۲۰ مورد از بزرگ‌ترین نشت‌های اطلاعاتی قرن بیست‌ویکم

در دنیای امروز که داده‌ها نقش محوری دارند، نشت اطلاعات می‌تواند صدها میلیون یا حتی میلیاردها نفر را به‌طور هم‌زمان تحت تأثیر قرار دهد. تحول دیجیتال باعث افزایش حجم داده‌های در گردش شده و وابستگی روزمره افراد به خدمات دیجیتال، ابعاد حملات سایبری را نیز گسترش داده است.

با توجه به این روند، مشخص نیست حملات سایبری آینده تا چه اندازه گسترده خواهند بود؛ اما فهرست بزرگ‌ترین نشت‌های اطلاعاتی قرن بیست‌ویکم نشان می‌دهد که این حملات همین حالا نیز به ابعاد بسیار بزرگی رسیده‌اند.

برای شفافیت بیشتر، این فهرست براساس تعداد کاربران آسیب‌دیده، رکوردهای افشاشده یا حساب‌های تحت تأثیر تهیه شده است. همچنین میان حوادثی که در آن‌ها اطلاعات عمداً به سرقت رفته یا به‌صورت مخرب منتشر شده‌اند و مواردی که سازمان‌ها به‌طور ناخواسته پایگاه‌های داده خود را بدون محافظت در دسترس عموم قرار داده‌اند، تفاوت قائل شده‌ایم. دسته دوم، به دلیل نبود شواهد قابل‌توجه از سوءاستفاده، عمداً در این فهرست قرار نگرفته‌اند.

در ادامه، فهرستی به‌روز از ۲۰ مورد از بزرگ‌ترین نشت‌های اطلاعاتی تاریخ اخیر را مشاهده می‌کنید که شامل جزئیات افراد و سازمان‌های آسیب‌دیده، عاملان حملات و واکنش شرکت‌هاست.

۱. پایگاه داده نظارتی چین

تاریخ: ژوئن ۲۰۲۵ – میزان تأثیر: ۴ میلیارد رکورد

بزرگ‌ترین نشت اطلاعاتی ثبت‌شده تا به امروز، به افشای ۴ میلیارد رکورد منجر شد. این اطلاعات شامل داده‌های وی‌چت، جزئیات حساب‌های بانکی و اطلاعات پروفایل کاربران علی‌پی بود و صدها میلیون نفر، عمدتاً در چین، را تحت تأثیر قرار داد.

این پایگاه داده با حجم ۶۳۱ گیگابایت، علاوه بر اطلاعات یادشده، شامل شماره تلفن‌ها، نشانی محل سکونت و پروفایل‌های رفتاری کاربران نیز بود. نکته نگران‌کننده این بود که این پایگاه داده بدون رمز عبور یا هرگونه سازوکار احراز هویت دیگری، به‌طور کامل در دسترس عموم اینترنت قرار داشت.

باب دیاچنکو، پژوهشگر امنیت سایبری و مالک وب‌سایت SecurityDiscovery.com، به همراه وب‌سایت امنیت سایبری Cybernews، در جریان یک پروژه تحقیقاتی با این حجم عظیم از اطلاعات افشاشده مواجه شدند.

این پایگاه داده که به گفته پژوهشگران با دقت گردآوری و نگهداری شده بود، پروفایل‌های جامع رفتاری، اقتصادی و اجتماعی بخش عمده‌ای از جمعیت چین را در بر می‌گرفت. پژوهشگران معتقدند یکی از مجموعه‌های اطلاعاتی آن با نام «tw_db» شامل اطلاعات مرتبط با تایوان بوده است.

پژوهشگران در نتیجه‌گیری خود اعلام کردند

حجم عظیم و تنوع انواع داده‌های موجود در این نشت اطلاعاتی نشان می‌دهد که احتمالاً با یک مرکز تجمیع متمرکز داده مواجه هستیم که ممکن است برای اهداف نظارتی، پروفایل‌سازی یا غنی‌سازی اطلاعات نگهداری شده باشد.

اطلاعات این پایگاه داده می‌توانست برای اهداف مختلفی مورد سوءاستفاده قرار گیرد؛ از حملات گسترده فیشینگ و کلاهبرداری در مقیاس صنعتی گرفته تا جمع‌آوری اطلاعات با حمایت دولت‌ها.

این پایگاه داده آسیب‌پذیر، مدت کوتاهی پس از شناسایی از دسترس خارج شد؛ اتفاقی که تلاش پژوهشگران برای شناسایی منبع اصلی آن را با مشکل مواجه کرد.

۲. یاهو (Yahoo)

تاریخ: اوت ۲۰۱۳ – میزان تأثیر: ۳ میلیارد حساب کاربری

حمله به یاهو، با فاصله تقریباً هفت سال از زمان وقوع اولیه و چهار سال پس از مشخص شدن ابعاد واقعی آن، همچنان در جایگاه نخست بزرگ‌ترین نشت‌های اطلاعاتی قرار دارد.

