«التنصت بـ9000 دولار». كيف تعمل «السوق السوداء للبيانات» وماذا تفعل لحماية خصوصيتك؟

أسئلة محرجة حول أمن البيانات الشخصية.

تعرف شركات الاتصالات الخلوية والبنوك ومتاجر الإنترنت وخدمات سيارات الأجرة اليوم عنا أكثر مما نتخيل. نحن نتخلى طوعاً عن بياناتنا الشخصية مقابل منافع الحضارة الحديثة.

عند استخدام تطبيقات سيارات الأجرة وخدمات توصيل الطعام والخدمات المصرفية عبر الإنترنت وكل ما لا يمكن تخيل الحياة في المجتمع اليوم من دونه، نشارك بياناتنا الشخصية ومعلومات اتصالاتنا ونمط حياتنا، ثم نتوقف عن السيطرة على مصير هذه المعلومات لاحقاً.

تجمع الدولة بيانات أكثر عنا، وهي تملك، إلى جانب أمور أخرى، القدرة على تقييد حق المواطنين في سرية المكالمات والمراسلات.

يمكن شراء كل هذه المعلومات، من كشف حركات الحساب المصرفي إلى التنصت على الهاتف، بحرية في «السوق السوداء»، بفضل موظفين فاسدين في الخدمات التجارية والجهات الحكومية، ما يفتح مجالاً واسعاً للصحفيين والقراصنة والمحتالين وممثلي عالم الجريمة. 

بحثت أسرة تحرير TK Media في كيفية عمل «السوق السوداء للبيانات» وما الذي يجب فعله لحماية الحق في الخصوصية في العصر الرقمي. 

يقال إن موظفي البنوك والخدمات قد يبيعون بياناتي لأطراف ثالثة. هل هذا صحيح؟

تشير بيانات السجل القضائي والإعلانات الكثيرة على الإنترنت إلى وجود هذه الممارسة. فقد يقوم موظف في «نوفا بوشتا» ببيع بياناتك الشخصية (عنوانك أو رقم هاتفك أو بيانات استخدامك للخدمة) للمحتالين مقابل مبلغ يتراوح بين 100 و500 هريفنيا، فيما قد يقوم مدير في أحد البنوك بتسليم بياناتك الشخصية أو كشف حسابك إلى مجرم مقابل مكافأة تتراوح بين 500 هريفنيا و300 دولار، حسب البيانات المطلوبة وشخصية العميل والمخاطر المرتبطة بذلك.

إلى جانب الطلبات المحددة المتعلقة بشخص بعينه، يمكن شراء قواعد بيانات تضم المعلومات الشخصية لعملاء البنوك ومتاجر الإنترنت وخدمات البريد والمنصات التجارية وحتى الجهات الحكومية. لذلك لا تتعجب إذا عرفت خدمات سيارات الأجرة ومتاجر الإنترنت رقم هاتفك وأغرقتك برسائل الدعاية النصية، وإذا دعاك ميخائيل بوبلافسكي إلى حفلته اليوبيلية.

تعتمد تكلفة القاعدة على عدد العملاء وحداثتها وطموح البائع وقدرة المشتري المالية. وبوجه عام، يمكن شراء قاعدة واحدة على الإنترنت بسعر يبدأ من 1000 هريفنيا وقد يصل إلى عدة مئات من الدولارات. ولا يلزم لذلك الدخول إلى الدارك نت، إذ تُباع البيانات الشخصية في مجموعات تيليغرام كثيرة. 

يمكن أن يبيع بياناتك الشخصية كل من تتاح له إمكانية الوصول إليها، بشرط أن تكون لها قيمة لأحد ما وأن يكون هناك من هو مستعد لدفع ثمنها. فأي شركة أو مؤسسة عامة، حتى وإن كانت تتمتع بسمعة طيبة صنعها المسوقون، هي علامة تجارية وصورة افتراضية تقف وراءها أشخاص عاديون. 

تتعامل مع بياناتك الشخصية مدراء من المستويات الدنيا والمتوسطة يشغلون مناصب قليلة الأجر في التسلسل الهرمي للشركة، ولذلك يسهل استمالتهم إلى كسب إضافي لا يتطلب جهداً كبيراً. كل ذلك، إلى جانب وجود الطلب، يشكّل تربة خصبة لازدهار تجارة البيانات الشخصية.

لا أريد أن يدرس أحد غريب معاملاتي المصرفية. كيف يمكن منع ذلك؟

عندما تشارك بياناتك الشخصية مع خدمة ما أو تستخدم خدماتها، يجب أن تأخذ في الحسبان أن بياناتك وسجل استخدامك قد يُنقلان إلى أطراف ثالثة.

في بعض الحالات، سيكون من الأصعب على المحتالين الحصول على بياناتك. 

