جعلت Yahoo توقيت الإفصاح عن الاختراق اختبارًا للمساءلة في هوية المستهلك

ملخص

• أصبحت اختراقات حسابات Yahoo التاريخية اختبارًا للمساءلة في هوية المستهلك لأن بيانات الحساب ظلت مفيدة بعد الاختراقات وسجل الإفصاح العام وصل بعد سنوات من الاختراق الأساسي.
• من كان لديه السيطرة العملية على كشف الاختراق، والتصعيد التنفيذي، وحماية كلمة المرور وأسئلة الأمان، وتوقيت إشعار المستخدم، والإفصاح عن الاستحواذ، والأدلة التنظيمية، والدليل على أن الإصلاح يتناسب مع حجم تعرض الحساب؟
• قضية المساءلة هي أن الوقت بين الاختراق والمعرفة الداخلية والإفصاح العام والإصلاح القابل للتنفيذ يمكن أن يصبح جزءًا من الضرر عندما تظل بيانات الحساب مفيدة للمهاجمين.
• احتاج المستخدمون وأصحاب حسابات البريد الإلكتروني والمعلنون والمستحوذون والمنظمون والمستثمرون والبنوك وفرق مخاطر الهوية إلى دليل على أن توقيت الإشعار وإعادة تعيين كلمات المرور والتغييرات في الحوكمة عالجت مخاطر الحساب طويلة الأجل.
• تتعامل المقالة مع مواد SEC وDOJ كسجلات رسمية للإنفاذ والملاحقة القضائية، وتصريحات الشركة والمستحوذ كأدلة صفقة عامة، وأطر الخصوصية/الأمان كمعايير للإصلاح بدلاً من دليل على سجلات Yahoo الخاصة.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

جعلت Yahoo توقيت الإفصاح عن الاختراق اختبارًا للمساءلة في هوية المستهلك لأن القضية العامة لم تكن فقط أن بيانات الحساب سُرقت. كانت القضية أن الجمهور علم باختراقات تاريخية ضخمة بعد سنوات من الأحداث الأساسية، بينما يمكن أن تظل بيانات الحساب، وتجزئة كلمات المرور، وأسئلة الأمان، وعناوين البريد الإلكتروني، وأرقام الهواتف، وتواريخ الميلاد، والآليات المتعلقة بالجلسات مفيدة للمهاجمين والمحتالين وفرق مخاطر الهوية. أصبحت الفجوة الزمنية جزءًا من الضرر. الاختراق الذي يتم الإفصاح عنه متأخرًا ليس مجرد بيان صحفي متأخر. إنها فترة قد يتخذ خلالها المستخدمون والأطراف المقابلة والمستحوذون والمنظمون قرارات دون الأدلة التي يحتاجونها.

أهم سجل رسمي عام هو أمر SEC لعام 2018 ضد Altaba، المعروفة سابقًا باسم Yahoo، على SEC source والبيان الصحفي لـ SEC على SEC source. تلك المستندات ليست تقريرًا تقنيًا كاملاً عن كل نظام من أنظمة Yahoo. إنها سجل إنفاذ حول ضوابط الإفصاح والإيداعات العامة وكيفية التعامل مع المعلومات حول اختراق 2014 قبل أن تفصح عنها Yahoo علنًا في 2016. وهذا يجعلها محورية لسؤال المساءلة: ليس فقط ما فعله المهاجمون، ولكن ما عرفته المؤسسة، وما صعّدته، وما حققته فيه، وما أخبرت به المستخدمين والمستثمرين.

سجل وزارة العدل على DOJ source يضع اختراق 2014 في سياق الملاحقة الجنائية. ادعاءات DOJ ليست مثل نتيجة مدنية حول ضوابط الإفصاح، ولا تجيب على كل سؤال حوكمة داخل Yahoo. إنها تظهر أن السجل العام تضمن أنشطة مرتبطة بالدولة وإجرامية على نطاق استثنائي. عندما يتم اختراق مزود حسابات بحجم Yahoo، لا يقتصر الضرر على موقع ويب واحد. يمكن أن تكون حسابات البريد الإلكتروني محاور لإعادة تعيين كلمة المرور، ومستودعات أرشيف، وهويات إعلانية، وقوائم اتصال، وعناوين إشعارات بنكية، ونقاط وصول للخدمات العامة.

السؤال الرئيسي مباشر: من كان لديه السيطرة العملية على كشف الاختراق، والتصعيد التنفيذي، وحماية كلمة المرور وأسئلة الأمان، وتوقيت إشعار المستخدم، والإفصاح عن الاستحواذ، والأدلة التنظيمية، والدليل على أن الإصلاح يتناسب مع حجم تعرض الحساب؟ لا يمكن اختزال الإجابة في المهاجمين. المهاجمون تسببوا في الاختراق، لكن Yahoo كانت تتحكم في بنية أمان الحساب، وتسجيل الدخول، والتصعيد، وضوابط الإفصاح، وإخطار المستخدم، وتمثيلات المعاملات، وأدلة الإصلاح. يجب أن يتبع ملف المساءلة كل عنصر من عناصر السيطرة هذه بشكل منفصل.

اختراق حساب المستخدم ليس حدثًا ليوم واحد

اختراقات الحسابات لها ذيل طويل لأنه يمكن إعادة استخدام بيانات الحساب لفترة طويلة بعد نسخ قاعدة البيانات. يمكن استبدال بطاقة الدفع. يمكن إعادة تعيين كلمة المرور. لكن تاريخ ميلاد المستخدم، وعنوان البريد الإلكتروني القديم، وسؤال الاسترداد، وشبكة الاتصال، وتاريخ الحساب يمكن أن تحتفظ بقيمتها. حسابات البريد الإلكتروني حساسة بشكل خاص لأنها غالبًا ما تقف خلف حسابات أخرى. يمكن أن يدعم عنوان البريد الإلكتروني المخترق التصيد الاحتيالي، وهجمات إعادة تعيين كلمة المرور، وانتحال الشخصية، وجمع المعلومات الاستخباراتية المستهدفة. لهذا السبب يختلف سجل اختراق Yahoo عن حادث موقع ويب ضيق.

