حشو بيانات الاعتماد

يُعدّ هجوم حشو بيانات الاعتماد نوعًا من الهجمات الإلكترونية ، حيث يقوم المهاجم بجمع بيانات اعتماد حسابات مسروقة ، تتألف عادةً من قوائم بأسماء المستخدمين أو عناوين البريد الإلكتروني وكلمات المرور المقابلة (غالبًا من اختراق بيانات )، ثم يستخدم هذه البيانات للوصول غير المصرح به إلى حسابات المستخدمين على أنظمة أخرى من خلال طلبات تسجيل دخول آلية واسعة النطاق موجهة ضد تطبيق ويب . ^{[ 1 ]} على عكس هجوم اختراق بيانات الاعتماد، لا يحاول هجوم حشو بيانات الاعتماد استخدام أسلوب التخمين العشوائي أو تخمين كلمات المرور، بل يقوم المهاجم ببساطة بأتمتة عمليات تسجيل الدخول لعدد كبير (من آلاف إلى ملايين) من أزواج بيانات الاعتماد المكتشفة مسبقًا باستخدام أدوات أتمتة الويب القياسية مثل Selenium و cURL و PhantomJS، أو أدوات مصممة خصيصًا لهذا النوع من الهجمات، مثل Sentry MBA وSNIPR وSTORM وBlackbullet وOpenbullet. ^{[ 2 ] [ 3 ] [ 4 ]}

تُعدّ هجمات حشو بيانات الاعتماد ممكنة لأن العديد من المستخدمين يعيدون استخدام نفس اسم المستخدم وكلمة المرور عبر مواقع متعددة، حيث أفاد استطلاع رأي أن 81% من المستخدمين أعادوا استخدام كلمة مرور واحدة عبر موقعين أو أكثر، وأن 25% منهم يستخدمون نفس كلمات المرور في أغلب حساباتهم. ^{[ 5 ]} في عام 2017، أصدرت لجنة التجارة الفيدرالية الأمريكية (FTC) بيانًا استشاريًا يقترح إجراءات محددة يتعين على الشركات اتخاذها لمكافحة حشو بيانات الاعتماد، مثل الإصرار على استخدام كلمات مرور آمنة والحماية من الهجمات. ^{[ 6 ]} ووفقًا لشومان غوسماجومدر ، المسؤول السابق عن مكافحة الاحتيال في نقرات جوجل ، تصل نسبة نجاح هجمات حشو بيانات الاعتماد إلى 2%، ما يعني أن مليون بيانات اعتماد مسروقة يمكن أن تُعطّل أكثر من 20,000 حساب. ^{[ 7 ]} وذكرت مجلة Wired أن أفضل طريقة للحماية من حشو بيانات الاعتماد هي استخدام كلمات مرور فريدة للحسابات (مثل تلك التي يُنشئها مدير كلمات المرور تلقائيًا )، وتفعيل المصادقة الثنائية ، وقيام الشركات باكتشاف هجمات حشو بيانات الاعتماد وإيقافها. ^{[ 8 ]}

يحدث تسريب بيانات الاعتماد، والذي يُشار إليه أيضًا باختراق البيانات أو تسريبها، عندما يحصل أفراد أو مجموعات غير مصرح لهم على بيانات اعتماد المستخدمين الحساسة التي تخزنها المؤسسات بطريقة غير مشروعة. وتشمل هذه البيانات عادةً أسماء المستخدمين وعناوين البريد الإلكتروني وكلمات المرور. ويمكن أن تكون عواقب تسريب بيانات الاعتماد وخيمة، إذ تُعرّض المستخدمين لمجموعة من المخاطر، بما في ذلك سرقة الهوية والاحتيال المالي واختراق الحسابات غير المصرح به. ^{[ 9 ]}

تُعتبر هجمات حشو بيانات الاعتماد من بين أبرز التهديدات الأمنية لتطبيقات الويب والهواتف المحمولة، وذلك نتيجةً لحجم تسريب بيانات الاعتماد. فقد تم تسريب أكثر من ثلاثة مليارات بيانات اعتماد من خلال اختراقات البيانات عبر الإنترنت في عام 2016 وحده. ^{[ 10 ]}

