منحنى متصاعد: تزايد عمليات تسريب البيانات عالميًا

مع ضخامة حجم البيانات المتداولة عالميًا في اليوم الواحد، وفي اتجاه مضاد للإقرار الدولي لمبادئ الخصوصية من ناحية، وتسارع وتيرة سياسات توطين البيانات من ناحية ثانية، تزايدت -في المقابل- عمليات تسريب البيانات وتسليعها وطرحها للبيع على منتديات القرصنة والشبكة السوداء في عام 2022 والأيام الأولى من عام 2023 على نحو يدلل على تصاعد وتعدد مخاطر أمن البيانات عالميًا من ناحية، وتحول بيانات المستخدمين إلى هدف ثمين وسلعة رائجة مقترنة بجملة من الجرائم المصاحبة ومنها السرقة والابتزاز وغير ذلك من ناحية ثانية، وتزايد أهمية الإجراءات والتدابير الأمنية الاحترازية لتأمين سلامة البيانات من ناحية ثالثة.

أبرز المؤشرات

تعددت حالات تسريب البيانات طيلة العام الماضي وفي الأيام القليلة من بداية العام الجاري، وهي الحالات التي يمكن الوقوف على بعض الأمثلة البارزة لها، وذلك على النحو التالي:

1- وسائل التواصل الاجتماعي: في إبريل 2022، تسرب حوالي 487 مليون رقم من أرقام الهواتف الشخصية لمستخدمي تطبيق “واتساب” في 84 دولة على الشبكة السوداء، وقد عُرضت جميعها للبيع على منتدى قرصنة مشهور، وقد كان من بينها 94 مليون رقم لمستخدمي التطبيق في الدول العربية، بما في ذلك 34 مليون رقم لمستخدمين مصريين. وقد سبق أن ظهرت بيانات شخصية لـنصف مليار مستخدم لتطبيق “فيسبوك” على أحد مواقع المتسللين في إبريل 2021، بما في ذلك أرقام هواتفهم وعناوين بريدهم الإلكتروني. وعلى صعيد آخر، سرق بعض القراصنة في 6 يناير 2023 عناوين البريد الإلكتروني لأكثر من 200 مليون مستخدم على موقع “تويتر” في واحدة من أكبر عمليات تسريب البيانات في تاريخ المنصة، وهي العملية التي استتبعها بيع تلك البيانات على منتدى التسريبات المعروف باسم (Breached) بسعر منخفض (2 يورو لكل حساب). وقد سبق أن تعرض “تويتر” لسرقة بيانات 5.4 ملايين مستخدم في نوفمبر 2022 جراء ثغرة أمنية في واجهة برمجة التطبيقات.

 2- تطبيقات التخزين السحابي: تعرض تطبيق ( iCloud) للتخزين السحابي التابع لشركة “أبل” لتسريب عدة فيديوهات وصور تابعة لعدد من المستخدمين في نوفمبر 2022، وهو ما أرجعته الشركة إلى عطل فني طال مستخدمي هواتف “آيفون 13 برو” و”14 برو”. وعلى خلفيته، تحولت مقاطع الفيديو على التطبيق إلى اللون الأسود ما جعلها غير قابلة للمشاهدة عند الحفظ أو التنزيل، وقد ظهر على أخرى خطوط سوداء مع تثبيت صورة واحدة من مصادر غير معروفة قد تكون تابعة لحسابات أخرى على التطبيق.

3- الخدمات الحكومية: تعرض البريد الملكي البريطاني (Royal Mail) في نوفمبر 2022 إلى خرق للبيانات ومن ثم خلل في خدمة شحن الطرود المعروفة باسم Click & Drop))، ما مكّن العملاء من رؤية معلومات وطلبات وتفاصيل المستخدمين الآخرين. ولاحتواء ذلك، أوقفت الشركة خدمات البريد كإجراء وقائي دون الكشف عن سبب الخلل الذي أصاب خدماتها. وعلى صعيد آخر، تعرضت هيئة السكك الحديدية الهندية لهجوم سيبراني طال بيانات حوالي 30 مليون عميل، بما في ذلك رسائل البريد الإلكتروني وأرقام هواتف المتعاملين معها، وسط شكوك تطال سجل معلومات السفر الخاص بالمستخدمين الذي يتضمن كلًا من: اسم الراكب، ورقم الهاتف، والموقع، ورقم القطار، ووقت الوصول، والبريد الإلكتروني، والجنسية. وفي ديسمبر 2022، اختُرقت قاعدة بيانات وزارة التعليم العالي والبحث العلمي والابتكار بالمغرب، مما أسفر عن تسريب بيانات عشرات الآلاف من الطلبة المغاربة التابعين لجامعة “القاضي عياض” الحكومية بمراكش.