اختراق 2014 الذي تم الإفصاح عنه في 2016 واختراق 2013 الذي وُصف لاحقًا بأنه أثر على جميع حسابات Yahoo أصبحا اختبارات للمساءلة لأن الحجم غيّر عبء المستخدم. لا يمكن لمستخدم واحد معرفة ما إذا كان سؤال الأمان التاريخي قد تم كشفه، أو ما إذا كانت تجزئة كلمة المرور القديمة لا تزال مفيدة، أو ما إذا كان بريد الاسترداد قد تم استهدافه، أو ما إذا كانت آلية جلسة مزورة قد أثرت على حسابه. المزود لديه السجلات وتقارير الحوادث وقياس المصادقة عن بعد وآلية إخطار المستخدم. إذا أخر المزود الإفصاح أو قدم نصائح إصلاح عامة، يتحمل المستخدم عدم اليقين دون أدلة.

التقارير العامة من Wired على source: wired.com وKrebsOnSecurity على source: krebsonsecurity.com التقطت الصدمة العامة الأولية في 2016 حول الإفصاح عن 500 مليون حساب. يجب التعامل مع هذه المصادر كتسلسل زمني وسياق، وليس كوصول إلى جميع الحقائق الجنائية الخاصة. قيمتها هي أنها تظهر متى بدأ المستخدمون والجمهور في تلقي معلومات قابلة للتنفيذ، ومدى تأخر ذلك مقارنة بجدول اختراق 2014 الموصوف في سجلات الإنفاذ.

طبيعة بيانات الحساب طويلة الذيل تغير معيار الإفصاح. إذا تأخر الإشعار، لا يمكن للمستخدم حماية كل حساب مرتبط يثق بصندوق بريد Yahoo بأثر رجعي. لا يمكن للبنك معالجة عنوان Yahoo القديم كمشبوه بأثر رجعي. لا يمكن للمعلن نمذجة فقدان ثقة المستخدم بأثر رجعي. لا يمكن للمستحوذ التفاوض من نفس موقع الأدلة. وبالتالي يصبح التأخير جزءًا من ميكانيكا الحادث. إنها ليست مجرد مشكلة اتصالات بعد انتهاء الحدث التقني.

الكشف دون تصعيد ليس مساءلة

تركز العديد من روايات الاختراق على ما إذا كانت الشركة كشفت الاختراق. يظهر سجل إنفاذ Yahoo لماذا هذا السؤال غير كافٍ. الكشف مفيد فقط إذا أدى إلى تحقيق وتصعيد وحماية للمستخدم وقرارات إفصاح. قد يكون لدى المؤسسة موظفو أمن يحددون أدلة خطيرة وما زالوا يفشلون في المساءلة إذا لم تحول الأنظمة القانونية والتنفيذية والإفصاحية تلك المعرفة إلى إجراء. أمر SEC على SEC source مهم لأنه تعامل مع ضوابط وإجراءات الإفصاح كجزء من سجل الحادث.

يجب قراءة سلسلة المساءلة على مراحل. أولاً، يحدد موظفو الأمن أدلة الاختراق. ثانيًا، تصل الأدلة إلى الأشخاص الذين يمكنهم تقييم ضرر المستخدم وواجبات الإفصاح. ثالثًا، تحقق المؤسسة من النطاق وعدم اليقين. رابعًا، يتلقى المستخدمون خطوات حماية عملية. خامسًا، يتلقى المستثمرون وأطراف المعاملات المعلومات الجوهرية عند الحاجة. سادسًا، يتم التوفيق بين النتائج اللاحقة والتصريحات العامة السابقة. إذا فشلت أي مرحلة، يصبح الاختراق التقني فشل حوكمة.

هذا ليس طلبًا للإفصاح المتهور قبل معرفة الحقائق. غالبًا ما تبدأ حوادث الأمان بأدلة غير كاملة. قد تحتاج الشركة إلى وقت لتجنب تنبيه المهاجمين، والحفاظ على السجلات، والتنسيق مع جهات إنفاذ القانون، وتحديد النطاق. لكن عدم اليقين لا يعفي من الصمت إلى أجل غير مسمى. تقول العملية المسؤولة ما هو معروف، وما هو غير معروف، وما هي إجراءات المستخدم الحكيمة الآن، ومتى سيتم تحديث السجل العام. كما توثق من اتخذ قرار الانتظار وما الأدلة التي دعمت هذا القرار.

إطار عمل NIST للأمن السيبراني على source: nist.gov مفيد هنا لأنه يجعل الكشف والاستجابة والاسترداد جزءًا من دورة واحدة. الكشف ليس حالة نهائية. إنه يغذي الاستجابة. توفر ضوابط الأمان الحيوية لـ CIS على source: cisecurity.org مفردات مماثلة حول الجرد وإدارة الحساب والتحكم في الوصول وتسجيل الدخول والاستجابة للحوادث وحوكمة مزود الخدمة. لا تثبت هذه الأطر حقائق Yahoo الخاصة. إنها تساعد في تحديد لماذا يمكن أن يظل الاختراق المكتشف ولكن غير المفصح عنه مشكلة خطر نشط للمستخدم.

كلمات المرور وأسئلة الأمان هي أهداف إصلاح، وليست مجرد حقول مسروقة

عندما تتعرض بيانات الحساب، يسأل الجمهور غالبًا ما إذا كانت كلمات المرور مجزأة. هذا مهم، لكنه ليس سؤال الإصلاح الوحيد. لتجزئة كلمة المرور تكلفة كسر، وتعتمد هذه التكلفة على خوارزمية التجزئة، والتمليح، وقوة كلمة المرور، وموارد المهاجم، والوقت. قد يكون سؤال الأمان أسوأ من كلمة مرور ضعيفة لأنه يمكن إعادة استخدامه عبر الخدمات وقد لا يكون من السهل تغييره. تاريخ الميلاد أو رقم الهاتف قد يدعم الهندسة الاجتماعية. عنوان البريد الإلكتروني قد يساعد المهاجمين على استهداف المستخدم في مكان آخر.

