اختراقات بيانات ياهو

في عامي 2013 و2014، تعرضت شركة خدمات الويب الأمريكية ياهو لاثنين من أكبر عمليات اختراق البيانات المسجلة. ورغم علم ياهو بالحادث، لم يتم الكشف عن أي من الاختراقين علنًا حتى سبتمبر/أيلول 2016.

حدث اختراق البيانات في عام 2013 على خوادم ياهو في أغسطس 2013 وأثر على جميع حسابات المستخدمين البالغ عددها ثلاثة مليارات حساب. أثر اختراق عام 2014 على أكثر من 500 مليون حساب مستخدم. يعتبر كلا الاختراقين الأكبر على الإطلاق وشمل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وتواريخ الميلاد وأسئلة الأمان - المشفرة وغير المشفرة. عندما أعلنت ياهو عن الاختراقات في عام 2016، اعترفت بأنها كانت على علم بالاختراق الثاني منذ عام 2014.

وقد أدت هذه الحوادث إلى توجيه الاتهام إلى أربعة أفراد مرتبطين بالاختراق الأخير، بما في ذلك المخترق الكندي كريم باراتوف الذي حُكم عليه بالسجن لمدة خمس سنوات، كما أثار انتقادات واسعة النطاق لشركة ياهو بسبب تأخر استجابتها. وشملت التداعيات تسوية دعوى قضائية جماعية بقيمة 117.5 مليون دولار أمريكي، وغرامة بقيمة 35 مليون دولار من لجنة الأوراق المالية والبورصة الأمريكية ، والتدقيق من قبل الكونجرس الأمريكي ، والمضاعفات التي ترتبت على استحواذ شركة فيريزون كوميونيكيشن على ياهو في عام 2017.

حدث أول خرق للبيانات على خوادم ياهو في أغسطس 2013 ^[1] وأثر على جميع حسابات المستخدمين البالغ عددها ثلاثة مليارات. ^{[2] [3]} أعلنت ياهو عن الخرق في 14 ديسمبر 2016. ^{[4] شهدت} ماريسا ماير ، التي كانت الرئيس التنفيذي لشركة ياهو وقت الخرق، أمام الكونجرس في عام 2017 أن ياهو لم تتمكن من تحديد من ارتكب خرق عام 2013. ^[5]

بعد مرور عام على تحديد ياهو من قبل المخبر الأمريكي إدوارد سنودن كهدف متكرر للقراصنة برعاية الدولة في عام 2013، قامت الشركة بتعيين مسؤول أمن معلومات رئيسي مخصص، أليكس ستاموس . وفي حين أشاد خبراء التكنولوجيا بتعيين ستاموس باعتباره يُظهر التزام ياهو بتوفير أمن أفضل، فقد ورد أن الرئيسة التنفيذية لياهو ماريسا ماير حرمت ستاموس وفريقه الأمني ​​من الأموال الكافية لتنفيذ تدابير الأمن التي أوصوا بها، وغادر الشركة بحلول عام 2015. ^[4]

خلال شهر نوفمبر أو ديسمبر 2014، قام أحد القراصنة، والذي تعتقد وزارة العدل الأمريكية أنه المواطن الروسي أليكسي بيلان ، بنسخ نسخة احتياطية من نوفمبر 2014 لقاعدة بيانات حسابات مستخدمي ياهو، تحتوي على تفاصيل أكثر من 500 مليون حساب إلى جهاز كمبيوتر تحت سيطرته. ^[6] تضمنت قاعدة بيانات حسابات المستخدمين بيانات من أكثر من 500 مليون حساب مستخدم، بما في ذلك أسماء الحسابات وعناوين البريد الإلكتروني وأرقام الهواتف وتواريخ الميلاد وكلمات المرور المشفرة وفي بعض الحالات أسئلة وأجوبة أمنية مشفرة أو غير مشفرة من خلال ملفات تعريف الارتباط على الويب التي تم التلاعب بها . ^{[7] [8] [9]} استخدمت غالبية كلمات مرور ياهو خوارزمية التجزئة bcrypt ، والتي تعتبر صعبة الاختراق، مع استخدام الباقي لخوارزمية MD5 الأقدم ، والتي يمكن اختراقها بسرعة كبيرة. ^[10]