صاغ هذا المصطلح سوميت أغاروال، المؤسس المشارك لشركة Shape Security، والذي كان يشغل منصب نائب مساعد وزير الدفاع في البنتاغون في ذلك الوقت. ^{[ 11 ]}

في 20 أغسطس/آب 2018، استُهدفت سلسلة متاجر "سوبر دراغ" البريطانية المتخصصة في منتجات الصحة والجمال بمحاولة ابتزاز، حيث عرض قراصنة أدلة مزعومة على اختراقهم موقع الشركة الإلكتروني وتنزيلهم سجلات 20 ألف مستخدم. ويُرجّح أن هذه الأدلة قد جُمعت من عمليات اختراق وتسريب بيانات، ثم استُخدمت كمصدر لهجمات انتحال بيانات الاعتماد بهدف جمع معلومات تُستخدم في تزييف الأدلة. ^{[ 12 ] [ 13 ]}

في أكتوبر ونوفمبر 2016، تمكن مهاجمون من اختراق مستودع GitHub خاص يستخدمه مطورو شركة أوبر (Uber BV وUber UK)، مستخدمين أسماء المستخدمين وكلمات المرور الخاصة بالموظفين والتي سُرقت في اختراقات سابقة. وادعى المخترقون أنهم استولوا على حسابات 12 موظفًا باستخدام أسلوب "حشو بيانات الاعتماد"، حيث تم إعادة استخدام عناوين البريد الإلكتروني وكلمات المرور على منصات أخرى. وعلى الرغم من توفر خاصية المصادقة متعددة العوامل ، إلا أنها لم تكن مُفعّلة للحسابات المتأثرة. عثر المخترقون على بيانات اعتماد مخزن بيانات AWS الخاص بالشركة في ملفات المستودع، والتي استخدموها للوصول إلى سجلات 32 مليون مستخدم و3.7 مليون سائق من خارج الولايات المتحدة، بالإضافة إلى بيانات أخرى موجودة في أكثر من 100 حاوية S3 . أبلغ المهاجمون شركة أوبر، مطالبين بدفع 100 ألف دولار مقابل الموافقة على حذف البيانات. دفعت الشركة المبلغ من خلال برنامج مكافآت اكتشاف الثغرات ، لكنها لم تُفصح عن الحادث للأطراف المتضررة لأكثر من عام. بعد أن انكشفت المخالفة، فرض مكتب مفوض المعلومات في المملكة المتحدة غرامة على الشركة قدرها 385 ألف جنيه إسترليني (تم تخفيضها إلى 308 ألف جنيه إسترليني) . ^{[ 14 ]}

في عام 2019، زعمت شركة أبحاث الأمن السيبراني Knight Lion Security في تقرير لها أن حشو بيانات الاعتماد كان أسلوب هجوم مفضل لدى GnosticPlayers . ^{[ 15 ]}

يُعد التحقق من بيانات الاعتماد المخترقة أسلوبًا يمكّن المستخدمين من تلقي إشعارات عند اختراق كلمات المرور بواسطة مواقع الويب أو متصفحات الويب أو ملحقات كلمات المرور.

في فبراير 2018، ابتكر عالم الحاسوب البريطاني جناد علي بروتوكول اتصال (باستخدام إخفاء الهوية k والتشفير التجزئي ) للتحقق بشكل مجهول من تسريب كلمة المرور دون الكشف الكامل عنها. ^{[ 16 ] [ 17 ]} تم تطبيق هذا البروتوكول كواجهة برمجة تطبيقات عامة (API) ويستخدمه الآن العديد من المواقع الإلكترونية والخدمات، بما في ذلك برامج إدارة كلمات المرور ^{[ 18 ] [ 19 ]} وإضافات المتصفحات . ^{[ 20 ] [ 21 ]} وقد تم لاحقًا محاكاة هذا النهج بواسطة ميزة فحص كلمات المرور من جوجل . ^{[ 22 ] [ 23 ] [ 24 ]} عمل علي مع أكاديميين في جامعة كورنيل لتطوير إصدارات جديدة من البروتوكول تُعرف باسم "تجميع التنعيم الترددي" (FSB) و"تجميع المعرفات" (IDB). ^{[ 25 ]} في مارس 2020، أُضيفت خاصية التشفير إلى البروتوكول. ^{[ 26 ]}

• اختراق البيانات

• " مقال OWASP حول حشو بيانات الاعتماد "