تضمن سجل اختراق Yahoo أسئلة كلمة المرور والأمان على نطاق هائل. يجب أن تفصل الاستجابة المسؤولة كل هدف إصلاح. إعادة تعيين كلمة المرور مسار واحد. إبطال أسئلة الأمان مسار آخر. حظر ملفات تعريف الارتباط المزورة أو آليات الجلسة مسار آخر. إخطار المستخدمين لمراجعة الحسابات الأخرى مسار آخر. مراقبة محاولات تسجيل الدخول المشبوهة مسار آخر. لا ينبغي للجمهور قبول عبارة واحدة مثل "لقد اتخذنا خطوات لتأمين الحسابات" كبديل عن هذه المسارات.

مواد هوية NIST الرقمية على source: pages.nist.gov وإرشادات المصادقة على source: csrc.nist.gov ذات صلة كمفردات تحكم. لا تقرر بأثر رجعي التزامات Yahoo القانونية في 2013 أو 2014. إنها تظهر لماذا تحتاج الأسرار والمصادقات وآليات الاسترداد وضوابط المدقق إلى معالجة دقيقة. صفحة MITRE ATT&CK حول ملفات تعريف الارتباط للجلسة على source: attack.mitre.org تساعد أيضًا في شرح لماذا يمكن أن تصبح آليات الجلسة خطر مصادقة حتى عندما لا يكتب المهاجم كلمة مرور المستخدم.

تستحق أسئلة الأمان اهتمامًا خاصًا لأنها غالبًا ما تعامل على أنها وسائل راحة لخدمة العملاء. إنها في الواقع ادعاءات هوية دائمة. قد يكون المستخدم قد أعطى نفس إجابة المدرسة الابتدائية للعديد من الخدمات. إذا تم كشف تلك الإجابة، فإن تغيير كلمة مرور Yahoo لا يزيل الإجابة من حياة المستخدم. يجب على المزود الذي يكشف بيانات أسئلة الأمان أن يشرح ما إذا كانت الأسئلة والأجوبة مشفرة، وما إذا كانت قد أبطِلت، وما إذا كان المستخدمون مطالبين باختيار طرق استرداد جديدة، وما إذا كانت الشركة قد قللت الاعتماد على هذه الأسئلة في المستقبل.

معيار الإصلاح هو التناسب. الاختراق الذي يؤثر على مئات الملايين أو المليارات من الحسابات يتطلب أكثر من إشعار لمرة واحدة. يتطلب أدلة دائمة على تقوية الحساب، وتغييرات في تصميم الاسترداد، وإبطال الجلسات المشبوهة، وفرض إعادة التعيين، وتثقيف المستخدم الذي يميز أمان حساب Yahoo عن مخاطر الهوية عبر الخدمات.

ملفات تعريف الارتباط المزورة جعلت الجدول الزمني أكثر من مجرد قصة كلمة مرور

أحد أهم التفاصيل في سجل Yahoo هو أن تاريخ الحادث لم يكن فقط حول حقول قاعدة البيانات المسروقة. ناقشت إيداعات الشركة العامة وسجلات الإنفاذ ملفات تعريف الارتباط المزورة أو الوصول إلى الحساب المتعلق بالجلسة كجزء من تاريخ أمان Yahoo. مشكلة ملفات تعريف الارتباط المزورة تغير إطار المساءلة لأنها يمكن أن تسمح بالوصول إلى الحساب دون إدخال كلمة مرور عادية. هذا يعني أن المستخدم الذي يغير كلمة المرور قد لا يفهم الخطر الكامل ما لم يتم أيضًا إبطال رموز الجلسة وملفات تعريف الارتباط ومسارات استرداد الحساب ومراقبتها.

صفحة MITRE حول إساءة استخدام ملفات تعريف الارتباط للجلسة على source: attack.mitre.org تعطي مصطلحات عامة لماذا يمكن لسرقة ملفات تعريف الارتباط أو تزويرها تجاوز توقعات المصادقة العادية. لا تثبت التفاصيل الخاصة لأنظمة Yahoo. تساعد القراء على فهم لماذا يجب أن يشمل إصلاح الحساب إبطال الجلسة وضوابط جانب الخادم، وليس فقط تغييرات كلمة المرور التي تواجه المستخدم.

هذا مهم لتوقيت الإفصاح. إذا علمت المؤسسة أن المهاجمين لديهم طريقة للوصول إلى الحسابات من خلال آليات الجلسة، فإن الإشعار المتأخر يمكن أن يترك المستخدمين بشعور زائف بالأمان. قد يعتقدون أن تغيير كلمة المرور كافٍ بينما يعتمد الإصلاح أيضًا على الإبطال من جانب الخادم. يتحكم المزود في تلك الأذرع من جانب الخادم. لا يمكن للمستخدمين فحصها. لذلك يحتاج المنظمون والمستحوذون إلى دليل على أن المزود حدد الآلية وعطلها وأبطال الجلسات المتأثرة وراقب الإساءة المتبقية.

المساءلة هنا لا تتعلق بنشر تفاصيل الاستغلال. لا ينبغي للمزود الكشف عن معلومات تساعد المهاجمين. يمكنه مع ذلك القول ما إذا كانت رموز الجلسة قد أبطِلت، وما إذا كان المستخدمون المتأثرون مطالبين بإعادة المصادقة، وما إذا كانت أنماط الوصول المشبوهة قد روجعت، وما إذا كانت إعدادات الاسترداد قد فحصت، وما إذا كانت ضوابط توليد الرموز المستقبلية قد تغيرت. هذا النوع من الأدلة يساعد المستخدمين دون الكشف عن مخطط.

تبقى حالة Yahoo مفيدة لأنها تظهر كيف يمكن أن يكون لاختراقات الحسابات مسارات تقنية متعددة. قاعدة بيانات حسابات مسروقة، حماية كلمة مرور ضعيفة أو قديمة، أسئلة أمان، وجلسات مزورة هي مخاطر مختلفة. إذا ضغط الإشعار العام في تسمية اختراق حساب واحدة، لا يمكن للمستخدم معرفة خطوات الإصلاح المهمة.

