اختراق بيانات زارا: البيانات المكشوفة وطريق ShinyHunters المزعوم

الصورة الأوضح حتى الآن أن ما حدث مع زارا هو تسرّب بيانات عبر طرف ثالث. فقد ربطت إنديتكس (Inditex)، الشركة الأم لزارا، الحادث بوصول غير مصرّح به لدى مزوّد تقني سابق، بينما قدّرت تقارير إشعار الاختراقات عدد المتأثرين بنحو 197,400 شخص.

المهم للمستخدم العادي: التقارير الحالية لا تشير إلى تسرب كلمات مرور أو بيانات بطاقات دفع، لكنها تتحدث عن بيانات تكفي لجعل رسائل الاحتيال أكثر إقناعًا، خصوصًا إذا بدت كأنها مرتبطة بطلب حقيقي من زارا.

ما البيانات الشخصية التي كُشفت؟

أدرجت خدمة Have I Been Pwned، وهي قاعدة بيانات شائعة للتحقق من ظهور البريد الإلكتروني في تسريبات معروفة، حادث زارا على أنه طال أكثر من 197 ألف شخص، فيما ذكرت عدة تقارير رقم 197,400 سجل.

وبحسب التقارير، شملت الحقول المكشوفة ما يلي:

• عناوين البريد الإلكتروني.
• السوق الجغرافي أو بيانات مرتبطة بالموقع.
• معلومات الشراء والطلبات، بما في ذلك أرقام الطلبات والمنتجات أو رموز تعريف المنتجات SKU في بعض التقارير.
• بيانات تذاكر الدعم وخدمة العملاء.

هذه التركيبة هي سبب القلق. فالمهاجم لا يحتاج دائمًا إلى كلمة مرور كي يسبب ضررًا؛ أحيانًا يكفيه بريد إلكتروني حقيقي مع إشارة إلى سوق أو طلب أو منتج أو تذكرة دعم حتى تبدو الرسالة المزيفة وكأنها صادرة من جهة موثوقة. وقد حذّر تحليل Cloaked من أن هذه التفاصيل قد تغذي محاولات تصيد واحتيال للسيطرة على الحسابات حتى من دون كلمات مرور أو أرقام بطاقات.

ما الذي لم يُبلّغ عن تسربه؟

بحسب ما نُقل عن إنديتكس، لم يتم الوصول إلى كلمات المرور أو معلومات بطاقات الدفع. كما ذكر تقرير Daily.dev أن الأسماء وأرقام الهاتف والعناوين وبيانات الاعتماد وبيانات الدفع لم تتعرض للاختراق.

مع ذلك، يجب قراءة هذه النقطة بتحفّظ: إنديتكس لم تنشر حتى الآن تفصيلًا تقنيًا كاملًا للحادث أو تقريرًا جنائيًا شاملًا يوضح كل المسارات والبيانات المتأثرة.

لذلك لا يبدو الحادث، وفق المعطيات الحالية، اختراقًا لبطاقات الدفع. الخطر الأقرب هو الهندسة الاجتماعية: رسالة بريد أو رسالة نصية تزعم وجود مشكلة في طلب زارا، أو استرداد أموال، أو عطل في التوصيل، أو تذكرة دعم بحاجة إلى متابعة.

كيف وصلت ShinyHunters إلى البيانات بحسب التقارير؟

الرواية التي أكّدتها إنديتكس تشير إلى أن نقطة الضعف كانت خارج بنيتها الداخلية: وصول غير مصرّح به إلى قواعد بيانات مستضافة لدى مزوّد تقني سابق أو متعاقد خارجي.

بعد ذلك ربطت تقارير أمنية الحادث بمجموعة الابتزاز الإلكتروني ShinyHunters. فقد ذكر BleepingComputer أن المجموعة أعلنت مسؤوليتها وسرّبت أرشيفًا قالت إنه مأخوذ من بيئات BigQuery باستخدام رموز مصادقة مخترقة مرتبطة بـ Anodot. كما عرّفت تقارير أخرى Anodot، وهي مزوّد تحليلات، بوصفها المسار المزعوم عبر الطرف الثالث للوصول إلى بيانات عملاء downstream.

