تسريب بيانات مليار شخص من الصين لمدة عام كامل

مجلة رونق - قاعدة بيانات ضخمة على الإنترنت تحتوي على ما يبدو على معلومات شخصية لما يصل إلى مليار مواطن صيني تُركت غير آمنة ويمكن الوصول إليها للجمهور لأكثر من عام - إلى أن عرض مستخدم مجهول في منتدى قراصنة بيع البيانات ولفت انتباه أوسع الأسبوع الماضي .

يقول خبراء الأمن السيبراني إن التسريب قد يكون أحد أكبر التسريبات التي تم تسجيلها في التاريخ ، مما يسلط الضوء على مخاطر جمع وتخزين كميات هائلة من البيانات الشخصية الحساسة عبر الإنترنت - لا سيما في بلد تتمتع فيه السلطات بوصول واسع وغير مراقب إلى هذه البيانات.

تم الوصول إلى الكم الهائل من البيانات الشخصية الصينية للجمهور عبر ما بدا أنه رابط خلفي غير آمن - عنوان ويب مختصر يوفر وصولاً غير مقيد لأي شخص على دراية به - منذ أبريل 2021 على الأقل ، وفقًا لموقع LeakIX ، يكتشف ويفهرس قواعد البيانات المكشوفة عبر الإنترنت.

تم إغلاق الوصول إلى قاعدة البيانات ، التي لا تتطلب كلمة مرور ، بعد أن أعلن مستخدم مجهول عن أكثر من 23 تيرابايت (TB) من البيانات للبيع مقابل 10 بيتكوين - ما يقرب من 200000 دولار - في منشور على منتدى للقراصنة يوم الخميس الماضي .

ادعى المستخدم أن قاعدة البيانات جمعتها شرطة شنغهاي واحتوت على معلومات حساسة عن مليار مواطن صيني ، بما في ذلك أسمائهم وعناوينهم وأرقام هواتفهم المحمولة وأرقام هويتهم الوطنية وأعمارهم وأماكن ميلادهم ، بالإضافة إلى مليارات من سجلات المكالمات الهاتفية التي تم إجراؤها للشرطة للإبلاغ عن المنازعات المدنية والجرائم.

تم تضمين عينة من 750.000 إدخال بيانات من الفهارس الرئيسية الثلاثة لقاعدة البيانات في منشور البائع. تحققت CNN من صحة أكثر من عشرين إدخالاً من العينة التي قدمها البائع ، لكنها لم تتمكن من الوصول إلى قاعدة البيانات الأصلية.

لم تستجب حكومة شنغهاي وإدارة الشرطة لطلبات CNN الخطية المتكررة للتعليق.

كما ادعى البائع أن قاعدة البيانات غير المؤمنة قد استضافتها Alibaba Cloud ، وهي شركة تابعة لعملاق التجارة الإلكترونية الصيني Alibaba. عندما اتصلت شبكة سي إن إن للتعليق يوم الاثنين ، قالت علي بابا "نحن ندرس ذلك" وسوف ننقل أي تحديثات. وقالت علي بابا يوم الأربعاء إنها رفضت التعليق.

لكن الخبراء الذين تحدثت معهم سي إن إن قالوا إن صاحب البيانات هو المخطئ ، وليس الشركة التي تستضيفها.

قال تروي هانت ، أحد خبراء مايكروسوفت: "كما هو الحال اليوم ، أعتقد أن هذا سيكون أكبر تسريب للمعلومات العامة حتى الآن - بالتأكيد من حيث اتساع نطاق التأثير في الصين ، نحن نتحدث عن معظم السكان هنا". المدير الإقليمي في أستراليا.

يبلغ عدد سكان الصين 1.4 مليار شخص ، مما يعني أن اختراق البيانات قد يؤثر على أكثر من 70٪ من السكان.

قال هانت: "إنها حالة قليلاً حيث لن يتمكن الجني من العودة إلى الزجاجة. بمجرد أن تظهر البيانات بالشكل الذي يبدو عليه الآن ، فلا عودة إلى الوراء".

من غير الواضح عدد الأشخاص الذين تمكنوا من الوصول إلى قاعدة البيانات أو تنزيلها خلال الـ 14 شهرًا أو أكثر التي تُركت متاحة للجمهور على الإنترنت. كان اثنان من خبراء الأمن السيبراني الغربيين الذين تحدثوا إلى CNN على دراية بوجود قاعدة البيانات قبل أن يتم تسليط الضوء عليها الأسبوع الماضي ، مما يشير إلى أنه يمكن اكتشافها بسهولة من قبل الأشخاص الذين يعرفون مكان البحث.

قال فيني ترويا ، الباحث في مجال الأمن السيبراني ومؤسس شركة Shadowbyte لاستخبارات الويب المظلم ، إنه اكتشف قاعدة البيانات لأول مرة "في يناير" تقريبًا أثناء البحث عن قواعد بيانات مفتوحة على الإنترنت.

وقال ترويا: "الموقع الذي وجدته فيه عام ، ويمكن لأي شخص الوصول إليه ، وكل ما عليك فعله هو التسجيل للحصول على حساب". وأضاف: "منذ افتتاحه في أبريل 2021 ، كان بإمكان أي عدد من الأشخاص تنزيل البيانات".

قال ترويا إنه قام بتنزيل أحد الفهارس الرئيسية لقاعدة البيانات ، والتي يبدو أنها تحتوي على معلومات حول ما يقرب من 970 مليون مواطن صيني. لكنه قال إنه كان من الصعب الحكم على ما إذا كان الوصول المفتوح كان إشرافًا من مالكي قاعدة البيانات ، أو ما إذا كان اختصارًا مقصودًا يُقصد مشاركته بين عدد قليل من الأشخاص.