على سبيل المثال، إذا كنت عميلاً مميزاً (VIP) في بنك «بريفات بانك»، فلن يتمكن المدير العادي من الوصول إلى ملفك وكشف حسابك. فقط مدير قسم كبار العملاء أو موظف في إدارة الأمن بالبنك يمكنه الوصول إلى بياناتك، ما يصعّب كثيراً عمل المحتالين إذا لم تكن لديهم «صلة» مناسبة داخل المؤسسة، ويرفع تكلفة العمل على الطالب، ويزيد من المخاطر التي يتعرض لها موظف البنك. 

ومن الجدير بالذكر أن تجارة البيانات تزدهر في البنوك الكبرى وشبكات التجارة الكبيرة، مثل «بريفات بانك» و«أوشادبانك»، وتقل في البنوك الصغيرة. والأسباب واضحة: كلما كثر العملاء، كثرت البيانات، وتشكّل «السوق» حولها بسرعة أكبر. 

ومن غير ذلك يمكن أن يبيع بياناتي؟ ومن الذي يشتري كل هذا أصلاً؟!

كل من يملك الوصول إلى قواعد البيانات التي تحتوي على معلومات ذات قيمة. فقد يقوم أحد عناصر الشرطة ببيع البيانات من قاعدتي «أرمور» و«نايس»، فهي إلى جانب البيانات الشخصية قد تحتوي على تاريخ مخالفاتك وملاحقاتك القانونية، أو معلومات عن السيارات والتحقق من أرقام اللوحات. أما الحارس الحدودي الذي يملك الوصول إلى قاعدة «غارت» فيمكنه بيع تاريخ سفرك إلى الخارج: متى وكيف وبأي جواز سفر ومع من وإلى أي وجهة غادرت أراضي أوكرانيا. والشخص الذي يملك الوصول إلى قاعدة بيانات مكتب الأحوال المدنية يمكنه بيع معلومات عن أقاربك وأفراد أسرتك. ويمكن لموظف في مصلحة الضرائب أن يبيع بيانات عن دخلك، وكذلك موظف في صندوق التقاعد. ويمكن لمدير البنك أن يبيع بياناتك الشخصية وكشوف الحساب بكل المعاملات. ويمكن لموظف في جهاز الأمن الأوكراني أن يبيع «تتبع» الاتصالات برقم هاتفك، أو حتى التنصت عليه مقابل المال، ويمكن لرجل أمن يملك الوصول إلى قاعدة «المدينة الذكية» أن يتتبع تنقلاتك بالسيارة في الوقت الفعلي عبر شبكة كاميرات المدينة.

هناك كثير من الفئات التي قد تهتم ببياناتك الشخصية: في أبسط الحالات قد يكونون صحفيين استقصائيين يريدون معرفة إلى أين تسافر، أو الحصول على مجموع دخلك الرسمي من بيانات مصلحة الضرائب، أو البيانات الشخصية لأقاربك للتحقق من العقارات أو السيارات التي يملكونها. وقد يهتم بحياتك الخاصة أيضاً زوج أو زوجة غيور يريد التحقق من مصروفاتك أو قائمة مكالماتك، أو الحصول على بيانات عن أماكن وجودك ليتأكد هل سافرت فعلاً في رحلة عمل إلى دنيبرو أم طرت مع عشيقتك إلى بالي.

وفي حالات أقل لطفاً، قد يكون هؤلاء محتالين يجمعون بياناتك الشخصية لعملية احتيال، أو محصلي ديون يدرسون وضعك المالي وينوون تخويف أقاربك، أو ممثلين لعالم الجريمة يعتبرونك ضحية محتملة. 

كل الأشخاص المذكورين الذين قد تثير بياناتك اهتمامهم يجمعهم أمر واحد، وهو أنهم بالتأكيد ليسوا أصدقاء لك.

قلت إن موظفين في جهاز الأمن الأوكراني قد يتاجرون ببياناتي أيضاً. ما هو «تتبع الهاتف الخلوي»؟

كل مؤسسة، سواء كانت بنكاً خاصاً أو متجراً إلكترونياً كبيراً أو جهازاً أمنياً حكومياً، تتكون من أشخاص أحياء لهم رغباتهم وطموحاتهم ومساوئهم ونقائصهم. وتشير بيانات السجل القضائي المفتوحة وتقارير أجهزة إنفاذ القانون نفسها إلى أن رجال الأمن قد يستغلون مناصبهم لبيع المعلومات للهيئات التجارية. فعلى سبيل المثال، أعلن رجال الأمن مؤخراً عن اعتقال مجموعة من الأشخاص، من بينهم موظفون حاليون في جهاز الأمن الأوكراني، كانوا يتاجرون ببيانات الاتصالات الخلوية للمشتركين. ووفقاً لبيانات التحقيق المنشورة، فإن شهرين من «التنصت» على رقم واحد كلفا 9 آلاف دولار. وفي يوليو أعلن مكتب التحقيقات الحكومي عن اعتقال موظف في جهاز الأمن الأوكراني، وبحسب رواية التحقيق فقد كان يبيع «تتبع» الاتصالات الخلوية بسعر يتراوح بين 2500 و5000 هريفنيا مقابل كشف لرقم واحد. وعلى الرغم من الأخبار المنتظمة عن اعتقال رجال أمن مغامرين، يمكن العثور في السوق السوداء للبيانات على إعلانات تعرض شراء كشف حساب لرقم أو وضع رقم هاتف تحت «التنصت»، والسبب واضح: الأجر المنخفض لرجال إنفاذ القانون، ووجود الإمكانية (الوصول إلى المعلومات)، ووجود الطلب (الاستعداد لدفع ثمنها) في السوق.

