IDScan تؤكد اختراقاً يطال أكثر من 150 مليون هوية
أكدت شركة التحقق من الهوية IDScan.net ما كان الباحثون الأمنيون يحذرون منه منذ أسابيع: تعرضت أنظمتها للاختراق، وانكشفت البيانات الشخصية المرتبطة بأكثر من 150 مليون سجل رخصة قيادة. جاء هذا التأكيد بعد تقارير سابقة أفادت بأن إحدى خدمات الويب المظلم كانت تعرض نسخاً رقمية ممسوحة ضوئياً من رخص القيادة المرتبطة بمنصة IDScan.
ما يجعل هذه الحادثة جديرة بالملاحظة ليس حجمها فحسب، بل قائمة عملائها. فقد ذُكرت هيرتز وفيديكس وتارجت جميعها كشركات اعتمدت على خدمات التحقق التي تقدمها IDScan، مما يعني أن عملاء هذه الشركات ربما جرى جمع بيانات رخص قيادتهم في الاختراق دون أن يعلموا قط أن IDScan كانت طرفاً في المعاملة أصلاً. فمعظم الأشخاص الذين استأجروا سيارة، أو وثّقوا عملية توصيل، أو أكملوا فحص العمر عند الدفع لم تكن لهم أي علاقة مباشرة بـ IDScan. لقد تعاملوا ببساطة مع علامة تجارية مألوفة قامت، خلف الكواليس، بترجمة التحقق من الهوية إلى مورّد خارجي.
وقد أثار هذا الاختراق بالفعل تدقيقاً قانونياً. وكما ورد في تقاريرنا السابقة حول اختراق IDScan ودوره في نقاش السلامة الخاص بقانون KOSA، أصبح حجم بيانات رخص القيادة المكشوفة نقطة اشتعال في نقاشات أوسع حول مقدار معلومات الهوية الشخصية التي ينبغي السماح للشركات بجمعها وتخزينها ومشاركتها مع مورّدين خارجيين في المقام الأول.
لماذا يُعدّ مورّدو التحقق الخارجيون من الهوية سطح هجوم متنامياً
توضح حادثة IDScan مشكلة هيكلية تمتد إلى أبعد من شركة واحدة. فعندما تحتاج العلامات التجارية الكبرى إلى التحقق من عمر العميل أو هويته أو أهليته، لا يبني كثير منها هذه القدرة داخلياً. وبدلاً من ذلك، تمرر مستندات حساسة، مثل رخص القيادة وجوازات السفر وغيرها من الهويات الصادرة حكومياً، عبر مورّدين خارجيين متخصصين يعدون بالتحقق بشكل أسرع وأكثر دقة.
يخلق هذا الترتيب نقطة فشل واحدة. فبدلاً من أن يطال الاختراق قاعدة عملاء شركة واحدة، يمكن أن يمتد اختراق لدى مورّد مشترك مثل IDScan إلى كل شركة تعتمد عليه. وهكذا ينتهي الأمر بمستهلك لم يقدم معلوماته مباشرة إلى IDScan.net قط إلى تعريض بيانات رخصة قيادته للخطر، لمجرد أن متجر التجزئة أو شركة التأجير أو خدمة الشحن التي وثق بها قامت بترجمة خطوة التحقق تلك إلى جهة خارجية.
هذه الديناميكية تحديداً هي ما غذّى الدعاوى القضائية والاهتمام التنظيمي المفصّل في تغطيتنا السابقة حول اختراق IDScan الذي يغذي نقاش السلامة الخاص بقانون KOSA. ومع تبنّي مزيد من المنصات للتحقق من العمر وفحوص الهوية، غالباً استجابةً للوائح الجديدة، تستمر مجموعة المستندات الحساسة التي تتدفق عبر المورّدين الخارجيين في النمو، وكذلك يتنامى نطاق التأثير المحتمل عند اختراق أحد هؤلاء المورّدين.
