الخبراء يحذرون من أن اختراق بيانات الهوية في «نيكسوس» يكشف عن مخطط للاحتيال

ظهرت منصة السوق على الشبكة المظلمة في أواخر أغسطس، مدعيةً أنها تمتلك حق الوصول إلى ما يقارب 170 مليون سجل، بما في ذلك أكثر من 153 مليون رخصة قيادة أمريكية وكندية، و10 ملايين بطاقة هوية أخرى، و3 ملايين وثيقة سفر، وما لا يقل عن 579,000 بطاقة طبية. وادعى مشغلو السوق أن المعلومات تم استخراجها على مدار أكثر من عام من إحدى الشركات الكبرى المتخصصة في التحقق من الهوية.

تسرب «نيكساس» يتجاوز بكثير مجرد تسريب كلمات المرور

يُعد اختراق كلمات المرور أمرًا سيئًا، لكن عادةً ما يكون هناك مخرج: تغيير كلمة المرور. أما الهويات الحكومية فهي قضية مختلفة تمامًا. أشارت الدكتورة ماريلين أورديكيان إلى أن رخص القيادة تحتوي على معلومات تظل مرتبطة بالأشخاص لسنوات، إن لم يكن إلى الأبد، بما في ذلك صورتهم وعنوان منزلهم وتاريخ ميلادهم.

وقالت أورديكيان: «في حالة تسرب كلمات المرور، يمكن للمرء إعادة تعيين بيانات اعتماده والمضي قدمًا». وأوضحت أنه في حالة سرقة بطاقات الهوية الحكومية، فإن المعلومات تصبح جزءًا لا يتجزأ من هوية الشخص ولا يمكن إعادة تعيينها ببساطة بعد أن يضع المجرمون أيديهم عليها.

ما يجعل تسرب بيانات Nexus مقلقًا بشكل خاص هو وجود مسح بالأشعة تحت الحمراء والأشعة فوق البنفسجية، وفقًا للتقارير. وأوضحت أورديكيان أن هذه المسحّات هي «إجراء أمني يُستخدم للتحقق من الأصالة»، مما يعني أنها تُستخدم «للتأكد من أن المستند المادي أصلي». وحذّرت من أن المجرمين قد يمتلكون «ليس فقط بطاقة هويتك، بل يمتلكون أيضًا المخطط والطبقة التقنية المستخدمة لإثبات أن بطاقة هويتك أصلية».

وهذا يفتح الباب أمام الكثير من المشاكل. قالت أورديكيان: «كل نظام يعتمد على بطاقة الهوية، سواء كان فتح حساب مصرفي، أو حساب تداول العملات المشفرة، أو استئجار سيارة، أو التحقق من تحويل مصرفي، إلخ (أي شيء يعتمد على هذا النوع من الهوية للتحقق من الهوية)، أصبح الآن سطح هجوم محتمل يمكن استغلاله».

الميزات الأمنية المسروقة تزيد من مخاطر الاحتيال

بمجرد وصول تلك السجلات إلى الأسواق الإجرامية، تصبح سرقة الهوية مجرد نقطة البداية. يمكن إعادة استخدام بيانات الاعتماد المسروقة في انتحال الهوية، وإنشاء حسابات مصرفية احتيالية، وغسل الأموال، وغيرها من المخططات. وحذر أورديكيان من أن المواد التي تعمل بالأشعة تحت الحمراء وفوق البنفسجية قد تجعل من الصعب على أنظمة التحقق اكتشاف الاستخدام الاحتيالي لأن الوثائق الأصلية نفسها حقيقية.

وهناك أيضًا جانب يتعلق بالأمن المادي. «لقد لاحظنا في مجال العملات المشفرة، على سبيل المثال، كيف يتم تحديد هوية بعض المستخدمين وضحايا اختراقات البيانات كمستثمرين، ويتم استهدافهم جسديًا لإجبارهم على تسليم أصولهم»، أكد أورديكيان. «في هذه الحالة بالذات، يمكن أن يعرض ذلك أيضًا الناجين من العنف المنزلي والأشخاص المشاركين في برامج حماية الشهود للخطر».

