تقرير Gyazo النهائي يفصل الصور المتأثرة عن ملايين سجلات البيانات الوصفية

ملفات الصور ليست سجلات قواعد البيانات

تتطلّب قراءة حادث Gyazo فصل ملفات الصور عن معلومات المستخدمين والبيانات الوصفية. يحدّد تقرير Helpfeel النهائي 432 ملف صورة تخص 133 مستخدمًا بوصفها متأثرة. هذه نتيجة محدّدة بشأن الملفات، ولا ينبغي استبدالها بأرقام قواعد البيانات الأكبر أو وصف الوصول إلى هذه الملفات بالذات بأنه مجرد احتمال.

وتقول Helpfeel إن خدمة Gyazo استؤنفت في 27 سبتمبر بعد الاستجابة للاختراق. استعادة الخدمة ونطاق المعلومات المتأثرة سؤالان مختلفان. فتاريخ العودة لا يحوّل عدد السجلات إلى عدد أشخاص أو صور.

يسرد التقرير النهائي نحو 23.62 مليون سجل لمعلومات المستخدمين، مع تمييز صريح بين الحسابات والأفراد. لذلك لا يصح عرض هذا الرقم بوصفه عددًا لأشخاص فريدين.

كما يذكر نحو 174 مليون سجل بيانات وصفية مرتبطة بصور محذوفة ضمن البيانات المتأثرة. ينبغي إبقاء هذه الفئة مستقلة عن ملفات الصور نفسها؛ فالبيانات المرتبطة بالملف ليست الملف ذاته.

ما الذي تضيفه التغطية السابقة؟

ذكرت The Hacker News نحو 490 مليون سجل بيانات وصفية للصور، ترتبط أساسًا بصور من يناير 2019 أو قبله. تقدّم هذه التغطية سياقًا، بينما ينبغي اعتماد النتيجة النهائية الخاصة بالملفات المحدّدة في وصف الوضع الحالي. ولا يصح جمع الفئات لإنتاج مجموع جديد.

وذكرت The Hacker News أن البيانات الوصفية قد تشمل نصًا مستخرجًا من الصور بالتعرّف البصري على المحارف (OCR). يبرّر ذلك فحص المعلومات التي تبقى خارج ملف الصورة المرئي، دون افتراض أن جميع السجلات تحتوي الحقول نفسها.

وأفادت TechRadar بأن اختراق 11 سبتمبر استغل ثغرة لتنفيذ أوامر على خوادم Gyazo. يصف ذلك آلية الدخول المبلّغ عنها، لكنه لا يثبت وحده ما أُرسل لاحقًا من حقول أو ملفات.

وفي جانب منفصل، نقلت TechRadar تأكيد Helpfeel عدم كشف معلومات الدفع، بما فيها أرقام البطاقات. يخص هذا الاستنتاج معلومات الدفع تحديدًا، ولا ينبغي توسيعه إلى ضمان عام لبقية الفئات.

مراجعة مناسبة للفرق الجزائرية

الصلة بالجزائر عملية ومشروطة بالاستخدام. ينبغي للمؤسسة الجزائرية التي تشارك لقطات الشاشة أن تسأل عن محتواها، ومن يطّلع عليها، وما يرافقها من بيانات وصفية. لا تثبت هذه المعطيات ضحية جزائرية أو نسبة استخدام محلية.

يُستحسن فصل الملفات ومعلومات المستخدمين والنص المستخرج، وتحديد مسؤول عن كل فئة. ثم تُراجع قرارات الاحتفاظ والمشاركة الخارجية. وعند شرح أي حادث، يجب الحفاظ على وحدة القياس الأصلية؛ فالحسابات والسجلات والملفات والمستخدمون ليست وحدات متبادلة.

الدرس هو دقة التوصيف: تستحق نتيجة ملفات الصور المحدّدة الاهتمام دون تحويلها إلى ادعاء بسرقة جماعية للصور. وبالمقابل، فإن حصر التقييم في الملفات وحدها يتجاهل تعرض البيانات الوصفية بوصفها فئة مستقلة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Helpfeel
• The Hacker News
• TechRadar