لماذا أصبحت بيانات العراقيين كنزا للمحتالين؟

يحدث دائماً عندما تسعى إلى الحصول على وظيفة أن تقدم الأوراق الثبوتية المتعارف عليها، وهي البطاقة الموحدة وبطاقة السكن، في ملف خاص، ثم تهمل أمر هذه الأوراق بمجرد التوظيف، لكن الغريب أن تفاجأ بمطالبات مالية لأنك تملك شركة تجارية يترتب عليها تسديد ديون للحكومة.

هذا ما حدث لأحد المواطنين العراقيين قدم شكواه عبر المحطات التلفزيونية المحلية، وقال إنه تم استغلال أوراقه الثبوتية التي قدمها للحصول على وظيفة من أجل تأسيس شركة، وهذه الشركة قدمت طلبات للحصول على قروض ولم تلتزم بالوفاء بها ليفاجأ هذا الشخص بوجود أمر بإلقاء القبض عليه لعدم وفائه بالديون كون الشركة مسجلة باسمه.

وتستغل الأوراق الثبوتية في العراق على جانبين: مباشر عن طريق أشخاص تمرسوا على هذا السلوك لسحب أمول نقدية عند السفر أو تأسيس شركات همها الحصول على قروض والهروب بالأموال. والجانب الآخر هو الرقمي الذي يتضمن سحب الأموال من البطاقات البنكية، أو التقديم على القروض والسلف عن طريق بطاقات صرف الرواتب.

معلومات غير سرية

وغالباً ما تحذر الجهات الرسمية من وجود روابط تصل عبر الهاتف، أو اتصال من أشخاص يدعون أنهم من بنوك حكومية ويطالبون الشخص بإرسال الرمز السري لبطاقة صرف الراتب لغرض إضافة علاوات مالية، ثم يقع ضحية هذا الاحتيال من ليس لديه المعرفة الكافية لحماية البيانات الخاصة به.

فقد فوجئ مدير مدرسة وعدد من المدرسين بسحب رواتبهم من البطاقات البنكية، يقول "وصلت إلي رسالة بأنه تم سحب مبلغ مليون ونصف دينار عراقي (1.145 دولار) وعندما ذهبت إلى "مصرف الرافدين" للشكوى علمت أنني لست الحالة الوحيدة هناك، فكثير من الموظفين سحبت رواتبهم بمجرد وصولها إلى بطاقات الدفع خلال شهر واحد".

وأوقف جهاز الأمن الوطني موقعاً على منصة "تيليغرام" بعنوان "داتابيس العراق"، إذ يطلب الحساب من المستخدم إدخال اسم الشخص الثلاثي والمحافظة التي يعيش فيها، ثم يتم عرض معلوماته كلياً، مستخدماً معلومات البطاقة التموينية وبطاقة الناخب. كما ادعى المشرفون على الحساب أنهم يستطيعون الوصول إلى المعلومات العائلية لأي شخص عراقي، بما في ذلك معلومات الضباط في الأجهزة الأمنية والموظفين في المواقع الحساسة.

لكن جهاز الأمن الوطني وبعد اعتقال المسؤولين عن هذا الموقع، قلل من خطر تسريب البيانات، إذ أوضح أن هذه المواقع كانت وهمية ومزورة، ولا تحتوي على بيانات حقيقية، وكان الهدف منها خداع المواطنين واستقطاب المتابعين وابتزازهم مالياً من خلال طلب بطاقات شحن الرصيد مقابل خدمات كشف البيانات.

 ألقي القبض على المتهم الرئيس وفق المادة 182 من قانون العقوبات (وتتعلق بجرائم إفشاء أو نشر أسرار الدولة والوثائق الرسمية المحظور إذاعتها)، وأوضح بيان لجهاز الأمن الوطني "أن الملفات التي جرى تداولها قديمة ولم تكن العملية اختراقاً حياً لمنظومة البطاقة الموحدة، بل كانت دمجاً لبيانات قديمة ومسربة سابقاً مثل معلومات البطاقة التموينية القديمة أو بيانات الناخبين، مضافاً إليها معلومات مضللة لغرض البيع".

تحول رقمي متسارع

يعد مصطلح "السيادة الرقمية" من المصطلحات المتداولة حديثاً، ويشير إلى "قدرة الدولة على التحكم في البيانات الرقمية لمواطنيها وضمان أمنها تحت إشراف مؤسساتها المُعتمدة، بعيداً من خوادم أو جهات خارجية قد تشكل تهديداً للخصوصية الوطنية". وحول ما إذا كان العراق يمتلك هذه السيادة يوضح المتخصص في الأمن السيبراني مؤمل أحمد شكير، أن "الموضوع لا يتعلق بثغرات محددة في حد ذاتها تتعلق بالأنظمة الرقمية، وإنما بالتحديات التي ترافق التحول الرقمي المتسارع في العراق، إذ يتم إطلاق خدمات إلكترونية جديدة يوماً بعد يوم، مما يفرض تحدياً كبيراً في جانب الأمن السيبراني، فالعراق لا يزال حديث العهد نسبياً بهذا المجال مقارنة بدول أخرى".