این شرکت نخستین بار در دسامبر ۲۰۱۶ به‌صورت عمومی اعلام کرد که چنین حادثه‌ای رخ داده است. یاهو در آن زمان در حال واگذاری به شرکت ورایزن بود و تخمین می‌زد اطلاعات حساب بیش از یک میلیارد کاربرش در دسترس یک گروه هکری قرار گرفته باشد.

کمتر از یک سال بعد، یاهو اعلام کرد که تعداد واقعی حساب‌های تحت تأثیر این حمله به ۳ میلیارد حساب می‌رسد.

این شرکت توضیح داد که برآورد جدید به معنای وقوع یک مشکل امنیتی جدید نیست و قرار است برای تمام حساب‌های کاربری دیگری که مشخص شده تحت تأثیر قرار گرفته‌اند، ایمیل اطلاع‌رسانی ارسال شود.

با وجود این حمله، معامله خرید یاهو توسط ورایزن نهایی شد، هرچند قیمت توافق‌شده کاهش یافت.

چاندرا مک‌ماهون، مدیر ارشد امنیت اطلاعات ورایزن، در آن زمان گفت

ورایزن به بالاترین استانداردهای پاسخ‌گویی و شفافیت متعهد است و برای تضمین ایمنی و امنیت کاربران و شبکه‌های خود در چشم‌انداز دائماً در حال تغییر تهدیدات آنلاین، به‌صورت فعالانه اقدام می‌کند. سرمایه‌گذاری ما در یاهو به این تیم اجازه می‌دهد اقدامات مهمی برای ارتقای امنیت خود انجام دهد و هم‌زمان از تجربه و منابع ورایزن بهره‌مند شود.

بررسی‌ها نشان داد مهاجمان به اطلاعات حساب کاربران، از جمله پرسش‌ها و پاسخ‌های امنیتی، دسترسی پیدا کرده بودند؛ اما رمزهای عبور به‌صورت متن ساده، اطلاعات کارت‌های پرداخت و داده‌های بانکی به سرقت نرفته بودند.

۳. شبکه املاک و مستغلات (Real Estate Wealth Network)

تاریخ: دسامبر ۲۰۲۳ – میزان تأثیر: ۱.۵ میلیارد رکورد

یک پایگاه داده با پیکربندی نادرست، اطلاعات حساس حوزه املاک و مستغلات را در معرض دسترسی عمومی قرار داد. این اطلاعات شامل سوابق املاک، اطلاعات مالی و داده‌های شخصی افراد مشهور و شناخته‌شده بود.

این پایگاه داده محافظت‌نشده با حجم ۱.۱۶ ترابایت، حدود ۱.۵ میلیارد رکورد را در خود جای داده بود و اطلاعاتی مانند شناسه‌های مالیاتی و احکام دادگاه‌ها نیز در آن وجود داشت.

شرکت Real Estate Wealth Network مستقر در نیویورک، پس از دریافت هشدار از جرمایا فاولر، پژوهشگر امنیتی که این آسیب‌پذیری را کشف کرده بود، پایگاه داده خود را ایمن کرد.

اطلاعات افشاشده بسیار فراتر از سوابق مالیاتی املاک و سایر اطلاعات قابل‌دسترسی از طریق اسناد عمومی ایالات متحده بود.

۴. آدهار (Aadhaar)

تاریخ: ژانویه ۲۰۱۸ – میزان تأثیر: افشای اطلاعات هویتی و بیومتریک ۱.۱ میلیارد شهروند هند

در اوایل سال ۲۰۱۸، اخباری منتشر شد مبنی بر اینکه مهاجمان سایبری موفق شده‌اند به آدهار، بزرگ‌ترین پایگاه داده هویتی جهان، نفوذ کنند.

این حمله اطلاعات بیش از ۱.۱ میلیارد شهروند هند را در معرض افشا قرار داد. اطلاعات افشاشده شامل نام، نشانی، تصاویر، شماره تلفن و ایمیل کاربران، همچنین داده‌های بیومتریک مانند اثر انگشت و اسکن عنبیه چشم بود.

از آنجا که این پایگاه داده، که در سال ۲۰۰۹ توسط سازمان Unique Identification Authority of India (UIDAI) ایجاد شده بود، اطلاعات حساب‌های بانکی مرتبط با شماره‌های منحصربه‌فرد ۱۲ رقمی افراد را نیز نگهداری می‌کرد، این حادثه ابعاد مالی و اعتباری نیز پیدا کرد. این موضوع در حالی بود که UIDAI در ابتدا وجود چنین اطلاعاتی را در پایگاه داده خود انکار کرده بود.

مهاجمان از طریق وب‌سایت شرکت Indane، یک شرکت خدماتی دولتی که از طریق رابط برنامه‌نویسی کاربردی (API) به پایگاه داده دولتی متصل بود، به اطلاعات آدهار دسترسی پیدا کردند.

این API به برنامه‌های مختلف اجازه می‌داد اطلاعات ذخیره‌شده در سایر برنامه‌ها یا نرم‌افزارها را بازیابی کنند. متأسفانه، API شرکت Indane فاقد کنترل‌های دسترسی مناسب بود و همین مسئله اطلاعات آن را در معرض خطر قرار داد.