أظهرت صفقة Verizon أن الحقائق السيبرانية هي حقائق صفقة

اصطدمت إفصاحات اختراق Yahoo ببيع أعمال Yahoo التشغيلية لشركة Verizon. إعلان Verizon في فبراير 2017 على source: verizon.com ذكر أن الطرفين عدلا اتفاقهما، بما في ذلك تخفيض العوض النقدي. إعلان إتمام Verizon على source: verizon.com أغلق سجل الصفقة. هذه المصادر مهمة لأنها تظهر أن توقيت الإفصاح عن الاختراق لم يؤثر فقط على المستخدمين والمنظمين. لقد أثر على اقتصاديات الاستحواذ وتوزيع المخاطر.

سياق الاستحواذ مهم لسببين. أولاً، يظهر أن الأدلة السيبرانية يمكن أن تصبح أدلة سعر. إذا علم المشتري متأخرًا أن الشركة المستهدفة تعرضت لاختراقات هائلة غير مفصح عنها أو مفصح عنها حديثًا، يجب على المشتري إعادة تقييم الالتزامات وثقة المستخدم وتكاليف الإصلاح والتعرض التنظيمي ومخاطر التكامل. ثانيًا، يظهر أن ضوابط الإفصاح لها أطراف مقابلة تتجاوز المستثمرين العامين. يجب على الشركة التي تتفاوض على صفقة أن تعرف ما إذا كان سجلها السيبراني كافيًا لافتراضات العناية الواجبة والتعاقدية للمشتري.

تقرير Reuters على source: reuters.com والتغطية العامة على source: nytimes.com توفر تسلسلًا زمنيًا مفيدًا لكيفية تغير الصفقة بعد إفصاحات الاختراق. هذه ليست بديلاً عن اتفاقيات الصفقة أو ملفات العناية الواجبة الخاصة. إنها تظهر الفهم العام أن سجل الاختراق كان له عواقب اقتصادية مباشرة.

سؤال المساءلة ليس ما إذا كانت Verizon تفاوضت جيدًا أو سيئًا. إنه ما إذا كانت أنظمة الأمان والإفصاح الداخلية لـ Yahoo أنتجت أدلة دقيقة في وقت مبكر بما يكفي لصفقة شركة كبيرة. إذا كان الاختراق معروفًا داخليًا ولكن لم يتم تصعيده أو الإفصاح عنه بشكل كافٍ، يمكن أن يعكس سعر الاستحواذ مخاطر غير كاملة. إذا ظهرت حقائق لاحقة، يتم توزيع التكلفة من خلال إعادة التفاوض أو التعويض أو التقاضي أو الإجراء التنظيمي. هذا التوزيع هو إشارة مساءلة عامة لأنه يظهر أن أدلة الاختراق المتأخرة يمكن أن تغير قيمة شركة.

وبالتالي تنتمي حالة Yahoo إلى حوادث حوكمة الشركات، وليس فقط حوادث الخصوصية. أصبح نظام حساب المستهلك نظام خطر صفقة. نفس الحقائق كانت مهمة للمستخدمين والمستحوذين والمستثمرين والمنظمين والمعلنين، لكن كل جمهور احتاج مستوى أدلة مختلف.

الإجراء التنظيمي حوّل التأخير إلى سجل قابل للتنفيذ

إجراء SEC على SEC source محوري لأنه صاغ القضية حول الفشل في الإفصاح عن اختراق هائل للمستثمرين في الوقت المناسب. الأمر على SEC source هو سجل عام رسمي، لكن يجب قراءته بعناية. إنه ليس قضية جنائية كاملة وليس مراجعة كاملة لهندسة الأمان. إنه سجل ضوابط الإفصاح: ما عرفته Yahoo، وما لم يتم الإفصاح عنه، وكيف وصفت الإيداعات العامة الخطر.

سجل FTC ذو صلة أيضًا. إعلان FTC على FTC source يصف تسوية حول انتهاكات الخصوصية والأمان المزعومة. هذا المصدر العام مهم لأن إصلاح أمان الحساب هو قضية حماية مستهلك بالإضافة إلى كونه قضية أوراق مالية. احتاج المستخدمون إلى إشعار في الوقت المناسب وادعاءات دقيقة وخطوات حماية حساب ذات مغزى.

أضاف منظمي الخصوصية الدوليين طبقة أخرى. تقرير التحقيق المشترك لمكتب مفوض الخصوصية في كندا على source: priv.gc.ca تناول الضمانات والمساءلة والاستجابة للاختراق في سياق عبر الحدود. صفحة إنفاذ مكتب مفوض المعلومات في المملكة المتحدة على source: ico.org.uk ذات صلة كجزء من سجل إنفاذ الخصوصية العام. هذه المصادر مهمة لأن حسابات Yahoo كانت عالمية، بينما اختلفت واجبات الإخطار وتوقعات الخصوصية حسب الاختصاص القضائي.

الإجراء التنظيمي ليس مثل إصلاح المستخدم. الغرامة لا تعيد تعيين كلمة المرور أو تستعيد الثقة. لكن الإنفاذ يخلق سجل أدلة عام لا يمكن للمستخدمين الخاصين الحصول عليه غالبًا. يمكن أن يظهر إخفاقات في التصعيد أو الضمانات أو ضوابط الإفصاح أو ممارسات الإخطار. يمكن أن يفرض أيضًا التزامات تنظيمية. سؤال المساءلة هو ما إذا كانت تلك الالتزامات غيرت الأنظمة التي أنتجت التأخير: الكشف، التصعيد التنفيذي، المراجعة القانونية، ضوابط الإفصاح، تصميم المصادقة، وأدلة إصلاح المستخدم.

يظهر سجل Yahoo لماذا تتطلب الاختراقات متعددة الاختصاصات القضائية إدارة أدلة واضحة. لا يمكن لمنصة حسابات عالمية معالجة الجغرافيا كفكرة لاحقة. قد يكون للمستخدمين في بلدان مختلفة حقوق قانونية مختلفة، لكن التعرض التقني يمكن أن يكون نفس نظام الحساب. سيادة البيانات والمحلية مهمة لأن المزود يجب أن يعرف مكان المستخدمين، والقواعد المطبقة، وكيفية تقديم إشعار في الوقت المناسب عبر الاختصاصات القضائية.