شكير يرى أن التحديات التقنية في العراق تسير في جانبين: الأول تقني، فالعراق بحاجة إلى تحديث الأنظمة والتقنيات وفق خطط ومعايير دولية واضحة وليس على نحو متفرق. والجانب الآخر بشري، ويتعلق بضرورة تدريب الموظفين وضخ كفاءات شابة داخل المؤسسات.

ويكمل شكير أن بعض دوائر الدولة لا تزال غير مهيأة بالكامل من ناحية البنية التحتية أو الكوادر، لكنه لا ينفي وجود بارقة أمل في هذا المجال، قائلاً "هناك تطور واضح سواء في الجانب الحكومي أو القطاع الخاص، واليوم أصبح لدينا عشرات الشركات والكفاءات العراقية المتخصصة بهذا المجال".

ويرى أن العراق قادر على الاستمرار بالتحول الرقمي، وهناك خطوات اتخذت بالفعل لحماية هذه العملية، من أبرزها إنشاء المركز الوطني للأمن السيبراني، والعمل على تأسيس وحدات ومديريات متخصصة داخل الوزارات والمؤسسات، وكذلك بدأت بعض الجهات بالاستفادة من الطاقات الشبابية مثل وزارة الداخلية من خلال مسابقات CTF، واستقطاب عدد من المتفوقين للعمل ضمن مؤسساتها، والمطلوب أن تسير الحماية السيبرانية بالتوازي مع إطلاق أية خدمة رقمية من خلال تحديث الأنظمة واختبارات الاختراق الدورية وتدريب الموظفين والاستفادة من أصحاب الخبرة في هذا المجال.

تسريب البيانات

تقنياً تسريب قواعد البيانات يكون في طرق عدة، أبسطها وأكثرها شهرة بحسب المحلل في الأمن السيبراني يونس غزاون، هو اختراق خلفيه المواقع (backend)، ويحدث ذلك عن طريق البحث عن ثغرة في موقع ما كما هي الحال في مواقع التسوق، إذ تتضمن قواعد البيانات حسابات المستخدمين وعناوينهم فضلاً عن معلومات الشراء، وعند اختراق وسحب قاعدة البيانات يقوم المخترق باستخدام أدوات لإلغاء تشفير ملف البيانات، ومن ثم بيع أو استخدام البيانات بطريقة ضارة.

ويكمل غزاون "خلفية المواقع أو ما يعرف بـ(backend) هي مخزن للمعلومات، ومن الممكن اختراقه ليتم سحب الملفات التي تتضمن قواعد البيانات، ففي حال عدم تحديث المواقع أو وجود ثغرة تخفى على العاملين بها، تحدث عملية الاختراق بشكل سهل".

ويوضح مؤمل أحمد شكير، أن بعض التطبيقات في العراق التي تعرضت للاختراق لم تكلف نفسها حتى تحذير مستخدميها أو إصدار توضيح رسمي، ويذكر لنا مثالاً عن إحدى هذه الحالات بالقول "تسربت بيانات مهمة من إحدى شركات توصيل الطلبات شملت مواقع GPS الخاصة بالمستخدمين وأرقام هواتفهم، ومع ذلك لم يصدر تحذير أو تنبيه من الشركة يوضح ما حدث أو ينبه المستخدمين إلى الإجراءات التي يجب اتخاذها لحماية أنفسهم".

خطورة هذا التسريب تتعلق بكونها بيانات شخصية من الممكن استغلالها لسنوات في الاحتيال، وفق شكير، مضيفاً "خلال السنوات الماضية ظهرت تسريبات لقواعد بيانات عراقية، وبعضها عُرض في الـ(دارك ويب)، كما رصدنا حالات تخص تطبيقات تعليمية وخدمية وتطبيقات توصيل الطلبات، وتضمنت بيانات لمئات الآلاف من المستخدمين مثل أرقام الهواتف والبريد الإلكتروني والعناوين ومعلومات أخرى مهمة".

ويتعرض العراق لهجمات سيبرانية تشمل المؤسسات الحكومية والخاصة، لكن هذه الخروقات، بحسب شكير، تمر من دون محاسبة أو إجراءات رادعة تتناسب مع حجم الضرر، ويرجع ذلك إلى غياب قانون متكامل وملزم لحماية البيانات الشخصية في العراق. هذا الفراغ التشريعي يجعل بعض الشركات أقل التزاماً بمسؤولية حماية بيانات المستخدمين والإفصاح عن حوادث التسريب.

في المقابل، والكلام لا يزال لشكير، "ليس كل ما يُعلن عنه على أنه تسريب يكون حقيقياً، فقد رصدنا سابقاً ادعاءات عن تسريب بيانات مرتبطة بالتعداد السكاني، وبعد فحص البيانات لم نجد ما يثبت صحة الادعاء كما تم الترويج له، وبعض هذه الادعاءات قد تدخل ضمن حملات التضليل، لذلك يجب فحص مصدر البيانات وعيناتها قبل الإعلان عن وجود اختراق حقيقي".