هکرها دسترسی به این اطلاعات را با قیمتی در حدود ۷ دلار از طریق یک گروه واتس‌اپ به فروش می‌رساندند.

با وجود هشدارهای پژوهشگران امنیتی و گروه‌های فناوری، مقام‌های هندی تا ۲۳ مارس ۲۰۱۸ برای غیرفعال کردن نقطه دسترسی آسیب‌پذیر اقدام نکردند.

۴. علی‌بابا (Alibaba)

تاریخ: نوامبر ۲۰۱۹ – میزان تأثیر: ۱.۱ میلیارد داده کاربری

در یک دوره هشت‌ماهه، توسعه‌دهنده‌ای که برای یکی از شرکت‌های وابسته به بازاریابی همکاری در فروش فعالیت می‌کرد، با استفاده از نرم‌افزار خزنده‌ای که خودش توسعه داده بود، اطلاعات مشتریان وب‌سایت خرید چینی Taobao متعلق به علی‌بابا را جمع‌آوری کرد.

این اطلاعات شامل نام‌های کاربری و شماره تلفن مشتریان بود.

به نظر می‌رسد این توسعه‌دهنده و کارفرمایش اطلاعات را برای استفاده شخصی خود جمع‌آوری می‌کردند و قصد فروش آن‌ها در بازار سیاه را نداشتند. با این حال، هر دو به سه سال زندان محکوم شدند.

سخنگوی Taobao در بیانیه‌ای اعلام کرد

Taobao منابع قابل‌توجهی را برای مقابله با استخراج غیرمجاز اطلاعات در پلتفرم خود اختصاص می‌دهد؛ چراکه حریم خصوصی و امنیت داده‌ها از اهمیت بالایی برخوردار است. ما این استخراج غیرمجاز اطلاعات را به‌صورت فعالانه شناسایی و برطرف کرده‌ایم. همچنان با نهادهای مجری قانون همکاری خواهیم کرد تا از منافع کاربران و شرکای خود دفاع و محافظت کنیم.

۶. لینکدین (LinkedIn)

تاریخ: ژوئن ۲۰۲۱ – میزان تأثیر: ۷۰۰ میلیون کاربر

لینکدین، غول شبکه‌سازی حرفه‌ای، در ژوئن ۲۰۲۱ شاهد انتشار اطلاعات مرتبط با ۷۰۰ میلیون نفر از کاربران خود در یک انجمن دارک‌وب بود. این حادثه بیش از ۹۰ درصد پایگاه کاربران این شبکه اجتماعی را تحت تأثیر قرار داد.

هکری با نام مستعار «God User» از تکنیک‌های استخراج داده (Data Scraping) استفاده کرد و با بهره‌برداری از API لینکدین و سایر پلتفرم‌ها، به اطلاعات کاربران دسترسی پیدا کرد.

او ابتدا مجموعه‌ای از اطلاعات حدود ۵۰۰ میلیون کاربر را منتشر کرد و سپس مدعی شد که پایگاه داده کامل ۷۰۰ میلیون کاربر را برای فروش عرضه کرده است.

لینکدین استدلال کرد که چون اطلاعات حساس و خصوصی کاربران افشا نشده، این اتفاق نقض شرایط استفاده از خدمات پلتفرم بوده و نه یک نشت اطلاعاتی واقعی.

با این حال، نمونه‌ای از داده‌های استخراج‌شده که توسط هکر منتشر شد، شامل اطلاعاتی مانند نشانی ایمیل، شماره ، سوابق موقعیت جغرافیایی، جنسیت و سایر اطلاعات شبکه‌های اجتماعی کاربران بود.

مرکز ملی امنیت سایبری بریتانیا (NCSC) هشدار داد که مهاجمان می‌توانند از این اطلاعات برای طراحی حملات مهندسی اجتماعی دقیق‌تر و متقاعدکننده‌تر استفاده کنند.

۷. سینا ویبو (Sina Weibo)

تاریخ: مارس ۲۰۲۰ – میزان تأثیر: ۵۳۸ میلیون حساب کاربری

سینا ویبو با بیش از ۶۰۰ میلیون کاربر، یکی از بزرگ‌ترین پلتفرم‌های شبکه اجتماعی چین محسوب می‌شود.

در مارس ۲۰۲۰، این شرکت اعلام کرد که یک مهاجم به بخشی از پایگاه داده آن دسترسی پیدا کرده و اطلاعات شخصی ۵۳۸ میلیون کاربر را به دست آورده است.

این اطلاعات شامل نام واقعی، نام کاربری، جنسیت، موقعیت مکانی و شماره تلفن افراد بود.

گزارش‌ها حاکی از آن بودند که مهاجم پس از سرقت اطلاعات، پایگاه داده را با قیمت ۲۵۰ دلار در دارک‌وب به فروش رسانده است.