بعبارة أبسط: المسار المبلغ عنه لا يبدو كأنه اختراق مباشر لصفحة الدفع في زارا. السيناريو الأقرب في التقارير هو الحصول على رموز مصادقة صالحة لطرف ثالث، ثم استخدامها للوصول إلى بيئات بيانات سحابية متصلة مثل BigQuery، وبعد ذلك استخراج البيانات الموجودة هناك. هذا ينسجم مع قول إنديتكس إن الحادث بدأ لدى مزوّد سابق لا داخل أنظمتها مباشرة.

ما الذي لا يزال غير محسوم؟

السجل العلني المتاح لا يساوي تقريرًا جنائيًا كاملًا. أشار BleepingComputer إلى أن إنديتكس وزارا لم تكشفا كل تفاصيل الحادث، بما في ذلك العدد الرسمي النهائي للمتأثرين.

كذلك فإن طريقة الوصول المنسوبة إلى ShinyHunters تعتمد جزئيًا على ادعاءات الجهة المهاجمة وتقارير أمنية ثانوية، لا على بيان تقني رسمي كامل من الشركة. لذلك ينبغي التعامل معها باعتبارها التفسير الأبرز المتداول حاليًا، لا نتيجة فنية مؤكدة بالكامل.

هناك أيضًا اختلاف في حجم الأرشيف المزعوم: BleepingComputer وDaily.dev ذكرا أرشيفًا بحجم 140 غيغابايت، بينما نقل Cork Safety Alerts ادعاءً من ShinyHunters بوجود 192 غيغابايت من بيانات مأخوذة من بيئات BigQuery السحابية. بالنسبة إلى العملاء، الرقم الأكثر فائدة عمليًا هو عدد السجلات التي أوردتها Have I Been Pwned: نحو 197,400 إدخال متأثر.

ماذا ينبغي على عملاء زارا فعله الآن؟

إذا كان بريدك الإلكتروني قد يكون ضمن البيانات، تعامل بحذر مع أي رسالة غير متوقعة تتعلق بزارا. لا تضغط على روابط في رسائل تتحدث عن استرداد أموال، أو مشكلة توصيل، أو فشل دفع، أو مكافآت ولاء، أو تذكرة دعم. الأفضل دائمًا الدخول مباشرة إلى موقع زارا الرسمي أو التطبيق بدل اتباع رابط داخل رسالة.

ولا تفترض أن الرسالة آمنة لمجرد أنها تعرف رقم طلب أو منتجًا اشتريته؛ فبعض هذه التفاصيل قد تكون ضمن البيانات المكشوفة بحسب التقارير.

وبما أن التقارير الحالية تقول إن كلمات المرور وبيانات بطاقات الدفع لم يتم الوصول إليها، فاستبدال البطاقات على نطاق واسع ليس الخطوة الأولى الواضحة بناءً على المعلومات المعروفة. لكن إذا كنت تعيد استخدام كلمة المرور نفسها في أكثر من متجر أو حساب، فغيّرها، وفعّل المصادقة متعددة العوامل حيثما كانت متاحة.

لماذا يتجاوز الأمر زارا؟

تكشف الحادثة كيف يمكن لاتصالات التحليلات والبيانات السحابية لدى الأطراف الثالثة أن تفتح بابًا لتسرب بيانات العملاء، حتى عندما تقول الشركة إن أنظمتها الأساسية لم تُخترق مباشرة.

بالنسبة إلى فرق الأمن، يذكّر المسار المبلغ عنه بأهمية ضوابط معروفة: إلغاء وصول المورّدين السابقين، تدوير رموز المصادقة، تقليل صلاحيات مستودعات البيانات السحابية، مراقبة عمليات التصدير غير المعتادة، وتدقيق الجهات القادرة على الوصول إلى مجموعات بيانات العملاء.

الخلاصة: البيانات المكشوفة في حادث زارا تبدو أضيق من اختراق كلمات مرور أو بطاقات دفع، لكنها لا تزال شخصية بما يكفي لإساءة استخدامها. الخطر ليس فقط في ما تسرّب، بل في أن اتصالًا عبر طرف ثالث جعل بيانات عملاء علامة تجارية عالمية قابلة للوصول من الأساس.