اعتماد القطاع العام على مزودي الحسابات الخاصين

لم تكن Yahoo مجرد شركة إعلانات وويب للمستهلك. كانت حساباتها جزءًا من البنية التحتية اليومية للهوية لكثير من الناس. يمكن استخدام عنوان بريد Yahoo الإلكتروني لتلقي إشعارات حكومية، واتصالات مدرسية، وتذكيرات صحية، وتنبيهات بنكية، ومراسلات محكمة، وطلبات عمل، وروابط استرداد لخدمات أخرى. لهذا السبب ينتمي موضوع استمرارية القطاع العام إلى هذه المقالة. يمكن أن يصبح صندوق بريد خاص اعتمادًا على الخدمة العامة حتى لو لم تتحكم فيه وكالة حكومية.

عندما تتعرض بيانات حساب البريد الإلكتروني، قد ينتقل الضرر عبر الخدمات التي تثق في صندوق البريد. قد يفوت المستخدم تحذيرًا لأن حجم التصيد يرتفع. قد يستخدم المحتال البيانات الشخصية القديمة لانتحال شخصية المستخدم. قد تعتمد عملية استرداد في خدمة أخرى على حساب البريد الإلكتروني. قد لا يكون لدى وكالة عامة محلية طريقة لمعرفة أن العنوان الذي تستخدمه للمواطن مرتبط بمنصة مخترقة. هذه ليست مسؤولية Yahoo وحدها، لكن Yahoo كانت لديها السيطرة العملية على أدلة أمان الحساب وإخطار المستخدم التي تفتقر إليها الخدمات الأخرى.

سجل DOJ على DOJ source ذو صلة هنا لأنه يصف وصولًا مزعومًا إلى حسابات مستهدفة وسلوك مرتبط بالاستخبارات، وليس فقط خطر بريد عشوائي عام. اختراق على نطاق هائل يمكن أن يدعم كل من الاستغلال الإجرامي الواسع والاستهداف المركز. قد يواجه مستخدمو القطاع العام والصحفيون والنشطاء والموظفون والمواطنون العاديون مستويات خطر مختلفة، لكن ملف أدلة المزود يحتاج إلى حساب كل من الضرر الجماعي والمستهدف.

استمرارية القطاع العام تغير أيضًا معيار الاسترداد. إخبار المستخدمين بتغيير كلمات المرور ضروري لكنه غير كافٍ عندما يكون صندوق البريد اعتمادًا لخدمات أخرى. يجب أن يخبر إشعار أقوى المستخدمين بالتحقق من إعدادات استرداد الحساب، ومراجعة قواعد إعادة التوجيه، وفحص النشاط الأخير، وإعادة تعيين أسئلة الأمان، وتحديث الحسابات المرتبطة، والتنبه للتصيد المستهدف. يجب أن يشرح أي المخاطر مؤكدة وأيها محتملة. لا ينبغي أن يجبر المستخدمين على استنتاج كل ذلك من عنوان رئيسي.

لذلك توضح حالة Yahoo كيف تلتقي هوية المستهلك والاستمرارية العامة. ليس لدى مزودي الحسابات الخاصين واجب عام لتشغيل الخدمات العامة، ولكن بمجرد أن تصبح حساباتهم قنوات هوية بحكم الأمر الواقع، يمكن أن يخلق الإفصاح المتأخر ضررًا مواجهًا للجمهور. يجب على المنظمين والمجالس معالجة هذا الاعتماد كجزء من نموذج الخطر.

يجب قياس إخطار المستخدم من حيث قابلية التنفيذ

إخطار المستخدم ليس مسؤولًا لمجرد وجوده. يجب أن يكون في الوقت المناسب ومحددًا وقابلاً للتنفيذ بما يكفي لتغيير سلوك المستخدم. في حالة تتضمن بيانات اعتماد الحساب وأسئلة الأمان وتواريخ الميلاد وأرقام الهواتف وعناوين البريد الإلكتروني وآليات الجلسة المحتملة، يجب أن يفصل الإشعار فئات البيانات وخطوات الإصلاح. يجب أن يقول ما إذا كانت كلمات المرور يتم إعادة تعيينها، وما إذا كانت أسئلة الأمان تُبطل، وما إذا كانت الجلسات تُلغى، وما إذا كان نشاط الحساب يجب مراجعته، وما إذا كانت الحسابات المرتبطة يجب فحصها، وما إذا كانت التحديثات المستقبلية متوقعة.

تغطية Reuters في سبتمبر 2016 على source: reuters.com وتغطية New York Times على source: nytimes.com تظهر اللحظة العامة عندما طُلب من المستخدمين فهم اختراق 2014. التقارير اللاحقة على source: nytimes.com وصفت توسع فهم اختراق 2013 ليشمل جميع حسابات Yahoo. التسلسل الزمني مهم لأن قابلية التنفيذ تقل عندما يصل الإشعار بعد فترة طويلة من التعرض. لا يزال بإمكان المستخدمين التصرف، لكن بعض الخطر قد نضج بالفعل.

موقع التسوية على source: yahoodatabreachsettlement.com هو جزء من سجل الانتصاف العام. إدارة التسوية لا تثبت كل حقيقة تقنية، لكنها تظهر أن ضرر المستخدم والإصلاح أصبحا عملية مطالبات رسمية. عملية المطالبات تختلف عن إصلاح الحساب. قد يتلقى المستخدم تعويضًا أو خدمات، لكن ذلك لا يجيب عما إذا كانت آليات الاسترداد والتسجيل وضوابط الجلسة وأسئلة الأمان قد أصلحت بالسرعة الكافية. كلا المسارين مهمان.

يجب أن يحافظ الإشعار القابل للتنفيذ أيضًا على عدم اليقين. إذا كانت الشركة لا تعرف ما إذا كان نوع معين من البيانات قد تم الوصول إليه لكل مستخدم، فيجب أن تقول ذلك. إذا تغيرت الأدلة لاحقًا، فيجب تحديث السجل. توسيع نطاق الاختراق لاحقًا من قبل Yahoo يوضح لماذا هذا مهم. الإشعار الذي يصبح لاحقًا غير كامل ليس بالضرورة غير صادق، لكن الشركة يجب أن تشرح كيف تغير الفهم وما يجب على المستخدمين فعله بشكل مختلف.

