شركة Mercor للذكاء الاصطناعي تتعرض لاختراق بيومتري ضخم

تعرّضت شركة Mercor، منصة التوظيف والقوى العاملة المدعومة بالذكاء الاصطناعي والمُقدَّرة بعشرة مليارات دولار، لاختراق أمني خطير كشف عن بعض أكثر البيانات الشخصية حساسيةً على الإطلاق: وثائق هوية صادرة عن جهات حكومية، وبيانات بيومترية للوجه، وبيانات بيومترية للصوت تخص مستخدميها. وقد استقطب هذا الاختراق اهتماماً واسعاً، ليس فقط بسبب طبيعة البيانات المسرَّبة، بل أيضاً بسبب الكيفية التي وقع بها، والتداعيات المحتملة على الأفراد المتضررين.

يرتبط هذا الحادث بهجوم على سلسلة التوريد استهدف مكتبة LiteLLM، وهي مكتبة مفتوحة المصدر مستخدَمة على نطاق واسع، تُساعد المطورين على دمج نماذج اللغة الكبيرة في تطبيقاتهم. وحين تتعرض مكتبة أساسية بهذا المستوى للاختراق، قد تمتد تداعياتها لتطال عشرات أو مئات الشركات التي تعتمد عليها. ويبدو أن Mercor كانت من بين الضحايا في هذه الحالة. وقد أُشير إلى تورط مجموعتَي القرصنة TeamPCP وLapsus$ في الهجوم، إذ تمتلك Lapsus$ سجلاً موثقاً من الاختراقات البارزة ضد كبرى شركات التكنولوجيا.

وبحسب ما أُفيد، علّقت شركة Meta، التي كانت تتعاون مع Mercor، تلك الشراكة في أعقاب الإعلان عن الاختراق.

لماذا تُعدّ اختراقات البيانات البيومترية خطرة بشكل استثنائي

لا تحمل جميع اختراقات البيانات المستوى ذاته من المخاطر. فحين تُسرق كلمة مرور، يمكنك تغييرها. وحين يُكشف عن رقم بطاقة ائتمانية، يمكن للبنك إصدار بطاقة جديدة. أما البيانات البيومترية فأمرها مختلف تماماً. فوجهك وصوتك وبصماتك لا يمكن إعادة إصدارها. وما إن تُسرَب هذه البيانات، فإنها تبقى مكشوفة إلى الأبد.

وهذا بالضبط ما يجعل اختراق Mercor بالغ الخطورة. فالبيانات البيومترية للوجه مقرونةً بوثائق الهوية الحكومية تمنح المهاجمين أدواتٍ بالغة الفعالية لارتكاب عمليات الاحتيال في الهوية. وتحديداً، فإنها تهيئ ظروفاً مثالية لاحتيال التزييف العميق (Deepfake)، حيث تُستخدم وسائط اصطناعية توليدية لانتحال شخصية أفراد حقيقيين. وقد يتمكن المهاجمون من استخدام صور الوجه المسروقة والتسجيلات الصوتية للتحايل على نظم التحقق من الهوية، وفتح حسابات مالية احتيالية، أو انتحال شخصية أفراد في مكالمات الفيديو والمقابلات.

وقد تطورت تقنية التزييف العميق بوتيرة متسارعة، وانخفضت الحواجز أمام إنشاء وسائط اصطناعية مُقنعة بشكل ملحوظ. وحين تتوفر مواد مصدرية عالية الجودة كالبيانات البيومترية لشخص حقيقي، تصبح النتائج أكثر إقناعاً وأصعب كشفاً.

ثغرة سلسلة التوريد في قلب هذا الاختراق

من أبرز جوانب هذه الحادثة ناقل الهجوم المُستخدَم: اختراق سلسلة التوريد. فبدلاً من مهاجمة Mercor مباشرةً، استهدف المهاجمون مكتبة LiteLLM التي تعتمد عليها Mercor وكثير من شركات الذكاء الاصطناعي الأخرى. وهذه استراتيجية هجوم راسخة وآخذة في الانتشار.