4- الشركات الخاصة: فتحت شركة “أوبر” للنقل الذكي في سبتمبر 2022 تحقيقًا في خرق بيانات العملاء جراء خلل في حساب “سلاك” المخصص لتبادل المحادثات بين العملاء والشركة، وبموجبه تمكن المخترق من السيطرة على أنظمة الشركة الداخلية وقواعد بياناتها. وعلى إثر ذلك، أوقفت الشركة الخدمة بعد أن تراجعت أسهمها بنسبة 5%. وقد هدد المخترق بتسريب رمز مصدر الشركة بعد أن أوضح أنه اخترق الشركة بدافع التسلية، وإن تسبب اختراقه في استيلائه على خدمات الويب التي تقدمها الشركة وكذا بعض بياناتها المالية الداخلية.

5- البنوك المصرفية: سُربت بيانات حوالي مليون وربع بطاقة بنكية على الشبكة المظلمة في أكتوبر 2022 على سوق يُعرف باسم (BidenCash)، وهي البيانات الشخصية التي شملت: عناوين البريد الإلكتروني، وأرقام هواتف العملاء وعناوينهم. وقد أرجع خبراء الأمن السيبراني حدوث ذلك إلى بيانات التسجيل الموجودة في صفحات الشراء على عدد من مواقع التجارة الإلكترونية المخترقة. وعلى صعيد آخر، فضحت البيانات البنكية المسربة إلى صحيفة “زود دويتشه تسايتونغ” الألمانية عن عملاء بنك “كريدي سويس” السويسري في فبراير 2022 حجم ثروات بعض الشخصيات السياسية والحكام السابقين والحاليين وعدد من المتورطين في جرائم غسيل الأموال وتجارة المخدرات في مصر والأردن والجزائر وعُمان وغير ذلك. وقد شملت إجمالًا أكثر من 18 ألف حساب مصرفي، بهم ما يزيد على 100 مليار دولار دون أي إشارة إلى العمليات المصرفية الراهنة.

6- كبرى الشركات العالمية: في أكتوبر 2022، تعرض خادم من خوادم شركة “مايكروسوفت” المعروف باسم (Azure Blob Storage) لخرق كان السبب في تسريب بيانات أكثر من 65 ألف شركة من 111 دولة، وهي البيانات التي شملت بعض بيانات العملاء بما في ذلك: أسماؤهم، وأرقام هواتفهم، وعناوين بريدهم الإلكتروني، إلى جانب أسماء بعض الشركات والبيانات المتعلقة بمبيعاتها وغير ذلك. وقد تواصلت الشركة مع العملاء الذي تأثروا بالخرق دون أن تقدم أي إحصاءات مفصلة بشأنه.

7- شركات الرعاية الصحية: طالب بعض القراصنة في نوفمبر 2022 بفدية بلغت قيمتها 10 ملايين دولار للحيلولة دون تسريب سجلات (Medibank)، وهي إحدى شركات الرعاية الصحية الأسترالية الكبرى، حيث تمكن القراصنة من الوصول إلى معلومات 9.7 ملايين عميل حالي وسابق، بما في ذلك رئيس الوزراء الأسترالي “أنطوني ألبانيز”. وقد تضمنت تلك البيانات بعض التفاصيل الحساسة عن مدمني المخدرات ومرضى الأمراض الجنسية وعمليات الإجهاض النسائية، وهي البيانات التي نُشرت جميعها على الشبكة المظلمة بما في ذلك أسماء وعناوين وتواريخ ميلاد مئات العملاء.

أبرز الدلالات

يمكن الوقوف على أبرز دلالات تزايد عدد عمليات تسريب البيانات كما سبق توضيحه من خلال جملة من النقاط، وذلك على النحو التالي:

1- تزايد حالات الابتزاز بالتبعية: عادةً ما يستهدف القراصنة والمتسللون بيانات بعض الأفراد الأكثر نفوذًا وثراءً أو المؤسسات الكبرى التي تخشى على سمعتها/قيمتها السوقية أو الجهات التي يمكنها دفع مقابل مادي ضخم للحيلولة دون نشر بياناتها. وكلما زادت حساسية البيانات، زادت احتمالات ابتزاز أصحابها. وهو ما يعني أن تسريبها قد يستتبع بالضرورة ارتكاب جرائم أخرى منها بيعها على الشبكة السوداء أو إلى الصحف الوطنية/المؤسسات الإعلامية. بيد أن دفع فدية ما للحيلولة دون نشر البيانات أو المتاجرة فيها يعني نجاح المتسللين/القراصنة في تحقيق أهدافهم، وقد يشجعهم ذلك على اختراق نفس الجهات مستقبلًا لثقتهم في قيامهم بالدفع كما دفعوا سلفًا، بيد أن عدم الدفع يعني بالضرورة نشر بيانات المستخدمين وتزايد احتمالات مطالبتهم بالتعويض الذي قد يقل/يزيد عن حجم الفدية، بيد أن دفع الأخيرة لا يضمن استرجاع البيانات أو عدم نشرها.