مقياس المساءلة هو ما إذا كان المستخدم العادي يمكنه التصرف دون أن يكون خبير أمن. إذا احتاج المستخدم إلى فهم كلمات المرور المجزأة وملفات تعريف الارتباط المزورة وإعادة استخدام أسئلة الاسترداد بمفرده، فإن الإشعار قد نقل الكثير من العبء إلى الخارج.

المستثمرون احتاجوا ضوابط إفصاح، وليس فقط ضوابط أمان

حالة Yahoo هي علامة فارقة لأن SEC تعاملت مع الإفصاح السيبراني كقضية ضوابط أوراق مالية. يمكن أن تمتلك الشركة ضوابط أمان وما زالت تفشل إذا لم تصل معلومات الأمان الجوهرية إلى صانعي قرار الإفصاح. بالعكس، لا يمكن لفريق الإفصاح تقديم إيداعات عامة دقيقة إذا بقيت حقائق الأمان محصورة في القنوات التقنية. الحدود الرقابية بين الأمان والقانون والمالية والقيادة التنفيذية هي بالتالي جزء من سجل الاختراق.

البيان الصحفي لـ SEC على SEC source أكد على أهمية قيام الشركات العامة بالإفصاح عن المخاطر والحوادث السيبرانية الجوهرية. الأمر على SEC source وصف إخفاقات في ضوابط وإجراءات الإفصاح في Yahoo. للقراء، الدرس الرئيسي هو أن الاستجابة للحوادث السيبرانية يجب أن تتضمن مسارًا من الأدلة التقنية إلى تقييم الأهمية النسبية. يجب توثيق هذا المسار قبل الأزمة، وليس اختراعه بعد ذلك.

يجب أن تجيب ضوابط الإفصاح على أسئلة محددة. من يتلقى تقارير الحوادث الأمنية الخطيرة؟ من يقرر ما إذا كان يجب إخطار المستخدمين؟ من يقرر ما إذا كان يجب إبلاغ المستثمرين؟ من يقرر ما إذا كان يجب أن يتلقى طرف المعاملة معلومات محدثة؟ ما الأدلة التي يحتاجها كل صانع قرار؟ كيف يتم تسجيل المجهولات؟ كيف يتم التوفيق بين الأدلة المتناقضة لاحقًا والإيداعات السابقة؟ إذا لم يكن لهذه الأسئلة مالك، يصبح التأخير محتملاً.

هذه ليست فقط قضية شركة عامة. الشركات الخاصة والمنظمات غير الربحية والوكالات العامة وأهداف الاستحواذ تحتاج جميعها إلى نوع من حوكمة الإفصاح. يتغير الجمهور، لكن المشكلة تبقى: حقائق الأمان يجب أن تصل إلى الأشخاص المسؤولين عن الواجبات القانونية والتعاقدية والمستخدم والتشغيلية. الاختراق الذي يتم اكتشافه تقنيًا ولكن لا يتم الإفصاح عنه مؤسسيًا لا يزال فشلًا في المساءلة.

لذلك يجب تدريس حالة Yahoo كحالة جدول زمني للإفصاح. تاريخ الاختراق، وتاريخ الكشف، وتاريخ المعرفة التنفيذية، وتاريخ الإشعار العام، وتاريخ الإفصاح عن الصفقة، وتاريخ الإجراء التنظيمي كلها مهمة. الشركة التي لا تستطيع إعادة بناء هذه التواريخ لا يمكنها إثبات أنها تعاملت مع الحادث بمسؤولية.

كيف ستبدو الأدلة الأفضل

تصميم أدلة أقوى لاختراق حساب المستهلك سيبقي ستة سجلات متوافقة. الأول سيكون سجل كشف: مؤشرات الاختراق، الأنظمة المتأثرة، تواريخ الرؤية الأولى، مستويات الثقة، وقرارات مالك الأمان. الثاني سيكون سجل تصعيد: متى تعلمت فرق الأمان والقانون والتنفيذ والمجلس والإفصاح والصفقة الحقائق الجوهرية. الثالث سيكون سجل خطر الحساب: فئات البيانات، حالة تجزئة كلمة المرور، حالة أسئلة الأمان، مشكلات رمز الجلسة، إعدادات الاسترداد، ومؤشرات نشاط الحساب. الرابع سيكون سجل إصلاح المستخدم: إعادة تعيين كلمات المرور، إبطال الجلسة، إبطال أسئلة الاسترداد، مطالبات مراجعة النشاط، إرشادات الحساب المرتبط، وعبء دعم المستخدم.

الخامس سيكون سجل إفصاح: إشعارات عامة، إيداعات أوراق مالية، تحديثات المستحوذ، إخطارات المنظم، والحقائق التي لا تزال غير معروفة. السادس سيكون سجل تحقق: مراقبة ما بعد الإصلاح، فحوصات التكرار، تقييمات طرف ثالث، وتحديثات عندما يتغير النطاق.

لم تكن Yahoo بحاجة إلى نشر تفاصيل استغلال حساسة لجعل مثل هذا الهيكل مفيدًا. يمكن للشركة أن تقول أي الفئات تمت مراجعتها، وما هي إجراءات المستخدم المطلوبة، وأي الجلسات أبطِلت، وأي آليات استرداد تغيرت، وأي التواريخ حكمت قرارات الإفصاح، وأي الحقائق بقيت غير مؤكدة. يمكنها تقديم مستويات مختلفة من التفاصيل للمستخدمين والمنظمين والمستحوذين والمستثمرين مع الحفاظ على سلسلة أدلة واحدة متسقة.

النقطة المهمة هي أن الإصلاح يجب أن يتناسب مع الحجم. لا يمكن التعامل مع اختراق يؤثر على مئات الملايين أو المليارات من الحسابات كرسائل دعم عادية. يتطلب إصلاح نظام الحساب، واتصال عام، وقدرة خدمة العملاء، وتوجيه مخاطر الاحتيال، وإدارة الإخطار القضائي، وأدلة الحوكمة. يجب أن يكون ملف الإصلاح قويًا بما يكفي بحيث لا يضطر المستخدمون والمنظمون إلى استنتاج ما إذا كانت إعادة تعيين كلمة المرور هي الإجابة الكاملة.

