AT&T تعترف بأن تسرب بيانات أثر على 73 مليون مشترك نشط ومتكرر

إن كشف AT&T في مارس ٢٠٢٤ هو حالة تعرض لبيانات حسابات عملاء الاتصالات، وليس مجرد عنوان عن عدد الاختراقات. قالت الشركة إن مجموعة بيانات نُشرت على الويب المظلم تبدو من عام ٢٠١٩ أو ما قبله وأثرت على حوالي ٧.٦ مليون صاحب حساب حالي و٦٥.٤ مليون صاحب حساب سابق. المسألة العملية هي طبقة التحكم في الحساب: أعادت AT&T تعيين رموز الوصول للمستخدمين الحاليين، وبدأت في إخطار أصحاب الحسابات المتضررين، وواجهت تدقيقًا حكوميًا بشأن إشعار الاختراق بسبب تعرض رقم الضمان الاجتماعي. ظل مصدر البيانات غير محدد في السجل العام، لذا فإن القراءة الأقوى تدور حول بيانات هوية العملاء، وإعادة تعيين رموز الوصول، ومخاطر الاحتيال، والمساءلة عن الحادث، وليس إسناد المهاجم.

تحويل كشف AT&T في ٣٠ مارس ٢٠٢٤ مجموعة بيانات متنازع عليها منذ فترة طويلة إلى حادثة أمنية لحسابات العملاء. قالت AT&T إن التحليل الأولي أظهر أن السجلات يبدو أنها من عام ٢٠١٩ أو ما قبله وأثرت على حوالي ٧٣ مليون صاحب حساب حالي وقديم: حوالي ٧.٦ مليون حساب حالي و٦٥.٤ مليون حساب قديم. قالت الشركة إنه ليس لديها دليل على وصول غير مصرح به إلى أنظمتها وأنها لا تزال تقيم ما إذا كانت البيانات قد نشأت من AT&T أو من أحد مورديها.

يكمن خطر التحكم في الحسابات في فئات البيانات. ذكرت وكالة AP أن المعلومات المكشوفة قد تشمل أرقام الضمان الاجتماعي ورموز الوصول وعناوين البريد الإلكتروني والبريدية وأرقام الهواتف وتواريخ الميلاد، بينما قالت AT&T إن البيانات لا يبدو أنها تتضمن معلومات مالية أو سجل المكالمات. رموز الوصول مهمة لأنها أرقام PIN للحساب تُستخدم لخدمة العملاء وإدارة الحسابات في متاجر التجزئة والوصول إلى الحسابات عبر الإنترنت. قالت AT&T إنها أعادت تعيين رموز الوصول لـ ٧.٦ مليون عميل حالي تم اختراق رموزهم.

يركز سجل الإخطار الحكومي على زاوية حماية المستهلك. يسرد إخطار النائب العام في مين تقديم AT&T مع ٥١,٢٢٦,٣٨٢ شخصًا متأثرًا إجمالاً لهذا الإخطار، و٨٩,٨٤٢ من سكان مين متأثرين، وتاريخ ٢٦ مارس ٢٠٢٤ كتاريخ وقوع واكتشاف، و١٠ أبريل ٢٠٢٤ كتاريخ الإخطار الكتابي للمستهلكين، ورقم الضمان الاجتماعي كفئة بيانات تم الحصول عليها، و١٢ شهرًا من Experian IdentityWorks المقدمة. لا يحل هذا التقديم محل تقدير AT&T البالغ ٧٣ مليون صاحب حساب؛ بل يُظهر سطح الإخطار التنظيمي المرتبط بالمعلومات الشخصية الحساسة.

يجب أن يظل عدم اليقين مرئيًا. ذكرت BleepingComputer أن البيانات تشبه مجموعة بيانات أقدم تم الإعلان عنها سابقًا في عام ٢٠٢١، بينما أبلغت Reuters عن موقف AT&T بأن الحادث لم يكن له تأثير مادي على العمليات. يدعم السجل العام نطاق أصحاب الحسابات، وإعادة تعيين رموز الوصول، وخطر البيانات الحساسة، واستجابة الإخطار. لا يثبت وجود جهة تهديد محددة، أو المسار الدقيق للوصول الأولي، أو مسؤولية المورد، أو مستوى سوء الاستخدام النهائي، أو نتيجة إنفاذ تنظيمي.