AT&T تقر بأن خرق بيانات أثر على 73 مليون مشترك نشط وعائد

يُعد إفصاح AT&T في مارس 2024 حالة تعرض لبيانات حسابات عملاء الاتصالات، وليس مجرد عنوان لعدد الاختراقات. صرحت الشركة بأن مجموعة بيانات نُشرت على الويب المظلم يبدو أنها تعود لعام 2019 أو ما قبله، وأثرت على نحو 7.6 مليون حامل حساب حالي و65.4 مليون حامل حساب سابق. تكمن المشكلة العملية في طبقة التحكم بالحساب: أعادت AT&T تعيين رموز المرور للمستخدمين الحاليين، وبدأت في إخطار حاملي الحسابات المتأثرين، وواجهت تدقيق إشعارات الاختراق الحكومية بشأن تعرض أرقام الضمان الاجتماعي. ظل مصدر البيانات دون حل في السجل العام، لذا فإن القراءة الأقوى تتعلق ببيانات هوية العملاء، وإعادة تعيين رموز المرور، ومخاطر الاحتيال، والمساءلة عن الحادث، لا إسناد الهجوم إلى جهة معينة.

حوّل إفصاح AT&T في 30 مارس 2024 مجموعة بيانات طال الجدل حولها إلى حادث أمني يتعلق بحسابات العملاء. قالت AT&T إن التحليل الأولي أظهر أن السجلات تعود على ما يبدو لعام 2019 أو ما قبله، وأثرت على نحو 73 مليون حامل حساب حالي وسابق: حوالي 7.6 مليون حساب حالي و65.4 مليون حساب سابق. وأضافت الشركة أنها لا تملك أدلة على وصول غير مصرح به إلى أنظمتها، ولا تزال تدرس ما إذا كانت البيانات قد نشأت من AT&T أو أحد مورديها.

تكمن مخاطر التحكم في الحساب في فئات البيانات. ذكرت وكالة أسوشيتد برس أن المعلومات المكشوفة قد تشمل أرقام الضمان الاجتماعي، ورموز المرور، وعناوين البريد الإلكتروني والعادي، وأرقام الهواتف، وتواريخ الميلاد، بينما قالت AT&T إن البيانات لا يبدو أنها تشمل معلومات مالية أو سجل المكالمات. تكتسب رموز المرور أهمية لأنها أرقام تعريف شخصية للحسابات تُستخدم في دعم العملاء وإدارة حسابات التجزئة والوصول إلى الحسابات عبر الإنترنت. قالت AT&T إنها أعادت تعيين رموز المرور لـ7.6 مليون عميل حالي ممن تعرضت رموز مرورهم للاختراق.

يُضيّق سجل إشعار الولاية زاوية حماية المستهلك. يُدرج إشعار المدعي العام لولاية مين تقديم AT&T بإجمالي 51,226,382 شخصًا متأثرًا بموجب هذا الإشعار، منهم 89,842 من سكان مين، ويُدرج 26 مارس 2024 كتاريخ حدوث واكتشاف الاختراق، و10 أبريل 2024 كتاريخ إخطار المستهلكين كتابيًا، مع إدراج رقم الضمان الاجتماعي كفئة بيانات مكتسبة، وتقديم 12 شهرًا من خدمة Experian IdentityWorks. لا يحل هذا التقديم محل تقدير AT&T لـ73 مليون حامل حساب؛ بل يُظهر واجهة الإشعار التنظيمي المرتبطة بمعلومات شخصية حساسة.

يجب أن يظل عدم اليقين واضحًا. ذكر موقع BleepingComputer أن البيانات تشبه مجموعة بيانات أقدم تم الإعلان عنها سابقًا في عام 2021، بينما نقلت رويترز عن AT&T أن الحادث لم يكن له تأثير مادي على العمليات. يدعم السجل العام نطاق حاملي الحسابات، وإعادة تعيين رمز المرور، ومخاطر البيانات الحساسة، والاستجابة عبر الإخطار. لكنه لا يُثبت جهة تهديد محددة، ولا مسار وصول أولي دقيق، ولا مسؤولية المورد، ولا مستوى إساءة استخدام نهائي، ولا نتيجة إنفاذ تنظيمي.