تبقى حالة Yahoo تحذيرًا لأن التأخير نفسه أصبح جزءًا من السجل العام. حتى لو كان الإصلاح اللاحق كبيرًا، لا يمكن استعادة الوقت قبل الإشعار. لا يمكن للمستخدمين حماية جميع الحسابات المرتبطة بأثر رجعي. لا يمكن للمستحوذين المساومة بأثر رجعي بمعلومات كاملة. لا يمكن للمستثمرين قراءة عوامل الخطر التي كان يجب أن تكون إفصاحات حادث بأثر رجعي. وبالتالي فإن أفضل إصلاح هو تدفق الأدلة المبكر: من الكشف إلى التصعيد، ومن التصعيد إلى القرار، ومن القرار إلى الأشخاص المتأثرين.

حدود الأدلة مهمة بقدر الحجم

غالبًا ما يتم تلخيص اختراقات Yahoo بعدد الحسابات. هذا الاختصار مفهوم لأن الأرقام كانت استثنائية. إنه أيضًا غير كامل. الحجم يخبر القراء أن الحدث كان كبيرًا، لكنه لا يخبرهم ما يجب على كل شخص متأثر فعله، وما عرفته الشركة في كل نقطة، وأي رقابة فشلت، أو أي إصلاح لاحق ثبت متانته. عنوان مليار حساب يمكن أن يحجب مسارات الأدلة الأصغر ولكن الأكثر قابلية للتنفيذ: تجزئة كلمة المرور، معالجة أسئلة الأمان، ضوابط ملفات تعريف الارتباط المزورة، مراجعة نشاط الحساب، توقيت الإخطار، وحوكمة الإفصاح.

يجب أن يقول السجل العام المسؤول ما يمكن لكل مصدر إثباته. سجل SEC يثبت قضية ضوابط الإفصاح ونتائج الوكالة حول ما فشلت Yahoo في الإفصاح عنه للمستثمرين. مواد DOJ تثبت أن المدعين وجهوا اتهامات ووصفوا سلوكًا مزعومًا من قبل ممثلين محددين. إعلانات Verizon تثبت تعديلات الصفقة العامة وإتمامها. سجلات FTC ومنظمي الخصوصية تثبت مواقف حماية المستهلك وإنفاذ الخصوصية. تقارير الأخبار تثبت التسلسل الزمني العام والسياق السوقي. لا شيء من هذه المصادر يعطي القراء تاريخ التذكرة الأمنية الداخلي الكامل، أو محاضر المجلس الكاملة، أو نتيجة كل إصلاح لكل مستخدم.

تلك الحدود ليست سببًا لتجنب الحكم. إنها أساس الحكم العادل. السجل العام قوي بما يكفي لقول أن الإفصاح المتأخر والتصعيد الضعيف والأدلة العامة غير الكاملة أصبحت جزءًا من الضرر. إنه ليس قويًا بما يكفي لإعادة بناء كل جلسة حساب خاصة أو نسب كل محاولة احتيال لاحقة إلى Yahoo. الفرق مهم لأن مساءلة اختراق الحساب يمكن أن تتأرجح بين خطأين: معاملة الحدث على أنه غير معروف لأن السجلات الخاصة مفقودة، أو معاملة الشظايا العامة كما لو كانت تثبت كل نتيجة لاحقة.

المعيار الصحيح هو الإثبات العملي. هل يمكن لـ Yahoo إظهار متى عرفت الحقائق الجوهرية؟ هل يمكنها إظهار من كانت لديه سلطة إخطار المستخدمين؟ هل يمكنها إظهار أي أسرار الحساب أبطِلت؟ هل يمكنها إظهار ما إذا كان المستخدمون مطالبين بإعادة المصادقة؟ هل يمكنها إظهار ما إذا كانت أسئلة الأمان قد أعيد تعيينها أو تقاعدت؟ هل يمكنها إظهار كيف تم تحديث طرف المعاملة؟ هل يمكنها إظهار أي المنظمين تلقوا أي معلومات ومتى؟ تلك الأسئلة لا تتطلب إفصاحًا عامًا عن تفاصيل استغلال حساسة. إنها تتطلب سلسلة أدلة يمكن للمستخدمين والمنظمين والمستحوذين والمستثمرين الوثوق بها.

لذا تظل القضية ذات صلة بعد وقت طويل من تغيير علامة Yahoo التجارية للملكية. لا يزال مزودو الحسابات الحديثة يحتفظون بعناوين الاسترداد وأرقام الهواتف وكلمات المرور القديمة وأسئلة الاسترداد ورسوم الاتصال وأنظمة الجلسة. إذا كانت حدود الأدلة غامضة، تنتقل تكلفة عدم اليقين إلى المستخدمين والأطراف المقابلة. إذا كانت الحدود واضحة، يمكن للأشخاص التصرف بناءً على الحقائق المؤكدة مع فهم ما لا يزال دون حل.

ينطبق درس الجدول الزمني للإفصاح أيضًا على أدلة دعم العملاء. عندما يعلن مزود عن اختراق حساب كبير، يصبح تنظيم الدعم جزءًا من نظام التحكم. يتلقى الأسئلة التي تكشف ما إذا كانت التوجيهات العامة قابلة للاستخدام: يسأل المستخدمون عما إذا كانوا بحاجة إلى تغيير الحسابات المرتبطة، وما إذا كانت أسئلة الاسترداد القديمة لا تزال مهمة، وما إذا كان يمكن الوثوق بسجلات نشاط الحساب، وما إذا كانت إعادة تعيين كلمة المرور إلزامية، وما إذا كان الإشعار ينطبق عليهم. يجب أن يلتقط سجل الاختراق الناضج تلك الإشارات الداعمة ويغذيها مرة أخرى في الإصلاح. إذا أساء المستخدمون فهم الإشعار، فإن الإشعار ليس كاملاً.

إذا لم يستطع الدعم التمييز بين الاختراق المؤكد والإجراء الاحترازي، فإن المؤسسة لم تترجم الأدلة التقنية إلى أدلة مستخدم. حلقة التغذية الراجعة هذه مهمة بشكل خاص في حجم Yahoo لأنه حتى الغموض الصغير يصبح ملايين من قرارات المستخدم.