أشارت آثار «نيكسوس» إلى شركة IDScan.net، المزود لخدمات التحقق من الهوية ومقرها نيو أورلينز، والتي تقول إنها تعالج أكثر من 21 مليون عملية تحقق من الهوية شهريًا في أكثر من 20,000 موقع. لم تؤكد IDScan رسميًا تعرضها للاختراق، لكن الشركة أبلغت عملاءها أنها تحقق في معلومات تشير إلى احتمال تعرض البيانات للاختراق وأن الشركة «قد تكون متورطة».

Nexus تضع «مصيدة» بيانات «اعرف عميلك» (KYC) تحت المجهر

كما تثير هذه الحادثة سؤالًا مزعجًا بالنسبة لأنظمة «اعرف عميلك» (KYC): هل يؤدي جمع كميات هائلة من مستودعات وثائق الهوية إلى إنشاء «مصيدة» تصبح لا تقاوم بالنسبة للمجرمين؟

قال أرتيم بوبوف، رئيس قسم منتجات منع الاحتيال في Sumsub، إن الخطر أوسع نطاقًا من مجرد مزودي خدمات «اعرف عميلك» (KYC). وقال بوبوف لموقع Bitcoin.com News: «إن تخزين البيانات الشخصية في أي مكان ينطوي على مخاطر، وهذا ينطبق على أي شركة تتعامل معها، وليس فقط مزودي خدمات KYC». وأضاف أنه ينبغي على الناس أن يفترضوا فعليًا أن صورة الوثيقة قد تعرضت للسرقة بمجرد مشاركتها عبر الإنترنت، لأنها قد تمر عبر العديد من الخدمات التي تقع خارج نطاق سيطرتهم.

كما حذر بوبوف من أن الوثائق المسروقة ليست سوى جزء واحد من آلية الاحتيال. وقال بوبوف: «يعود الكثير من هذه التسريبات أيضًا إلى الهندسة الاجتماعية، حيث يتم إقناع شخص ما ببساطة بتسليم بياناته، وهذا هو بالضبط السبب في أن صورة الوثيقة وحدها لا ينبغي أبدًا أن تكون كافية لتسجيل أي شخص».

الخبراء يدفعون بعمليات التحقق من الهوية إلى ما هو أبعد من المستندات

وقال بوبوف إن الخطوة التالية هي إضافة طبقة أمان أخرى. «بالطريقة نفسها التي لم تعد فيها كلمة المرور كافية لتسجيل الدخول إلى أي نظام حساس، تحتاج الوثيقة إلى عامل ثانٍ يدعمها، مثل التحقق من الحيوية، للتأكد من أنها تنتمي فعليًّا إلى الشخص الذي يقدمها». يتطلب التحقق من الحيوية عمومًا من المستخدم إثبات أن شخصًا حقيقيًّا موجود فعليًّا، وليس مجرد شخص يقدّم صورة أو وثيقة مسروقة.

كما أن مجرد استبدال بطاقات الهوية بالبيانات البيومترية ليس حلاً سحرياً أيضاً. وحذر بوبوف من أن البيانات البيومترية تنطوي على مخاطر دائمة خاصة بها، لأن الوجه أو أي معرّف بيولوجي آخر لا يمكن إعادة إصداره بمجرد تعرضه للاختراق. من ناحية أخرى، قال أورديكيان إن هذه الحادثة يجب أن تدفع إلى إجراء فحص أعمق لقواعد أمن التحقق من الهوية وكيفية تطبيق تلك الإجراءات الوقائية.

لا يزال التحقيق الذي يجريه مكتب التحقيقات الفيدرالي (FBI) مفتوحًا، وفقًا لموقع «Krebs on Security»، وقد تم بالفعل رفع دعاوى جماعية مقترحة، ولم تنشر شركة «IDScan» بعد تقريرًا جنائيًا كاملاً، مما يعني أن القطاع لم يخرج من المأزق بعد، حيث يعمل المحققون على تحديد ما حدث بالضبط ومدى انتشار التسريب.