Büyük bir kimlik doğrulama hizmeti ihlalinde 9 milyon yüz görüntüsü sızdırıldı.

• اكتشف باحث قاعدة بيانات مكشوفة لـ ClarityCheck بحجم 450 جيجابايت تحتوي على أكثر من 9 ملايين صورة للمستخدمين
• تضمن التسريب وجوهاً، ملفات شخصية، وصوراً، مما يعرض المستخدمين لخطر سرقة الهوية والاحتيال عبر التصيد
• أمنت الشركة الوصول بسرعة؛ ولم يظهر أي دليل على توزيعها أو إساءة استخدامها في الويب المظلم حتى الآن

حذر الخبراء من أن منصة بحث عكسي عبر الإنترنت قد سربت عن غير قصد ملايين الوجوه على الإنترنت، مما يعرض الأشخاص لخطر سرقة الهوية، والتصيد الاحتيالي، وغير ذلك.

جيريميا فاولر، باحث في الأمن السيبراني معروف بتعقبه لقواعد البيانات المكشوفة، اكتشف مؤخراً قاعدة بيانات بلغ حجمها الإجمالي 450.2 جيجابايت.

احتوت على 9,042,977 ملف صورة بالضبط – صور ملفات شخصية، لقطات شاشة، ومسح ضوئي لصور فوتوغرافية مادية – يبدو أن جميعها تم تحميلها من قبل المستخدمين. أظهرت الصور بالغين، مراهقين، وحتى أطفالاً، وتم تخزينها في مجلدات تحمل اسمي “وجوه” و”ملفات شخصية”.

ne oldu?

أظهر المزيد من التحقيق أن قاعدة البيانات تعود لشركة تدعى ClarityCheck. وهي شركة مسجلة في الولايات المتحدة تصف نفسها بأنها تقدم خدمة “البحث العكسي عن الهاتف، البريد الإلكتروني، الصور، والمركبات”، مما يتيح للمستخدمين تحديد المتصلين المجهولين، والتحقق من جهات الاتصال عبر الإنترنت، وفحص الصور، وفك تشفير معلومات المركبات باستخدام بيانات متاحة للعامة من “مصادر موثوقة”.

إنها شركة شرعية تتزايد أهمية استخدامها يوماً بعد يوم – فالمجرمون السيبرانيون ينشئون شخصيات وهمية على الإنترنت يومياً، ويستخدمونها في جميع أنواع المخططات، من عمليات الاحتيال الرومانسية إلى عروض العمل المزيفة، وما بينهما. وللقيام بذلك، يقومون إما بسرقة صور أشخاص آخرين، أو الحصول عليها (أو شرائها) من الويب المظلم، أو توليدها باستخدام الذكاء الاصطناعي.

أصبحت القدرة على التحقق من هوية شخص ما بمثابة العناية الواجبة الأساسية للجميع، بغض النظر عما إذا كان الأمر شخصياً أم يتعلق بالعمل.

كيف استجابت ClarityCheck

بمجرد أن تأكد فاولر من هوية مالك قاعدة البيانات، تواصل مع ClarityCheck وكشف عن نتائجه بمسؤولية. استجابت الشركة بسرعة، ومنعت أي وصول إضافي، وشكرت الباحث على جهوده.

قال ممثل الشركة لفاولر: “أتفهم تماماً مخاوفكم بشأن تعرض الصور الحساسة ومخاطر الخصوصية المرتبطة بها. نحن نقدر بشدة الباحثين الأخلاقيين مثلكم الذين يلفتون انتباهنا إلى هذه الأمور حتى نتمكن من التصرف بسرعة لحماية بيانات مستخدمينا وخصوصيتهم”.

للأسف، بدون تحقيق أعمق من جانب ClarityCheck، لا توجد طريقة لتأكيد المدة التي ظلت فيها قاعدة البيانات مكشوفة بالضبط، أو ما إذا كان أي شخص قد وصل إليها من قبل. ومع ذلك، حتى الآن لا يوجد دليل على إساءة استخدام، حيث أن “قاعدة بيانات صور ClarityCheck” لا يتم توزيعها أو بيعها حالياً في أي مكان على الويب المظلم.

تعريض الأشخاص للمخترقين

في عالم تتزايد فيه سرقة البيانات وتسريبها، يعد أحد الأسباب التي يسهل معالجتها، وهو أيضاً السبب الرئيسي وراء معظم حالات التعرض، هو قواعد البيانات سيئة التكوين. في الوقت الحاضر، تقوم كل شركة تقريباً بجمع وتخزين البيانات حول موظفيها وشركائها وعملائها. ويقوم معظمهم بتخزين هذه الملفات في قواعد بيانات سحابية، لتسهيل الوصول إليها وتحسين التكامل مع برامج ذكاء الأعمال.

لكن مزودي الخدمات السحابية يعملون وفق ما يسمى بـ “نموذج المسؤولية المشتركة”، مما يعني أنهم مسؤولون عن توفير ميزات أمان متوافقة مع معايير الصناعة. بينما يتحمل المستخدمون، من جانبهم، مسؤولية استخدام تلك الميزات وتكوين قواعد بياناتهم بشكل صحيح (أي، تعيين كلمة مرور قوية أو تشفير المحتوى). للأسف، لا يبدو أن العديد من المؤسسات تدرك نموذج المسؤولية المشتركة هذا، معتقدةً جازمةً أن مهمة الحفاظ على أمان البيانات تقع على عاتق مزود الخدمة. بينما يترك آخرون هذه الأرشيفات متاحة للوصول إليها عن طريق الخطأ.

يدرك المجرمون هذا الأمر، ويستغلون الوضع لسرقة معلومات قيمة. باستخدام أدوات متاحة على نطاق واسع مثل Shodan أو Censys أو FOFA، يمكنهم البحث في الويب عن قواعد بيانات غير مشفرة وغير محمية بكلمة مرور، واستخراج البيانات لاستخدامها في هجمات التصيد الاحتيالي، واختراق البريد الإلكتروني التجاري (BEC)، وأشكال أخرى من الهجمات السيبرانية.

على مر السنين، عثر فاولر وباحثون آخرون على عشرات قواعد البيانات الضخمة التي سربت بيانات حساسة لمئات الملايين من الأشخاص.

في عام 2026، اكتشف باحثون أن مزود الخدمات السحابية الأوروبي Nextcloud احتفظ بـ قاعدة بيانات غير محمية على الإنترنت العام، تحتوي على 367,000 سجل (8 جيجابايت) من بيانات الموظفين والعملاء الحساسة.

في عام 2025، قامت شركة IMDataCenter، وهي مزود خدمات تنقية البيانات وتحسينها وإلحاقها ومقرها فلوريدا، بـ تسريب 38 جيجابايت من السجلات الشخصية الحساسة. احتوت قاعدة البيانات غير المشفرة وغير المحمية بكلمة مرور على 10,820 سجلًا إجمالًا.

في عام 2024، قامت شركة TrackMan، المتخصصة في تكنولوجيا تحليلات الرياضة، بـ كشف عن بيانات عملاء حساسة: 110 تيرابايت و 31,602,260 سجلًا. لم تكن قاعدة البيانات محمية بكلمة مرور.