ملف أدلة القارئ

تستخدم المقالة المصادر العامة التالية كملف قراءة لاختراقات حسابات Yahoo لعامي 2013 و2014، والتأخير في الإفصاح، وإصلاح أمان الحساب، وتعديل سعر الاستحواذ، وسجل الإنفاذ، ومساءلة هوية المستهلك. يتم التعامل مع كل مصدر بحدود: توفر مواد SEC والمنظم سجلات إنفاذ رسمية، وتوفر مواد DOJ ادعاءات الملاحقة الجنائية، وتوفر صفحات الشركة والمستحوذ أدلة صفقة، وتوفر مصادر الأخبار تسلسلًا زمنيًا عامًا، وتوفر مصادر المعايير مفردات تحكم.

1. مصدر عام مستخدم لملف الأدلة:https://www.sec.gov/files/litigation/admin/2018/33-10485.pdf
2. مصدر عام مستخدم لملف الأدلة:https://www.sec.gov/news/press-release/2018-71
3. مصدر عام مستخدم لملف الأدلة:https://www.sec.gov/edgar/browse/?CIK=1011006
4. مصدر عام مستخدم لملف الأدلة:https://www.justice.gov/opa/pr/us-charges-russian-fsb-officers-and-their-criminal-conspirators-hacking-yahoo-and-millions
5. مصدر عام مستخدم لملف الأدلة:https://www.verizon.com/about/news/verizon-and-yahoo-amend-terms-definitive-agreement
6. مصدر عام مستخدم لملف الأدلة:https://www.verizon.com/about/news/verizon-completes-acquisition-yahoos-operating-business
7. مصدر عام مستخدم لملف الأدلة:https://www.ftc.gov/news-events/news/press-releases/2018/10/ftc-finalizes-settlement-yahoo-alleged-privacy-security-failures
8. مصدر عام مستخدم لملف الأدلة:https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2019/pipeda-2019-001/
9. مصدر عام مستخدم لملف الأدلة:https://ico.org.uk/action-weve-taken/enforcement/yahoo-uk-services-limited/
10. مصدر عام مستخدم لملف الأدلة:https://www.yahoodatabreachsettlement.com/
11. مصدر عام مستخدم لملف الأدلة:https://www.wired.com/2016/09/yahoo-breach-500-million-accounts/
12. مصدر عام مستخدم لملف الأدلة:https://krebsonsecurity.com/2016/09/yahoo-says-500-million-accounts-stolen/
13. مصدر عام مستخدم لملف الأدلة:https://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P
14. مصدر عام مستخدم لملف الأدلة:https://www.reuters.com/article/us-yahoo-cyber-verizon-idUSKBN1601EK
15. مصدر عام مستخدم لملف الأدلة:https://www.nytimes.com/2016/09/23/technology/yahoo-hackers.html
16. مصدر عام مستخدم لملف الأدلة:https://www.nytimes.com/2017/10/03/technology/yahoo-hack-3-billion-users.html
17. مصدر عام مستخدم لملف الأدلة:https://www.nist.gov/cyberframework
18. مصدر عام مستخدم لملف الأدلة:https://www.cisecurity.org/controls
19. مصدر عام مستخدم لملف الأدلة:https://pages.nist.gov/800-63-3/
20. مصدر عام مستخدم لملف الأدلة:https://csrc.nist.gov/pubs/sp/800/63/b/upd2/final
21. مصدر عام مستخدم لملف الأدلة:https://attack.mitre.org/techniques/T1550/004/

ملف الأدلة هذا أوسع عمدًا من إشعار اختراق واحد لأن سجل اختراق حساب Yahoo يتضمن اختراقًا تقنيًا، وخطر هوية المستخدم، وإشعارًا متأخرًا، واقتصاديات الصفقة، وإفصاح الأوراق المالية، وإنفاذ الخصوصية، وإصلاح الحساب طويل الأجل. يجب أن يدعم السجل العام الأشخاص الذين يحتاجون إلى إجراء عملي، والمديرين الذين يحتاجون إلى خطة إصلاح، والمستحوذين الذين يحتاجون إلى أدلة صفقة، والقراء الذين يحتاجون إلى معرفة أي الادعاءات لا تزال غير مؤكدة.

أسئلة مراجعة المجلس

يجب أن تسأل مراجعة المجلس ما إذا كانت أدلة اختراق الحساب تنتقل من فرق الأمان إلى صانعي قرار الإفصاح بالسرعة الكافية. يجب أن تحدد المراجعة التواريخ التي تعلمت فيها فرق الأمان والقانون والتنفيذ والمجلس والإفصاح للمستثمرين والصفقة الحقائق الجوهرية.

يجب أن تسأل المراجعة ما إذا كان إصلاح الحساب يتناسب مع فئات البيانات المكشوفة. يجب فصل إعادة تعيين كلمات المرور، وإبطال أسئلة الأمان، وإلغاء الجلسة، ومراجعة إعدادات الاسترداد، وإرشادات الحساب المرتبط، ومراقبة النشاط المشبوه بدلاً من ضغطها في بيان أمان حساب عام.

يجب أن تسأل المراجعة ما إذا كانت التزامات الإخطار العالمية محددة قبل وقوع الحادث. يجب أن يعرف مزود الحسابات العالمي أي المستخدمين والاختصاصات القضائية والمنظمين وأطراف المعاملات يحتاجون إلى معلومات عند تعرض بيانات الحساب، ويجب عليه الحفاظ على أدلة تشرح توقيت كل إخطار.

بالنسبة لهذه الحالة بالذات، يجب على المجلس الإجابة على السؤال الرئيسي مباشرة: من كان لديه السيطرة العملية على كشف الاختراق، والتصعيد التنفيذي، وحماية كلمة المرور وأسئلة الأمان، وتوقيت إشعار المستخدم، والإفصاح عن الاستحواذ، والأدلة التنظيمية، والدليل على أن الإصلاح يتناسب مع حجم تعرض الحساب؟ يجب أن تتضمن الإجابة أدلة مؤرخة، وأصحابًا محددين، وجماهير متأثرة، وحدودًا قضائية، والحقائق التي ظلت غير مثبتة عندما تم إنشاء السجل العام.