة أسباب فرض هذه الغرامات.
بحسب التقرير، استهدف الهجوم فنادق في الإمارات العربية المتحدة، مستخدماً أساليب الهندسة الاجتماعية عبر الهاتف. اتصل المخترقون بموظفين في 40 فندقاً مختلفاً في المنطقة، وأقنعوهم بتسليم بيانات تسجيل الدخول لحساباتهم الفندقية على نظام Booking.com.
باستخدام هذه البيانات المسروقة، استولى "القراصنة" على بيانات 4109 حجزًا للعملاء، بما في ذلك أسماء العملاء وعناوينهم وأرقام هواتفهم. كما استولى المجرمون على بيانات بطاقات ائتمان من 283 من هذه الحجوزات. حتى أنهم سرقوا 97 رمز CVV (رمز مكون من 3 أرقام على ظهر البطاقة) والذي لا ينبغي حفظه في أي نظام إلكتروني!
وأشارت مونيك فيردييه، نائبة رئيس هيئة حماية البيانات الهولندية، في تقرير الهيئة عن الاختراق:
من خلال انتحال صفة موظفي الفندق عبر رسائل البريد الإلكتروني أو الهاتف، حاولوا سرقة أموال الناس. قد يبدو هذا الأسلوب موثوقًا للغاية إذا كان المحتال يعرف بالضبط موعد حجزك ونوع الغرفة التي حجزتها، ثم يطلب منك دفع ثمن الليالي المذكورة. بهذه الطريقة، يُمكن سرقة مبالغ كبيرة من المال.
كل ما ناقشناه حتى هذه النقطة في هذه المقالة يشرح كيفية حدوث معظم الاختراقات. قليلٌ جدًا من الشركات التي تعرضت للاختراق تتلقى غرامات حكومية إضافية، فما الذي تسبب في ذلك؟
فرضت هيئة تنظيم حماية البيانات الهولندية غرامة على موقع Booking.com بلغت حوالي نصف مليون يورو ليس بسبب حدوث خرق، ولكن لأن الشركة لم تبلغ عن الخرق بالسرعة الكافية :
فرضت هيئة حماية البيانات الهولندية (DPA) غرامة قدرها 475,000 يورو على Booking.com لتأخرها في الإبلاغ عن اختراق بياناتها. عند وقوع الاختراق، حصل المجرمون على البيانات الشخصية لأكثر من 4,000 عميل، كما حصلوا على معلومات بطاقات ائتمان لما يقرب من 300 شخص.
لدى شركات الاتحاد الأوروبي مهلة 72 ساعة للإبلاغ عن أي اختراق من وقت تأكيد حدوثه. مع أن Booking.com كانت تعلم بوقوع تسريب في 13 يناير، إلا أنها ربما لم تكن على علم بمدى الاختراق الذي يتطلب إخطارًا حكوميًا. مع ذلك، في يناير، وتحديدًا في الوقت الذي أكدت فيه Booking.com أن الاختراق أثر على أكثر من 500 سجل، كان عليها إخطار هيئة حماية البيانات خلال 72 ساعة. ولم تفعل ذلك، ولذلك غُرِّمت بشدة.
فيما يتعلق بالإبلاغ عن الاختراق، من الضروري للغاية إخطار المستخدمين المتضررين والجهات المختصة، مثل هيئة حماية البيانات في هولندا، على وجه السرعة. منذ عام ٢٠٠٢، سُنّت قوانين لا حصر لها لحماية خصوصية البيانات في جميع أنحاء العالم. لدى الولايات المتحدة مجموعة متنوعة من قوانين حماية خصوصية البيانات لكل ولاية، ولكن لا يوجد قانون فيدرالي ساري المفعول. عند إعدادك لعملية الإبلاغ عن الاختراق، إذا كنت تتعامل تجاريًا دوليًا، ستحتاج إلى مراعاة اللوائح التالية:
توصي CyberHoot بمعرفة القوانين المؤثرة على شركتك وإعداد وثيقة عملية لإخطارك بالخرق تعكس هذه القوانين. لا تنسَ اختبار العملية سنويًا أيضًا.
إلى جانب وضع آلية للإبلاغ عن الاختراقات، هناك العديد من الإجراءات الأخرى التي يمكن لشركتك اتخاذها للحد من خطر الاختراقات. توصي CyberHoot بالتدابير الأساسية التالية لمواجهة الاختراقات:
يتعرض الجميع للاختراق هذه الأيام. لا يُغرّم الجميع لعدم إبلاغ السلطات المختصة بالسرعة الكافية. توصي Cyberhoot بمشاهدة الفيديوين أدناه لمعرفة كيفية إنشاء عملية إبلاغ عن أي خرق لأي لائحة يجب عليك الالتزام بها.
مصادر:
ويكيبيديا - قوانين الإخطار بالانتهاكات
قراءة إضافية:
اكتشف وشارك أحدث اتجاهات الأمن السيبراني والنصائح وأفضل الممارسات - إلى جانب التهديدات الجديدة التي يجب الحذر منها.
المؤلفة: كاتي بوكيتي | الافتتاحية: كريغ تايلور افتتاحية بقلم كريغ تايلور: حتى قبل أن يصنع كلود كود...
اقراء المزيد
المؤلفة: كاتي بوكيتي | الافتتاحية: كريج تايلور افتتاحية بقلم كريج تايلور: لقد عرفنا ذلك منذ فترة...
اقراء المزيد
المؤلفة: كاتي بوكيتي | افتتاحية: كريغ تايلور افتتاحية بقلم كريغ تايلور: يجب أن يختبر اختبار CAPTCHA ما إذا...
اقراء المزيداحصل على نظرة أكثر حدة للمخاطر البشرية، من خلال النهج الإيجابي الذي يتفوق على اختبار التصيد التقليدي.