من أكتوبر 2014 إلى نوفمبر 2016 على الأقل، تمكن بيلان واثنان على الأقل من المتسللين المرتبطين به من الوصول إلى معلومات ومحتويات حسابات المستخدمين للقيام بأعمال غير قانونية مختلفة بما في ذلك البحث في رسائل البريد الإلكتروني عن أكواد قسائم الهدايا، واستهداف حسابات الأشخاص المعنيين عمدًا، وتحسين ترتيب البحث للشركات التي لديهم اهتمام بها، واستخدام بيانات ياهو لاختراق الحسابات على منصات أخرى مثل Gmail . ^[6] وكجزء من هذه العملية، جند المتسللون المتسلل الكندي كريم باراتوف لاقتحام الحسابات على منصات أخرى. ^{[11] [12]}

في يونيو 2016، تم الإبلاغ عن عرض أسماء الحسابات وكلمات المرور لنحو 200 مليون حساب ياهو للبيع على موقع سوق الشبكة المظلمة TheRealDeal . ^[13] صرحت ياهو بأنها كانت على علم بالبيانات وكانت تقوم بتقييمها، محذرة المستخدمين من الموقف ولكنها لم تقم بإعادة تعيين كلمات مرور الحسابات في ذلك الوقت. ^[13]

أبلغت شركة ياهو رسميًا عن خرق عام 2014 للجمهور في 22 سبتمبر 2016. تضمنت إجراءات ياهو للتعامل مع الخرق إبطال أسئلة وأجوبة الأمان غير المشفرة وطلب من المستخدمين المتأثرين المحتملين تغيير كلمات المرور الخاصة بهم. ^[14] كما ادعت ياهو أنه لا يوجد دليل على أن المهاجمين ما زالوا في النظام وأن الهجوم كان برعاية الدولة. ^[14] أكد مكتب التحقيقات الفيدرالي (FBI) أنه يحقق في الأمر. ^[15] ذكرت صحيفة وول ستريت جورنال أن شركة أمنية، كان لديها حق الوصول إلى جزء من قاعدة بيانات ياهو، تعتقد أن المهاجمين كانوا إجراميين بطبيعتهم وليسوا برعاية الدولة، وأن قاعدة البيانات تم بيعها مرارًا وتكرارًا. ^[16]

في ملفها المقدم إلى لجنة الأوراق المالية والبورصات الأمريكية في نوفمبر 2016 ، ذكرت ياهو أنها كانت على علم باختراق شبكتها في عام 2014، لكنها لم تفهم مدى الاختراق حتى بدأت تحقيقًا في حادثة خرق بيانات منفصلة في يوليو 2016. ^{[17] [18]} ذكر ملف ياهو السابق إلى لجنة الأوراق المالية والبورصات في 9 سبتمبر، قبل إعلان الاختراق، أنها لم تكن على علم بأي "خروقات أمنية" أو "فقدان أو سرقة أو وصول غير مصرح به أو الحصول" على بيانات المستخدم. ^[19] وأشار ملف نوفمبر إلى أن الشركة تعتقد أن أحد خروقات البيانات قد تم إجراؤه من خلال هجوم قائم على ملفات تعريف الارتباط والذي سمح للمتسللين بالمصادقة مثل أي مستخدم آخر دون كلمة المرور الخاصة بهم. ^{[17] [20] [21]} (في ملف تنظيمي إلى لجنة الأوراق المالية والبورصات في عام 2017، ذكرت ياهو أنه تم الوصول إلى 32 مليون حساب من خلال هذا الهجوم القائم على ملفات تعريف الارتباط خلال عامي 2015 و2016. ^[22] )

في ديسمبر 2016، كشفت شركة ياهو عن خرق عام 2013، وعن تعرض مليار حساب مستخدم للاختراق. ^[23] وبعد مرور عام تقريبًا، في أكتوبر 2017، قامت الشركة بمراجعة هذا التقدير وأفادت بأن جميع حسابات ياهو التي يبلغ عددها ثلاثة مليارات قد تعرضت للاختراق. ^[23]

توصلت المراجعة الداخلية التي أجرتها شركة ياهو للموقف إلى أن ماير وغيرها من كبار المسؤولين التنفيذيين كانوا على علم بالاختراقات لكنهم فشلوا في إبلاغ الشركة أو اتخاذ خطوات لمنع المزيد من الخروقات. أدت المراجعة إلى استقالة المستشار العام للشركة، رونالد إس. بيل بحلول مارس 2017، وتم سحب تعويضات الأسهم والمكافآت البالغة 12 مليون دولار التي حصلت عليها ماير لعامي 2016 و2017. ^[24]

في 15 مارس 2017، وجه مكتب التحقيقات الفيدرالي الاتهامات إلى أربعة رجال بالاختراق الذي حدث في عام 2014، بما في ذلك اثنان يعملان لصالح جهاز الأمن الفيدرالي الروسي . وفي بيانه، قال مكتب التحقيقات الفيدرالي "إن السلوك الإجرامي محل النزاع، الذي نفذه ويسره ضباط من وحدة جهاز الأمن الفيدرالي التي تعمل كنقطة اتصال لمكتب التحقيقات الفيدرالي في موسكو بشأن مسائل الجرائم الإلكترونية، أمر لا يمكن السكوت عنه". ^[25]