ما ينبغي لعملاء هيرتز وفيديكس وتارجت فعله الآن
إذا كنت قد استأجرت مركبة من هيرتز، أو وثّقت عملية توصيل عبر فيديكس، أو أكملت فحص هوية لدى تارجت خلال الإطار الزمني الذي عالجت فيه IDScan البيانات، فمن المستحسن أن تتعامل مع معلومات رخصة قيادتك باعتبارها مكشوفة محتملة. فغالباً ما يكفي رقم رخصة القيادة، مقروناً بالاسم وتاريخ الميلاد والعنوان، ليتمكن سارقو الهوية من فتح حسابات جديدة، أو تقديم إقرارات ضريبية احتيالية، أو انتحال شخصيتك في سياقات أخرى.
ابدأ بالتحقق مما إذا كانت أي من الشركات الثلاث المذكورة قد أرسلت إشعارات اختراق مباشرة. وحتى إن لم تكن قد تلقيت واحداً بعد، فكّر في وضع تنبيه احتيال أو تجميد ائتماني لدى مكاتب الائتمان الكبرى، لأن بيانات رخصة القيادة تُستخدم كثيراً لتجاوز فحوص الهوية الأخرى. راقب حساباتك بحثاً عن أي نشاط غير مألوف، واحذر محاولات التصيد التي قد تشير إلى الاختراق لتبدو شرعية. فالمحتالون غالباً ما يتبعون الاختراقات البارزة برسائل بريد إلكتروني أو نصوص موجّهة مصممة لانتزاع مزيد من المعلومات من الأفراد المتضررين.
الحد من التعرض المستقبلي: تقليل مقدار بيانات الهوية التي تشاركها
بينما لا يمكنك التحكم في كيفية تعامل متجر تجزئة أو شركة تأجير مع التحقق خلف الكواليس، يمكنك أن تكون أكثر تروياً بشأن متى وأين تسلّم صورة أو نسخة ممسوحة ضوئياً من رخصة قيادتك. اسأل عما إذا كان الفحص الفعلي كافياً قبل الموافقة على رفع صورة هويتك إلى تطبيق أو موقع إلكتروني. وعندما يكون التحقق الرقمي لا مفر منه، تحقق مما إذا كانت الشركة تفصح عن المورّد الذي يعالج تلك البيانات، وابحث عن سياسات خصوصية تحدد مدة الاحتفاظ بالسجلات.
من المفيد أيضاً البحث بشكل دوري عن معلوماتك الخاصة إلى جانب مصطلحات مثل اسمك و«رخصة القيادة» لالتقاط العلامات المبكرة للتعرض، واستخدام خدمات مراقبة الهوية التي تراقب تحديداً إساءة استخدام الهويات الحكومية وليس أرقام بطاقات الائتمان فقط.
الخلاصة
يُظهر اختراق بيانات IDScan وتعرض رخص القيادة مدى السرعة التي يمكن أن ينتشر بها اختراق مورّد واحد عبر علامات تجارية ذات أسماء مألوفة. فلم يختر عملاء هيرتز وفيديكس وتارجت مشاركة بياناتهم مع IDScan.net، ومع ذلك يواجه كثيرون الآن المخاطر ذاتها كما لو أنهم فعلوا. وبينما يصبح التحقق من الهوية أكثر شيوعاً عبر الإنترنت وفي المتاجر، فإن البقاء متيقظاً لمعرفة المورّدين الذين يتعاملون مع مستنداتك، والاعتراض عندما لا يكون ذلك واضحاً، هو أحد الطرق القليلة التي يمكن للمستهلكين من خلالها مواجهة سطح الهجوم المتنامي هذا. وإذا كنت قد تعاملت مع أي من الشركات المذكورة مؤخراً، فاتخذ خطوات احترازية الآن بدلاً من انتظار وصول خطاب إشعار رسمي.