وزارت صنعت و فناوری اطلاعات چین (MIIT) به ویبو دستور داد اقدامات امنیتی خود را برای حفاظت بهتر از اطلاعات شخصی کاربران تقویت کند و در صورت وقوع حوادث امنیتی، کاربران و مقام‌های مسئول را مطلع سازد.

سینا ویبو در بیانیه‌ای اعلام کرد که مهاجم اطلاعاتی را جمع‌آوری کرده که کاربران پیش‌تر به‌صورت عمومی منتشر کرده بودند. این کار از طریق سرویسی انجام شده بود که برای پیدا کردن حساب ویبو دوستان با وارد کردن شماره تلفن آن‌ها طراحی شده بود.

این شرکت تأکید کرد که رمزهای عبور کاربران تحت تأثیر قرار نگرفته‌اند. با این حال، پذیرفت که اطلاعات افشاشده می‌تواند در کنار رمزهای عبوری که کاربران در سایر حساب‌های خود مجدداً استفاده کرده‌اند، برای دسترسی به حساب‌هایشان مورد سوءاستفاده قرار گیرد.

ویبو اعلام کرد که راهبرد امنیتی خود را تقویت کرده و جزئیات حادثه را به مقام‌های مربوطه گزارش داده است.

۸. فیسبوک (Facebook)

تاریخ: آوریل ۲۰۱۹ – میزان تأثیر: ۵۳۳ میلیون کاربر

در آوریل ۲۰۱۹ مشخص شد که دو مجموعه داده متعلق به برنامه‌های فیسبوک در اینترنت عمومی افشا شده‌اند.

این اطلاعات به بیش از ۵۳۰ میلیون کاربر فیسبوک مربوط می‌شد و شامل شماره ، نام حساب کاربری و شناسه فیسبوک افراد بود.

با این حال، دو سال بعد، در آوریل ۲۰۲۱، این اطلاعات به‌صورت رایگان منتشر شدند؛ اتفاقی که نشان‌دهنده وجود انگیزه‌های مجرمانه جدید و واقعی در ارتباط با این داده‌ها بود.

در واقع، به دلیل تعداد بسیار زیاد شماره تلفن‌های افشاشده که به‌راحتی در دارک‌وب قابل‌دسترسی بودند، تروی هانت، پژوهشگر امنیتی، قابلیت جدیدی به وب‌سایت بررسی اطلاعات افشاشده خود با نام Have I Been Pwned (HIBP) اضافه کرد تا کاربران بتوانند بررسی کنند آیا شماره تلفن آن‌ها در مجموعه داده افشاشده وجود دارد یا خیر.

هانت در یکی از پست‌XNETلاگی خود نوشت

من هرگز قصد نداشتم امکان جست‌وجوی شماره تلفن‌ها را فراهم کنم. موضع من این بود که این کار به دلایل مختلف منطقی نیست. اما اطلاعات فیسبوک همه‌چیز را تغییر داد. بیش از ۵۰۰ میلیون شماره تلفن وجود دارد، اما فقط چند میلیون نشانی ایمیل؛ بنابراین بیش از ۹۹ درصد افراد در جست‌وجوها نتیجه‌ای دریافت نمی‌کردند، در حالی که باید اطلاعاتشان پیدا می‌شد.

۹. ماریوت اینترنشنال (Marriott International / Starwood)

تاریخ: سپتامبر ۲۰۱۸ – میزان تأثیر: ۵۰۰ میلیون مشتری

شرکت هتلداری ماریوت اینترنشنال در پی حمله‌ای به سامانه‌های خود در سپتامبر ۲۰۱۸، از افشای اطلاعات حساس حدود نیم میلیارد نفر از مهمانان مجموعه هتل‌های Starwood خبر داد.

این غول صنعت هتلداری در بیانیه‌ای که در نوامبر همان سال منتشر کرد، اعلام کرد

در تاریخ ۸ سپتامبر ۲۰۱۸، ماریوت هشداری از سوی یکی از ابزارهای امنیتی داخلی خود درباره تلاش برای دسترسی به پایگاه داده رزرو مهمانان Starwood دریافت کرد. ماریوت بلافاصله از متخصصان برجسته امنیتی برای بررسی و تعیین جزئیات حادثه کمک گرفت.

ماریوت در جریان تحقیقات متوجه شد که دسترسی غیرمجاز به شبکه Starwood از سال ۲۰۱۴ وجود داشته است.

این شرکت در ادامه بیانیه خود افزود

ماریوت اخیراً متوجه شد که یک عامل غیرمجاز اطلاعات را کپی و رمزگذاری کرده و اقداماتی برای خارج کردن آن‌ها انجام داده است. در ۱۹ نوامبر ۲۰۱۸، ماریوت موفق شد اطلاعات را رمزگشایی کند و مشخص شد که این داده‌ها متعلق به پایگاه رزرو مهمانان Starwood هستند.

اطلاعات کپی‌شده شامل نام مهمانان، نشانی پستی، شماره ، نشانی ایمیل، شماره گذرنامه، اطلاعات حساب عضویت Starwood Preferred Guest، تاریخ تولد، جنسیت، تاریخ ورود و خروج، تاریخ رزرو و ترجیحات ارتباطی کاربران بود.

