تُقدَّم خدمة من الويب المظلم على ما يبدو أكثر من 153 مليون سجل رخصة قيادة أمريكية وكندية للبيع، وتفحص مكتب التحقيقات الفيدرالي خرقًا للبيانات يبدو أنه يشمل مزود التحقق من الهوية IDScan.net. هذه حالة أخرى حيث تُستخدم بعض الآليات التي يُفترض أنها مصممة لحماية الجمهور الأمريكي لضررها. المشكلة واضحة: عمليات مكافحة الاحتيال الحالية التي تتطلب تحديد هوية العميل والتحقق منها تعزز النشاط الاحتيالي من خلال تسليم المعلومات الحساسة الخاصة بك لل مجرمين على طبق من فضة.
لقد كانت الهجمات الإلكترونية المستهدفة للمعلومات الشخصية القابلة للتعريف (PII) شائعة لفترة طويلة، وهي تزداد سوءًا فقط. في عام 2017، تعرضت Equifax — إحدى أكبر وكالات التقارير الائتمانية في الولايات المتحدة — لهجوم إلكتروني أدى إلى اختراق معلومات شخصية حساسة لتقريبًا 148 مليون أمريكي. سُرقت بيانات ما يقرب من 45٪ من الأمريكيين. ادّعى وزارة العدل أن جيش التحرير الشعبي الصيني كان وراء الاختراق في لائحة اتهام صادرة عام 2020، لكن هذا كان مجرد ضمادة للمسألة الأساسية المتزايدة الانتشار.
لاز بييبير هو مدير الأبحاث في كون سنتر، الذي يدافع عن حقوق الأفراد في بناء واستخدام وتكوين شبكات نظير إلى نظير حرة ومفتوحة، وحق القيام بذلك بشكل خاص.
ربما لم يسمع معظم الأشخاص عن IDScan، لكنهم قدموا رخصة قيادة لشركات تستخدم تقنياتها وخدماتها. وكما يوحي الاسم، فإن IDScan متخصصة في التحقق من الهوية وتوفر أجهزة وبرمجيات تقوم بمسح وتحليل ومصادقة الهويات لوكالات تأجير السيارات والبنوك والفنادق والكازينوهات ومتاجر القنب والتجار والمزيد من الشركات. يمكن لنظمها التقاط صور من الأمام والخلف، واستخراج المعلومات الشخصية، ومطابقة صورة الهوية مع صورة ذاتية، وإرسال أو تخزين البيانات الناتجة في بوابة سحابية لتمكين الشركات من الوصول إليها بعد المصادقة.
على الرغم من أي تدابير أمن سيبراني، كان نموذج عمله دائمًا عرضة للهجمات. البيانات واحدة من أكثر السلع قيمة في القرن الحادي والعشرين. وقد صممت الحكومات والشركات على حد سواء مخططات للحصول على قدر كبير منها من المواطنين والمستهلكين، وفي هذه العملية، فتحت الباب أمام المجرمين السيبرانيين والخصوم الأجانب للمشاركة في سباق الذهب الحديث.
البيانات الأكثر أهمية هي، بالطبع، المعلومات الشخصية المحددة، والتي تتكون من تفاصيل حساسة جدًا، بما في ذلك اسم الشخص وعنوانه، بالإضافة إلى هويته الصادرة من الحكومة، مثل رخصة القيادة أو جواز السفر. للوصول إلى عدد كبير من الخدمات في الولايات المتحدة، يجب على الأمريكيين التعرف على أنفسهم، ويجب على مزودي الخدمة التحقق من هويتهم. يمكن أن يكون هذا الشرط تنظيميًا وتجاريًا على حد سواء: فالحكومة تريد منع الاحتيال والأنشطة غير المشروعة، لكن الشركات أيضًا تريد ذلك. لسوء الحظ، الطريقة المستخدمة لتحقيق ذلك لم تفعل شيئًا يذكر لمنع الاحتيال والأنشطة غير المشروعة، لكنها فعلت الكثير لتمكينها.
تُعد المؤسسات المالية، مثل البنوك، أفضل مثال. تُطلب من المؤسسات المالية بموجب قانون بنك السرية (BSA) ولوائحه جمع والاحتفاظ بسجلات معلومات الهوية الشخصية عند توظيف عملاء جدد لمكافحة التمويل غير المشروع والاحتيال. غالبًا ما يتم تخزين هذه المعلومات الحساسة والقيمة في قاعدة بيانات مركزية، تُعرف بـ "حقل الألغام"، مما يجعلها هدفًا جذابًا للقراصنة. بمجرد سرقة معلومات الهوية الشخصية، يمكن استخدامها لفتح حسابات أو اختراقها، وتنفيذ معاملات احتيالية، وغسل الأموال باسم شخص بريء.
كيف سارت هذه التدابير "الوقائية" بالنسبة للنظام المالي الأمريكي والعالمي؟ تلقى قاعدة بيانات الشكاوى والتقارير الاستهلاكية التابعة للجنة التجارة الفيدرالية 6.47 مليون تقرير بشأن الاحتيال وسرقة الهوية ومشاكل استهلاكية أخرى في عام 2024، بزيادة من حوالي 860,000 في عام 2004. كما أن التمويل غير المشروع ينتشر على نطاق واسع: تم تقدير أن النشاط المالي غير المشروع العالمي وصل إلى 4.4 تريليون دولار فقط في العام الماضي.