تصعُب مواجهة هجمات سلسلة التوريد لأنها تستغل الثقة. فحين تدمج إحدى الشركات مكتبةً مفتوحة المصدر، فإنها تثق ضمنياً في نظافة هذا الكود. وحقن كود خبيث على مستوى المكتبة يعني أن أي شركة تسحب التحديثات قد تُثبِّت دون قصد باباً خلفياً أو مكوناً لحصد البيانات.

يُذكِّرنا هذا الاختراق بأن مستوى أمن المنظمة لا يتجاوز أضعف حلقة في تبعيات برمجياتها. وبالنسبة للمستخدمين، يُبرز ذلك أن بياناتهم قد تتعرض للخطر جراء قرارات تُتخذ على أصعدة عديدة تبعد عن الشركة التي سلّموا إليها تلك البيانات فعلياً.

ما الذي يعنيه هذا بالنسبة لك

إن كنت قد استخدمت منصة Mercor وقدّمت وثائق التحقق من الهوية، أو شاركت في أي عملية جمع للبيانات البيومترية، فعليك أن تتعامل مع بيانات هويتك باعتبارها مخترَقة محتملاً. إليك ما يمكنك فعله الآن:

  • راقب عمليات الاحتيال في الهوية. فعِّل التنبيهات لدى بنكك والمؤسسات المالية وتحقق من تقارير الائتمان الخاصة بك للكشف عن أي نشاط غير اعتيادي.
  • كن حذراً إزاء التحقق من الهوية عبر الفيديو. إن ادّعى أحدهم أنه أنت في سياق التحقق بالفيديو، فهذا الادعاء أصبح أسهل تزويراً باستخدام أدوات التزييف العميق.
  • تشكّك في الاتصالات غير المُستدعاة. قد يحاول المحتالون الذين يمتلكون بيانات هويتك شنّ هجمات تصيد احتيالي تبدو مشروعة بشكل لافت لأنهم يعلمون تفاصيل عنك مسبقاً.
  • حدّ من مشاركة البيانات البيومترية مستقبلاً. كن انتقائياً بشأن الخدمات التي تزودها بمسح الوجه أو التسجيلات الصوتية أو وثائق الهوية الحكومية. وتساءل إن كانت الخدمة تحتاج فعلاً إلى هذا المستوى من البيانات.
  • استخدم بيانات اعتماد قوية وفريدة في كل مكان. رغم أن كلمات المرور وحدها لا تحمي البيانات البيومترية، فإن تقليص سطح الهجوم الكلي يبقى أمراً مفيداً دائماً.
  • شفّر اتصالاتك. استخدام VPN عند الاتصال بالخدمات، خاصةً عبر الشبكات العامة أو غير الموثوقة، يُقلل من خطر اعتراض بيانات إضافية.

يُعدّ اختراق Mercor مثالاً صريحاً على سبب تشكيل التخزين المركزي للبيانات البيومترية بالغة الحساسية مخاطر مركّزة. فحين تحتفظ شركة واحدة بمسوح الوجه وبصمات الصوت ووثائق الهوية لعدد كبير من الأشخاص، يمكن لهجوم واحد ناجح أن تكون له عواقب تمتد لسنوات.

يُعدّ البقاء مُطّلعاً على الاختراقات التي تطال الخدمات التي تستخدمها، وفهم ما شاركته من بيانات مع أي منصات، واتخاذ نهج استباقي في التعامل مع هويتك الرقمية، من أكثر الخطوات العملية التي يمكنك اتخاذها. لن تتوقف اختراقات البيانات، لكن كلما عرفت أين تقع أكثر معلوماتك حساسيةً، كنت أفضل استعداداً للتصرف حين يسوء الأمر.