برای برخی از افراد، اطلاعات کارت‌های پرداخت و تاریخ انقضای آن‌ها نیز افشا شده بود؛ هرچند ظاهراً این اطلاعات رمزگذاری شده بودند.

ماریوت پس از این حادثه، با کمک متخصصان امنیتی تحقیقاتی انجام داد و برنامه‌هایی برای کنار گذاشتن تدریجی سامانه‌های Starwood و تسریع روند ارتقای امنیت شبکه خود اعلام کرد.

این شرکت در نهایت در سال ۲۰۲۰ توسط نهاد ناظر حفاظت از داده‌های بریتانیا، یعنی دفتر کمیسر اطلاعات (ICO)، به دلیل ناتوانی در محافظت از اطلاعات شخصی مشتریان، به پرداخت جریمه ۱۸.۴ میلیون پوندی محکوم شد. این مبلغ در ابتدا ۹۹ میلیون پوند تعیین شده بود.

روزنامه نیویورک تایمز در گزارشی، این حمله را به یک گروه اطلاعاتی چینی نسبت داد که با هدف جمع‌آوری اطلاعات درباره شهروندان آمریکایی فعالیت می‌کرد.

۱۰. یاهو (Yahoo)

تاریخ: ۲۰۱۴ – میزان تأثیر: ۵۰۰ میلیون حساب کاربری

یاهو برای دومین بار در این فهرست قرار گرفته است. این بار موضوع به حمله‌ای جداگانه در سال ۲۰۱۴ مربوط می‌شود.

در این حادثه، مهاجمان مورد حمایت یک دولت، اطلاعات ۵۰۰ میلیون حساب کاربری را به سرقت بردند.

اطلاعات سرقت‌شده شامل نام افراد، نشانی ایمیل، شماره ، رمزهای عبور هش‌شده و تاریخ تولد بود.

شرکت در سال ۲۰۱۴ اقدامات اولیه‌ای برای مقابله با این حادثه انجام داد؛ اما تا سال ۲۰۱۶ و پس از آنکه پایگاه داده سرقت‌شده برای فروش در بازار سیاه عرضه شد، جزئیات آن را به‌صورت عمومی اعلام نکرد.

۱۱. ای‌اف‌اف (AFF)

تاریخ: اکتبر ۲۰۱۶ – میزان تأثیر: ۴۱۲.۲ میلیون حساب کاربری

شبکه اجتماعی AFF در اکتبر ۲۰۱۶ هدف حمله مجرمان سایبری قرار گرفت و اطلاعات ۲۰ ساله کاربران خود را از شش پایگاه داده مختلف از دست داد.

با توجه به خدمات ارائه‌شده توسط این شرکت، افشای اطلاعات بیش از ۴۱۴ میلیون حساب کاربری می‌توانست پیامدهای بسیار جدی و مخربی برای قربانیان داشته باشد. اطلاعات سرقت‌شده شامل نام، نشانی ایمیل و رمز عبور کاربران بود.

علاوه بر این، بخش عمده رمزهای عبور افشاشده با الگوریتم SHA-1 هش شده بودند؛ الگوریتمی که از نظر امنیتی بسیار ضعیف محسوب می‌شود.

برآوردها نشان می‌داد که تا زمان انتشار تحلیل این مجموعه داده توسط وب‌سایت LeakedSource.com در ۱۴ نوامبر ۲۰۱۶، حدود ۹۹ درصد رمزهای عبور شکسته شده بودند.

۱۲. مای‌اسپیس (MySpace)

تاریخ: ۲۰۱۳ – میزان تأثیر: ۳۶۰ میلیون حساب کاربری

اگرچه مای‌اسپیس مدت‌ها بود که جایگاه سابق خود را به‌عنوان یکی از قدرت‌های اصلی شبکه‌های اجتماعی از دست داده بود، در سال ۲۰۱۶ بار دیگر به تیتر اخبار بازگشت.

در آن زمان، اطلاعات ۳۶۰ میلیون حساب کاربری این پلتفرم در وب‌سایت LeakedSource.com منتشر شد و هم‌زمان برای فروش در بازار دارک‌وب The Real Deal با قیمت پیشنهادی ۶ بیت‌کوین، معادل حدود ۳۰۰۰ دلار در آن زمان، قرار گرفت.

طبق اعلام شرکت، اطلاعات ازدست‌رفته شامل نشانی ایمیل، رمز عبور و نام کاربری بخشی از حساب‌هایی بود که پیش از ۱۱ ژوئن ۲۰۱۳ در نسخه قدیمی پلتفرم مای‌اسپیس ایجاد شده بودند.

این شرکت برای محافظت از کاربران، تمام رمزهای عبور حساب‌های آسیب‌دیده را غیرفعال کرد. همچنین اعلام کرد کاربرانی که مجدداً وارد مای‌اسپیس می‌شوند، باید هویت خود را تأیید کرده و رمز عبور جدیدی تعیین کنند.