2- عالمية الطابع والانتشار: قد تطال عمليات تسريب البيانات جميع الدول بصرف النظر عن مدى تقدمها، وكذا جميع الشركات بصرف النظر عن حجمها. ففي الصين على سبيل المثال، شهد شهر يوليو 2022 تسريب معلومات مليار مواطن من إحدى قواعد البيانات التابعة لشرطة شنغهاي، بل وبيع أكثر من 23 تيرابايت من البيانات مقابل 10 بيتكوين (أي نحو 200 ألف دولار) في أحد منتديات القرصنة. وفي المقابل، شهدت هولندا أيضًا على سبيل المثال في ديسمبر 2022 تسريب تفاصيل جوازات السفر وشهادات التطعيم لمئات من لاعبي تنس الطاولة المحترفين عبر الإنترنت، بعد مشكلة أمنية خاصة بخادم الاتحاد الدولي لتنس الطاولة.

3- تنامي أهمية البيانات عالميًا: على شاكلة مختلف البرامج ومنصات الفيديو، تتعرض البيانات للقرصنة والاختراق، ومع تزايد الاعتماد عليها من قبل الأفراد والشركات، يزداد استهدافها بالتبعية. بيد أن المدى العالمي الواسع لحالات تسريب البيانات (التي شملت: الخدمات الحكومية، وكبريات الشركات التكنولوجية، وسلاسل الإمداد العالمية، وغير ذلك) إنما يعكس أهميتها القصوى على نحو يدلل على تحولها إلى نفط القرن الحادي والعشرين؛ فقد أضحت البيانات هي عصب الاقتصاد العالمي، وإحدى أهم ركائز التنمية الاقتصادية. كما أنها عماد عمليات التحول الرقمي والبوابة الرئيسية للاقتصاد الرقمي العالمي.

4- ضعف آليات الحماية: على الرغم من تعدد قوانين حماية الخصوصية، فإنها لا تردع المتسللين والقراصنة ولا سيما مع صعوبة الكشف عن هويتهم بسبب تقنيات التشويش المتقدمة متعددة الأشكال على سبيل المثال. بيد أن فعالية تلك القوانين إنما تنصرف في أغلب الأحوال إلى الحالات التي تتكبد فيها الشركات التكنولوجية الكبرى غرامات مالية جراء تسريب بيانات مستخدميها. ولهذا السبب طرح أحد القراصنة على “إيلون ماسك” شراء بيانات “تويتر” المُسربة حصريًا حتى يتفادى دفع غرامة ضخمة. وفي سياق متصل، ​وافقت شركة “ميتا” على دفع 725 مليون دولار لتسوية دعوى قضائية استمرت لسنوات بشأن اتهامها بانتهاك بيانات مستخدميها في عام 2018 ومشاركتها مع شركة الاستشارات السياسية “كامبريدج أناليتيكا”. وهي الغرامة التي تقل قليلًا عن تلك التي فرضتها اللجنة الوطنية لحماية البيانات في لوكسمبورغ على شركة “أمازون” في عام 2021، والتي بلغت 746 مليون يورو لانتهاك قوانين الاتحاد الأوروبي لحماية البيانات.

5- تزايد أهمية توطين البيانات: إن تعدد حالات تسريب البيانات التي تستهدف وسائل التواصل الاجتماعي بصفة خاصة يعكس أهمية توطين البيانات بمعنى تخزين ومعالجة البيانات على خوادم وطنية عوضًا عن الخوادم الموجودة في الخارج ضمانًا لخلق بيئة آمنة لتداول المعلومات في الفضاء السيبراني، وهو ما يتطلب في المقام الأول إيجاد بدائل وطنية للتواصل الاجتماعي، ومن ذلك على سبيل المثال الصين التي فرضت على الشركات التكنولوجية الأجنبية تخزين بيانات المستخدمين في الداخل الصيني، وطبقت قيودًا جديدة على المحتوى، وإن احتلت مواقعها للتواصل الاجتماعي أكثر من نصف قائمة مواقع التواصل الاجتماعي الأكثر نشاطًا في العالم.

ختامًا، تتزايد أهمية الحماية الفائقة لبيانات المستخدمين التي أضحت هي الكنز الأكبر لوسائل التواصل الاجتماعي التي تقدم خدمات مجانية للمستخدمين دون أن يشعروا بأنهم هم الثمن المدفوع مقابلها. إذ لا يمكن للمستخدمين بأي حالٍ من الأحوال الوقوف على مصير بياناتهم، ولن يدركوا عدد الشركات والمؤسسات والوكالات الحكومية والقراصنة التي تسعى خلفها. ولذا، تتزايد أهمية الاستثمار في تدابير الأمن السيبراني ونشر الوعي بأهمية حماية البيانات وتوطينها ولا سيما مع تعدد التحديات التي تواجهها.