لقد اعتمدت المؤسسات المالية بشكل متزايد على طرق مختلفة للتحقق من العملاء لمنع المجرمين من تجاوز نقاط التحقق الخاصة بمكافحة الاحتيال — حتى مع امتلاكهم لمعلومات الهوية الشخصية لمواطن ملتزم بالقانون — لكن هذه الطرق أثبتت أنها عوائق طفيفة على الأكثر. الرموز المؤقتة المرسلة عبر الرسائل النصية أو البريد الإلكتروني يمكن اختراقها بسهولة من خلال هجمات التصيد وطرق أخرى متعددة، وفحص البيومترية يضعف مع التقدم السريع في الذكاء الاصطناعي.
IDScan ليست مؤسسة مالية، ولا يطلب منها القانون الاحتفاظ بأي معلومات شخصية محددة (PII) — فهي ببساطة مزود خارجي يسمح للشركات الأخرى بإجراء فحوصات الهوية. ومع ذلك، ركزت الشركات التي استخدمت خدمات السحابة الخاصة بـ IDScan فخاخها في موقع مركزي أكثر، مما جعل اختراق البيانات أسهل بكثير.
مع أخذ كل هذا في الاعتبار، لماذا نسلم معلوماتنا الشخصية الحساسة إذا كان كل ما نحصل عليه مقابل ذلك وعودًا كاذبة بالأمان؟ الأمريكيون ليسوا أكثر أمانًا لأنهم يُحددون هويتهم في كل لحظة يستيقظون فيها أمام كل مزود خدمة يواجهونه. على العكس تمامًا. ومع ذلك، ترغب الحكومات محليًا ودوليًا في توسيع نظام التعرف هذا أكثر من خلال التحقق من العمر تحت ذريعة حماية الأطفال. لكننا نشهد مرة أخرى أن هذه "الحماية" تسبب ضررًا أكثر من نفعها. معلوماتنا موجودة خارجًا، وتُتداول بين المجرمين لأن الحكومات والشركات أرادت معرفة من نحن وماذا نفعل. والآن نحن ندفع الثمن.
إذا كان هناك وقت ما كان يتطلب خصوصية أقوى، فهو الآن. ومع ذلك، لا يمكننا تجاهل الدقة. هناك دعوات لإلغاء عمليات التعرف والتحقق بالكامل. هذا بديل جذاب، لكن الواقع هو أن الغرض الأساسي من عمليات مكافحة الاحتيال هو حماية الأمريكيين وممتلكاتهم، كما يحمي إيرادات الأعمال وسلامتها التشغيلية — فالنهج الحالي غير ناجح ببساطة. هناك فائدة حقيقية هنا، لكن هذا لا يعني أن علينا البقاء على الوضع الراهن.
تقدم التقنيات الناشئة إمكانية اتباع نهج أفضل. بدلاً من طلب متكرر من الأمريكيين التخلي عن نسخ كاملة من هوياتهم، يمكن للأنظمة التي تحافظ على الخصوصية السماح للأفراد بإثبات ما تحتاجه الخدمة فقط لمعرفته — مثل عمرهم أو أهليتهم أو سيطرتهم على حساب — مع الاحتفاظ بالمعلومات الأساسية تحت سيطرتهم.
لا تزال هذه التقنيات قيد التطوير، لكن يجب على الجهات التنظيمية الفيدرالية منح المؤسسات مساحة لاختبارها وتحديث المتطلبات الحالية مع نضوجها. بالإضافة إلى ذلك، مع ظهور مزيد من النُهج المُحافظة على الخصوصية، يجب على الكونغرس تقليل متطلبات جمع المعلومات والاحتفاظ بها غير الضرورية. لا تزال عمليات مكافحة الاحتيال ذات قيمة، لكن يمكن أن توجد دون ملف دائم يمكن لل مجرمين سرقته.
بشكل أكثر إلحاحًا، يجب على واشنطن وحكومات الولايات المختلفة وقف أي تشريعات أو لوائح تمدد متطلبات التعرف والتحقق إلى مجالات لا توجد فيها حاليًا ولا تحتاج إليها. يجب إنهاء الدفع نحو التحقق من العمر للبرمجيات مفتوحة المصدر والإنترنت؛ فهو يعرض الأمريكيين العاديين للخطر ويعزز المجرمين والخصوم الأجانب، بينما يفشل في حماية الأطفال.
الخرق مثل هذا يمكن منعه؛ ما علينا سوى أن نرغب في منعه. الأدوات اللازمة لذلك بدأت بالظهور، وفي الحالات التي لا نحتاج فيها إلى التحقق من شخص ما، ينبغي لنا تجنب القيام بذلك. لأن أفضل طريقة لحماية المعلومات الشخصية الحساسة هي عدم جمعها أصلاً.