اعتقاد بر این است که رمزهای عبور به‌صورت هش SHA-1 از ۱۰ کاراکتر ابتدایی رمز عبور ذخیره شده بودند؛ آن هم پس از تبدیل تمام حروف به حروف کوچک.

۱۳. نت‌ایز (NetEase)

تاریخ: اکتبر ۲۰۱۵ – میزان تأثیر: ۲۳۵ میلیون حساب کاربری

شرکت نت‌ایز که از طریق سرویس‌هایی مانند 163.com و 126.com خدمات ایمیل ارائه می‌کند، طبق گزارش‌ها در اکتبر ۲۰۱۵ با نشت اطلاعات مواجه شد.

در این حادثه، نشانی ایمیل و رمزهای عبور به‌صورت متن ساده مربوط به ۲۳۵ میلیون حساب کاربری، توسط فروشنده‌ای با نام DoubleFlag در یکی از بازارهای دارک‌وب عرضه شدند.

با این حال، نت‌ایز همواره وقوع هرگونه نشت اطلاعاتی را انکار کرده است.

تا به امروز، وب‌سایت Have I Been Pwned نیز درباره این حادثه اعلام کرده است

«با وجود شواهدی مبنی بر معتبر بودن خود داده‌ها، از جمله تأیید چندین کاربر مشترک HIBP که رمز عبور مورد استفاده خود را در این مجموعه اطلاعات پیدا کرده‌اند، به دلیل دشواری تأیید قطعی نشت اطلاعات منتسب به چین، این حادثه در دسته موارد تأییدنشده قرار گرفته است.»

۱۴. کورت ونچرز (Court Ventures / Experian)

تاریخ: اکتبر ۲۰۱۳ – میزان تأثیر: ۲۰۰ میلیون پرونده شخصی

شرکت Court Ventures که یکی از زیرمجموعه‌های Experian بود، در سال ۲۰۱۳ قربانی یک فریب پیچیده شد.

یک مرد ویتنامی با جا زدن خود به‌عنوان یک کارآگاه خصوصی از سنگاپور، موفق شد این شرکت را فریب دهد و به پایگاه داده‌ای شامل ۲۰۰ میلیون پرونده شخصی دسترسی پیدا کند.

جزئیات اقدامات هیو مین نگو (Hieu Minh Ngo) پس از دستگیری او آشکار شد. وی اطلاعات شخصی ساکنان ایالات متحده، از جمله شماره کارت‌های اعتباری و شماره‌های تأمین اجتماعی، را در اختیار مجرمان سایبری سراسر جهان قرار می‌داد. این فعالیت از سال ۲۰۰۷ آغاز شده بود.

در مارس ۲۰۱۴، او در دادگاه منطقه‌ای ایالات متحده در نیوهمپشایر، به چندین اتهام از جمله کلاهبرداری هویتی اعتراف کرد.

وزارت دادگستری ایالات متحده در آن زمان اعلام کرد که نگو از فروش اطلاعات شخصی در مجموع ۲ میلیون دلار درآمد کسب کرده است.

۱۵. لینکدین (LinkedIn)

تاریخ: ژوئن ۲۰۱۲ – میزان تأثیر: ۱۶۵ میلیون کاربر

لینکدین برای دومین بار در این فهرست حضور دارد. این بار موضوع به حمله‌ای در سال ۲۰۱۲ مربوط می‌شود.

در آن زمان، این شرکت اعلام کرد که ۶.۵ میلیون رمز عبور هش‌شده و بدون استفاده از Salt با الگوریتم SHA-1 توسط مهاجمان به سرقت رفته و در یک انجمن هکری روسی منتشر شده‌اند.

با این حال، ابعاد واقعی حادثه تا سال ۲۰۱۶ مشخص نشد.

مشخص شد همان هکری که اطلاعات مای‌اسپیس را برای فروش عرضه کرده بود، نشانی ایمیل و رمزهای عبور حدود ۱۶۵ میلیون کاربر لینکدین را نیز با قیمت تنها ۵ بیت‌کوین، معادل حدود ۲۰۰۰ دلار در آن زمان، به فروش گذاشته است.

لینکدین وقوع نشت اطلاعاتی را تأیید کرد و اعلام کرد که رمزهای عبور حساب‌های تحت تأثیر را تغییر داده است.

۱۶. داب‌اسمش (Dubsmash)

تاریخ: دسامبر ۲۰۱۸ – میزان تأثیر: ۱۶۲ میلیون حساب کاربری

در دسامبر ۲۰۱۸، سرویس پیام‌رسانی ویدیویی Dubsmash مستقر در نیویورک هدف حمله قرار گرفت.

در این حادثه، اطلاعات ۱۶۲ میلیون کاربر شامل نشانی ایمیل، نام کاربری، هش رمزهای عبور با الگوریتم PBKDF2 و سایر اطلاعات شخصی مانند تاریخ تولد به سرقت رفت.

این اطلاعات در دسامبر سال بعد در بازار دارک‌وب Dream Market برای فروش عرضه شدند.