تشمل قائمة المتهمين الأربعة الهاكر أليكسي بيلان الذي كان على قائمة مكتب التحقيقات الفيدرالية لأكثر عشرة مطلوبين هاربين ، وعميلي جهاز الأمن الفيدرالي دميتري دوكوتشايف وإيجور سيتشين اللذين اتهمهما مكتب التحقيقات الفيدرالية بدفع أموال لبيلان وهاكرين آخرين لإجراء الاختراق، والهاكر الكندي كريم باراتوف. زعم مكتب التحقيقات الفيدرالية أن دوكوتشايف وسوشين دفعا لكريم باراتوف لاستخدام البيانات التي تم الحصول عليها من اختراقات ياهو لاختراق حوالي 80 حسابًا غير تابع لياهو لأهداف محددة. ^[26] وقد نفى المسؤولون الروس أي تورط. ^{[27] [28]}

تم تسليم باراتوف، الرجل الوحيد الذي تم القبض عليه، إلى الولايات المتحدة في أغسطس 2017. ^[29] وقد أقر بالذنب، معترفًا باختراق ما لا يقل عن 80 حساب بريد إلكتروني نيابة عن جهات اتصال روسية. وقد اتُهم بتسع تهم بالاختراق، وفي مايو 2018 حُكم عليه بالسجن لمدة 5 سنوات وأمر بدفع 2.25 مليون دولار وتعويض لضحاياه. ^[30] تصف مذكراته، التي نُشرت في عام 2023، أسلوب حياة حفلات ممول من اختراق حسابات البريد الإلكتروني لآلاف الأشخاص. ^[31]

لقد تعرض تأخر شركة ياهو في اكتشاف هذه الخروقات والإبلاغ عنها، فضلاً عن تنفيذ ميزات أمنية محسنة، لانتقادات شديدة على كافة المستويات. ^[32]

قبل الإعلان عن الاختراقات، دخلت شركة فيريزون كوميونيكيشنز في مفاوضات وحصلت على موافقة لشراء جزء من ممتلكات ياهو مقابل 4.8 مليار دولار، ومن المقرر أن يتم إغلاق الصفقة في مارس 2017. ^[33] ولم تكشف ياهو عن اختراق عام 2014 لشركة فيريزون إلا قبل يومين من إعلان ياهو في سبتمبر. ^[15] قال الرئيس التنفيذي لشركة فيريزون لويل ماك آدم إنه لم يصدم من الاختراق، قائلاً "نحن جميعًا نعيش في عالم الإنترنت، والمسألة ليست ما إذا كنت ستتعرض للاختراق أم لا ولكن متى ستتعرض للاختراق". ^[34] في فبراير 2017، أعلنت فيريزون وياهو أن الصفقة ستستمر، ولكن بخفض سعر البيع بمقدار 350 مليون دولار، إلى 4.48 مليار دولار. ^[35] تم إغلاق الصفقة رسميًا بهذا السعر في يونيو 2017، مع تنحي ماير عن منصب الرئيس التنفيذي بعد الإغلاق. ^[36] وافقت فيريزون وياهو على تقاسم التكاليف الجارية للتحقيق الحكومي في الخروقات بموجب هذا المصطلح الجديد. ^[37] تمت إعادة تسمية شركة ياهو، التي لا تزال تمتلك تلك الممتلكات التي لم تشترها فيريزون، إلى ألتابا في يونيو 2017. ^[38] نظرًا لأن ألتابا كانت الشركة الأصلية، فقد كانت ألتابا هي التي خضعت لغرامة لاحقة قدرها 35 مليون دولار من لجنة الأوراق المالية والبورصات وليس فيريزون. ^[39]

في رسالة إلى ماير، طالب ستة من أعضاء مجلس الشيوخ الأمريكي ( إليزابيث وارن ، وباتريك ليهي ، وآل فرانكن ، وريتشارد بلومنثال ، ورون وايدن ، وإد ماركي ) بإجابات حول متى اكتشفت ياهو الاختراق الأخير في عام 2014، ولماذا استغرق الأمر وقتًا طويلاً للكشف عنه للجمهور، ووصفوا الفارق الزمني بين الاختراق الأمني ​​والإفصاح عنه بأنه "غير مقبول". ^{[40] [41] [42]} في 26 سبتمبر 2016، طلب السناتور مارك وارنر من لجنة الأوراق المالية والبورصات الأمريكية (SEC) التحقيق فيما إذا كانت ياهو وكبار المسؤولين التنفيذيين فيها قد أوفوا بالتزاماتهم بموجب قوانين الأوراق المالية الفيدرالية بالإفصاح بشكل صحيح عن الهجوم. في عام 2017، أعلنت لجنة الأوراق المالية والبورصات عن غرامة قدرها 35 مليون دولار ضد ألتابا لفشلها في الكشف عن خرق عام 2014 في الوقت المناسب. ^{[43] [44]}