وقال "إما أنهم نسوا الأمر أو تركوه مفتوحا عمدا لأنه يسهل عليهم الوصول إليه" ، في إشارة إلى السلطات المسؤولة عن قاعدة البيانات. "لا أعرف لماذا يفعلون ذلك. يبدو الأمر مهملاً للغاية."

البيانات الشخصية غير المؤمنة - المكشوفة من خلال التسريبات أو الاختراقات أو شكل من أشكال عدم الكفاءة - هي مشكلة شائعة بشكل متزايد تواجهها الشركات والحكومات في جميع أنحاء العالم ، ويقول خبراء الأمن السيبراني إنه ليس من غير المعتاد العثور على قواعد البيانات التي تُترك مفتوحة للوصول العام .

في عام 2018 ، اكتشفت Trioa أن شركة تسويق مقرها فلوريدا كشفت ما يقرب من 2 تيرابايت من البيانات التي يبدو أنها تتضمن معلومات شخصية عن مئات الملايين من البالغين الأمريكيين على خادم يمكن الوصول إليه للجمهور ، وفقًا لـ Wired.

في عام 2019 ، وجد فيكتور جيفرز ، الباحث الهولندي في مجال الأمن السيبراني ، قاعدة بيانات على الإنترنت تحتوي على الأسماء وأرقام الهوية الوطنية وتواريخ الميلاد وبيانات الموقع لأكثر من 2.5 مليون شخص في منطقة شينجيانغ الواقعة في أقصى غرب الصين ، والتي تركها الصينيون دون حماية لأشهر. شركة SenseNets Technology ، وفقًا لرويترز.

يقول باحثو الأمن السيبراني إن تسريب البيانات الأخير مثير للقلق بشكل خاص ، ليس فقط بسبب حجمها غير المسبوق المحتمل ، ولكن أيضًا بسبب الطبيعة الحساسة للمعلومات الواردة.

وجد تحليل CNN لعينة قاعدة البيانات سجلات الشرطة للحالات التي امتدت لما يقرب من عقدين من 2001 إلى 2019. في حين أن غالبية الإدخالات عبارة عن نزاعات مدنية ، إلا أن هناك أيضًا سجلات للقضايا الجنائية تتراوح من الاحتيال إلى الاغتصاب.

في إحدى الحالات ، استدعت الشرطة أحد سكان شنغهاي في عام 2018 لاستخدامه شبكة افتراضية خاصة (VPN) للتهرب من جدار الحماية الصيني والوصول إلى Twitter ، وزعم أنه أعاد تغريد "ملاحظات رجعية تتعلق بالحزب (الشيوعي) والسياسة والقادة".

وفي سجل آخر ، اتصلت أم بالشرطة عام 2010 ، متهمة والد زوجها باغتصاب ابنتها البالغة من العمر 3 سنوات.

قال هانت ، المدير الإقليمي لمايكروسوفت: "يمكن أن يكون هناك عنف منزلي ، وإساءة معاملة الأطفال ، وكل أنواع الأشياء هناك ، وهذا بالنسبة لي هو أكثر إثارة للقلق".

"هل يمكن أن يؤدي هذا إلى الابتزاز؟ غالبًا ما نرى ابتزازًا للأفراد بعد تسرب البيانات ، أمثلة حيث يمكن للقراصنة حتى محاولة فدية الأفراد."

كثفت الحكومة الصينية مؤخرًا جهودها لتحسين حماية خصوصية بيانات المستخدم عبر الإنترنت. في العام الماضي ، أصدرت الدولة أول قانون لحماية المعلومات الشخصية ، ووضع القواعد الأساسية حول كيفية جمع البيانات الشخصية واستخدامها وتخزينها. لكن الخبراء أثاروا مخاوف من أنه في حين أن القانون يمكن أن ينظم شركات التكنولوجيا ، فقد يكون من الصعب تطبيقه عند تطبيقه على الدولة الصينية.

وصل بوب دياتشينكو ، الباحث الأمني ​​المقيم في أوكرانيا ، إلى قاعدة البيانات لأول مرة في أبريل. في منتصف يونيو ، اكتشفت شركته أن قاعدة البيانات تعرضت للهجوم من قبل فاعل ضار مجهول ، قام بتدمير البيانات ونسخها وترك مذكرة فدية تطالب بـ 10 بيتكوين لاستعادتها ، على حد قول دياتشينكو.

ليس من الواضح ما إذا كان هذا من عمل نفس الشخص الذي أعلن عن بيع معلومات قاعدة البيانات الأسبوع الماضي.

بحلول 1 يوليو ، اختفت مذكرة الفدية ، وفقًا لـ Diachenko ، لكن 7 غيغابايت فقط من البيانات المتاحة - بدلاً من 23 تيرابايت المعلن عنها في الأصل.

وقالت دياتشينكو إنها أشارت إلى أنه تم حل الفدية ، لكن مالكي قاعدة البيانات استمروا في استخدام قاعدة البيانات المكشوفة للتخزين ، حتى تم إغلاقها في نهاية الأسبوع.

وقال "ربما كان هناك مطور مبتدئ لاحظ ذلك وحاول إزالة الملاحظات قبل أن تلاحظها الإدارة العليا".

لم تستجب شرطة شنغهاي لطلب CNN للتعليق على مذكرة الفدية.