اطلاعات مذکور بخشی از یک مجموعه داده بزرگ‌تر بودند که شامل اطلاعات سرویس‌هایی مانند MyFitnessPal، MyHeritage با ۹۲ میلیون حساب، ShareThis، Armor Games و اپلیکیشن دوست‌یابی CoffeeMeetsBagel نیز می‌شد.

Dubsmash وقوع نشت اطلاعات و فروش داده‌ها را تأیید کرد و توصیه‌هایی برای تغییر رمز عبور در اختیار کاربران قرار داد.

با این حال، شرکت توضیح نداد که مهاجمان چگونه به سامانه‌های آن نفوذ کرده‌اند و تعداد دقیق کاربران آسیب‌دیده را نیز تأیید نکرد.

۱۷. ادوبی (Adobe)

تاریخ: اکتبر ۲۰۱۳ – میزان تأثیر: ۱۵۳ میلیون رکورد کاربری

در اوایل اکتبر ۲۰۱۳، شرکت ادوبی اعلام کرد که هکرها نزدیک به سه میلیون رکورد رمزگذاری‌شده مربوط به کارت‌های اعتباری مشتریان و اطلاعات ورود به حساب‌های کاربری را سرقت کرده‌اند.

تعداد دقیق حساب‌های تحت تأثیر در آن زمان مشخص نبود.

چند روز بعد، ادوبی برآورد خود را افزایش داد و اعلام کرد که شناسه‌های کاربری و رمزهای عبور رمزگذاری‌شده ۳۸ میلیون کاربر فعال نیز در معرض خطر قرار گرفته‌اند.

برایان کربز، وبلاگ‌نویس حوزه امنیت، سپس گزارشی منتشر کرد که در آن اعلام شده بود یک فایل منتشرشده در روزهای قبل، ظاهراً شامل بیش از ۱۵۰ میلیون جفت نام کاربری و رمز عبور هش‌شده سرقت‌شده از ادوبی است.

تحقیقات چند هفته‌ای نشان داد که این حمله علاوه بر موارد قبلی، نام مشتریان، رمزهای عبور و اطلاعات کارت‌های اعتباری و نقدی آن‌ها را نیز افشا کرده است.

در توافقی که در اوت ۲۰۱۵ حاصل شد، ادوبی پذیرفت ۱.۱ میلیون دلار بابت هزینه‌های حقوقی و مبلغی نامشخص به کاربران پرداخت کند تا دعاوی مربوط به نقض قانون سوابق مشتریان و اقدامات تجاری ناعادلانه حل‌وفصل شوند.

در نوامبر ۲۰۱۶ گزارش شد که مبلغ پرداختی به مشتریان یک میلیون دلار بوده است.

۱۸. نشنال پابلیک دیتا (National Public Data)

تاریخ: دسامبر ۲۰۲۳ – میزان تأثیر: ۲۷۰ میلیون نفر

یک حمله سایبری به شرکت National Public Data، فعال در حوزه بررسی سوابق پیشینه افراد، اطلاعات صدها میلیون نفر را افشا کرد.

در این حادثه، حدود ۲.۹ میلیارد رکورد در معرض افشا قرار گرفتند.

در پی حمله دسامبر ۲۰۲۳، گروه هکری USDoD در آوریل ۲۰۲۴ اطلاعات سرقت‌شده را در دارک‌وب برای فروش عرضه کرد.

بخش بزرگی از این اطلاعات نیز در ژوئیه ۲۰۲۴ در قالب یک فایل ۴ ترابایتی در یکی از انجمن‌های جرایم سایبری به‌صورت رایگان منتشر شد.

این حادثه تنها پس از ثبت یک دادخواست دسته‌جمعی در اوت ۲۰۲۴ به‌صورت عمومی شناخته شد.

اطلاعات ۲۷۰ میلیون نفر، عمدتاً شهروندان آمریکایی، در این حمله افشا شد. این اطلاعات شامل شماره‌های تأمین اجتماعی، نام، نشانی پستی، ایمیل و شماره تلفن افراد بود.

بخش قابل‌توجهی از اطلاعات که داده‌های مربوط به ساکنان کانادا و بریتانیا را نیز شامل می‌شد، ظاهراً قدیمی یا نادرست بود؛ اما افشای چنین حجم عظیمی از اطلاعات شخصی همچنان پیامدهای بسیار جدی داشت.

برآورد می‌شود حدود ۷۰ میلیون ردیف از این مجموعه داده مربوط به سوابق کیفری ایالات متحده بوده باشد.

روش دقیق نفوذ اولیه هنوز تأیید نشده است؛ با این حال، برایان کربز، خبرنگار تحقیقی حوزه امنیت سایبری، گزارش داده است که تا اوایل اوت ۲۰۲۴، یکی از وب‌سایت‌های متعلق به NPD به نام recordscheck.net، نام کاربری و رمز عبور مدیر سایت را در یک آرشیو متنی ساده و بدون رمزگذاری نگهداری می‌کرده است.