في نوفمبر 2016، وردت أنباء عن رفع 23 دعوى قضائية تتعلق بالاختراق الذي حدث في أواخر عام 2014 ضد شركة ياهو. ^[18] وفي إحدى الدعاوى القضائية المرفوعة في المحكمة الجزئية الأمريكية للمنطقة الجنوبية من كاليفورنيا في سان دييغو ، زعم المدعون أن الاختراق تسبب في "تدخل في المسائل المالية الشخصية". ^[45]

تم دمج خمس من هذه الحالات الـ 23 في دعوى واحدة في أوائل ديسمبر 2016. ^{[46] [47]} تم تعديل القضية لاحقًا لتشمل معلومات الاختراق المحدثة بعد إعلان ياهو عن خرق أغسطس 2013. ^[48] قبل أن تبدأ المحاكمة، وافقت فيريزون وألتابا على تقسيم تكلفة تسوية بقيمة 50 مليون دولار في أكتوبر 2018 مع أولئك الموجودين في الدعوى الجماعية (ما يقدر بنحو 200 مليون مستخدم إجمالي)، إلى جانب توفير عامين من مراقبة الائتمان المجانية. ^[49] رفض القاضي عرض التسوية، متسائلًا عن الافتقار إلى الشفافية في تفاصيل التسوية، فضلاً عن التكاليف المرتفعة التي استردها المحامون من خلال التسوية. ^[50] وافقت ياهو على التسوية مقابل 117.5 مليون دولار في أبريل 2019، وعرضت مرة أخرى على المستخدمين المتضررين مراقبة الائتمان ودفع نقدي يعتمد على عدد المستجيبين في الفصل. ^[51]

أبدت الحكومات الأجنبية أيضًا مخاوفها بشأن العديد من خروقات البيانات. في أكتوبر 2016، حددت مجموعة عمل حماية البيانات بموجب المادة 29 التابعة للهيئة التنظيمية الأوروبية للخصوصية المخاوف بشأن خرق البيانات في عام 2014 بالإضافة إلى مزاعم مفادها أن الشركة بنت نظامًا يفحص رسائل البريد الإلكتروني الواردة للعملاء بناءً على طلب أجهزة الاستخبارات الأمريكية في رسالة إلى ياهو. ^{[52] [53]} لقد طلبوا من ياهو إبلاغ سلطات الاتحاد الأوروبي بجميع جوانب خرق البيانات، وإخطار المستخدمين المتضررين بـ "الآثار السلبية" والتعاون مع جميع "استفسارات و/أو تحقيقات سلطات حماية البيانات الوطنية القادمة". ^{[54] قام} مفوض حماية البيانات في أيرلندا (الجهة التنظيمية الأوروبية الرائدة في قضايا الخصوصية لشركة ياهو لأن المقر الأوروبي لشركة ياهو يقع في دبلن) بالتحقيق في الاختراق وأصدر بيانًا يفيد بأن "إشراف ياهو على عمليات معالجة البيانات التي يقوم بها معالج البيانات الخاص بها لم يستوف المعيار المطلوب بموجب قانون حماية البيانات في الاتحاد الأوروبي" وأن "ياهو لم تتخذ خطوات معقولة كافية لضمان امتثال معالج البيانات الذي تعاقدت معه للتدابير الأمنية والتنظيمية الفنية المناسبة كما هو مطلوب بموجب قانون حماية البيانات"، على الرغم من عدم فرض أي غرامة. ^{[55] انتقد} المكتب الفيدرالي لأمن المعلومات في ألمانيا ياهو في أعقاب إعلان ديسمبر 2016، مشيرًا إلى أن "الأمن ليس مفهومًا أجنبيًا"، وحذر الحكومة والمستخدمين الألمان الآخرين من البحث عن حلول البريد الإلكتروني والإنترنت من الشركات ذات النهج الأمني ​​الأفضل. ^[56]

• اختراق Yahoo! Voices في عام 2012

• الأسئلة الشائعة حول مشكلات أمان حسابات Yahoo