شرکت Jericho Pictures که با نام تجاری National Public Data فعالیت می‌کند، در بیانیه‌ای به مردم توصیه کرد حساب‌های مالی خود را برای شناسایی فعالیت‌های غیرمجاز به‌دقت زیر نظر داشته باشند.

این شرکت اعلام کرد که با نهادهای مجری قانون و سازمان‌های دولتی همکاری می‌کند و در حال بررسی اطلاعات احتمالی آسیب‌دیده برای تعیین ابعاد حادثه است.

همچنین اعلام کرد در صورت بروز تحولات مهم‌تر، تلاش خواهد کرد افراد آسیب‌دیده را مطلع سازد.

متخصصان توصیه می‌کنند مصرف‌کنندگان برای کاهش خطر سرقت هویت، مسدودسازی اعتبار خود را نزد سه مؤسسه بزرگ اعتبارسنجی Equifax، Experian و TransUnion در نظر بگیرند و از خدمات محافظت در برابر سرقت هویت استفاده کنند.

۱۹. اکوئیفکس (Equifax)

تاریخ: ۲۰۱۷ – میزان تأثیر: ۱۵۹ میلیون رکورد

شرکت اعتبارسنجی Equifax در سال ۲۰۱۷ با یک نشت اطلاعاتی گسترده مواجه شد که ۱۴۷ میلیون شهروند آمریکایی و ۱۵ میلیون شهروند بریتانیایی را تحت تأثیر قرار داد.

نام افراد، شماره‌های تأمین اجتماعی، تاریخ تولد، نشانی محل سکونت و اطلاعات گواهینامه رانندگی بیش از ۱۰ میلیون نفر افشا شدند.

مهاجمان با سوءاستفاده از یک آسیب‌پذیری امنیتی در وب‌سایت، موفق شدند به سامانه‌های Equifax نفوذ کنند.

این حمله همچنین اطلاعات کارت‌های اعتباری گروه کوچک‌تری شامل ۲۰۹ هزار نفر را افشا کرد.

مجرمان سایبری بین ماه مه تا ژوئیه ۲۰۱۷ با بهره‌برداری از یک آسیب‌پذیری اصلاح‌نشده در Apache Struts به سامانه‌های Equifax نفوذ کردند. هدف آن‌ها درگاه حل اختلاف این مؤسسه اعتبارسنجی بود.

نکته مهم این بود که وصله امنیتی آسیب‌پذیری مورد سوءاستفاده، از ماه مارس ۲۰۱۷ در دسترس قرار داشت؛ یعنی چند ماه پیش از وقوع حمله.

Struts یک چارچوب نرم‌افزاری محبوب برای ساخت برنامه‌های کاربردی تحت وب مبتنی بر زبان جاوا است.

مهاجمان پس از ورود به سامانه، به‌صورت جانبی در شبکه حرکت کردند و در نهایت اعتبارنامه‌هایی را به دست آوردند که به آن‌ها اجازه می‌داد پایگاه‌های داده شرکت را جست‌وجو کنند. سپس به‌صورت سازمان‌یافته اطلاعات را استخراج کردند.

مقام‌های آمریکایی چهار عضو مشخص از ارتش چین را به طراحی و اجرای این حمله متهم کردند. مقام‌های چینی هرگونه دخالت در این حادثه را انکار کرده‌اند.

Equifax پس از این حادثه با مجموعه‌ای از شکایت‌های حقوقی و تحقیقات دولتی مواجه شد.

برآورد می‌شود این نشت اطلاعاتی حدود ۱.۷ میلیارد دلار برای شرکت هزینه داشته باشد؛ رقمی که تأثیر کاهش قیمت سهام شرکت را در نظر نمی‌گیرد.

Equifax همچنین حدود ۳۳۷ میلیون دلار برای ارتقای فناوری و امنیت داده‌ها، هزینه‌های حقوقی، بررسی‌های جرم‌شناسی رایانه‌ای و سایر هزینه‌های مستقیم صرف کرد.

۲۰. ای‌بی (eBay)

تاریخ: ۲۰۱۴ – میزان تأثیر: ۱۴۵ میلیون رکورد

در فاصله اواخر فوریه تا اوایل مارس ۲۰۱۴، یک نشت اطلاعاتی در بازار آنلاین eBay اطلاعات شخصی حساس حدود ۱۴۵ میلیون حساب کاربری را در معرض افشا قرار داد.

مجرمان سایبری پس از به خطر انداختن اطلاعات ورود تعداد محدودی از کارکنان شرکت، موفق شدند به سامانه‌های eBay دسترسی پیدا کنند.

این حمله به مهاجمان اجازه داد به اطلاعات حساسی مانند رمزهای عبور رمزگذاری‌شده، نشانی ایمیل، نشانی پستی، شماره تلفن و تاریخ تولد کاربران دسترسی پیدا کنند.

با این حال، اطلاعات مالی کاربران، از جمله داده‌های مربوط به حساب‌های PayPal، در سامانه‌ای جداگانه ذخیره شده بود و تحت تأثیر این حمله قرار نگرفت.

eBay در واکنش به این حادثه، کاربران را ملزم به تغییر رمزهای عبور خود کرد.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.