«تتبع» الرقم الخلوي، أو تفصيل فاتورة الهاتف، يمثل بيانات عن قائمة اتصالاتك (الرسائل والمكالمات الواردة والصادرة)، وكذلك بيانات عن موقعك (الاتصال بأبراج الهاتف الخلوي) خلال الفترة المطلوبة، وعادةً ما تكون ستة أشهر، إضافة إلى رقم IMEI للهاتف. وإلى جانب ذلك، يتيح التفصيل معرفة إحصائيات الأرقام الأكثر اتصالاً بك، ما يساعد على رسم صورة لعلاقاتك. وبعد «تحويل» الأرقام إلى أشخاص (تحديد صاحب كل رقم)، يحصل حائز هذه المعلومات على صورة لعلاقاتك ومعلومات عن تنقلاتك ونمط حياتك (مثلاً، أين تبيت وأين تقضي ساعات العمل). وقد يرغب من يهتم بك في الحصول على معلومات عن فترة محددة: معرفة مكانك في وقت معين أو مع من تحدثت في تواريخ بعينها. وتؤثر الحملات الدورية لرجال الأمن على تجار الأسرار في الأسعار على المدى القصير، لكن السعر يعود سريعاً إلى الارتفاع.

انتظر، ماذا تقول؟ أعرف أن سرية المكالمات والمراسلات مكفولة بالدستور، وأن الإذن بالاطلاع على محادثاتي لا يمنحه إلا المحكمة. فكيف يمنح القاضي الإذن إذا لم أرتكب أي جريمة؟

العامل البشري هو الثغرة الرئيسية في أي نظام. فعدد قليل من قضاة التحقيق مثقلون بكم هائل من العمل، ويدرسون عشرات الطلبات يومياً، ومحدودون بمهلة 24 أو 72 ساعة (وهي المدة التي يلتزم فيها القاضي بالنظر في الطلب وفقاً لقانون الإجراءات الجنائية)، ولذلك لا تتوفر لهم عملياً إمكانية دراسة الطلب بالشكل الواجب. وفي مثل هذه الظروف يكون النظر في طلب المحقق والموافقة عليه ذا طابع شكلي في الغالب. ومن السذاجة أن نعتقد أن القاضي سيحلل الطلب ويحدد أرقام الهواتف بنفسه ويعرف أصحابها ويتحقق من صلتها بالقضية الجنائية المعنية. فالأرجح أن القاضي سيوافق على الطلب ببساطة، ويصدر قراراً نسخه مساعده من فلاش ميموري أحضره المدعي العام. 

ويمكن لرجال الأمن أنفسهم «إدراج» أرقام الهواتف المطلوبة في قضايا جنائية لا علاقة لأصحابها بها، وغالباً ما يتعلق الأمر بقضايا جنائية تحمل وصف «الإرهاب» و«الخيانة للدولة» و«تمويل الإرهاب» وغيرها من القضايا المرتبطة بالأمن العام أو أمن الدولة.

إدراج أرقام هواتف أجنبية أو حتى أشخاص بعينهم في قضية مناسبة ممارسة شائعة. فعلى سبيل المثال، تم توقيف مستشار الوزير لشؤون الأراضي المحتلة يوري غريمتشاك بشبهة الاحتيال في إطار قضية الاعتداء على تاتيانا تشيرنوفول عام 2014. والسبب أن إدارة التحقيقات الخاصة في النيابة العامة فقدت حق التحقيق في القضايا الجنائية الجديدة بعد عام 2018، لكنها لم ترغب في تسليم القضية المدوية إلى مكتب التحقيقات الحكومي. 

وفضلاً عن ذلك، فإن شركات الاتصالات الخلوية نفسها كثيراً ما تسلم بيانات كشوف الحساب لأجهزة إنفاذ القانون دون قرار من المحكمة.

هل يمكن إذن أن يتنصتوا على محادثاتي؟ ولمن ولماذا تهمّ محادثاتي؟

يمكن أن تتنصت أجهزة إنفاذ القانون التي تملك الحق في الحصول على المعلومات من شبكات الاتصالات (حتى وقت قريب كان هذا الحق لجهاز الأمن الأوكراني ووزارة الداخلية فقط، وبعد إقرار مشروع القانون 1009 أصبح لمكتب مكافحة الفساد الوطني ومكتب التحقيقات الحكومي)، أو أشخاص آخرون يملكون معدات خاصة.

إذا وُضع رقمك تحت «المراقبة»، فيمكن للمهتمين الحصول على تسجيلات صوتية لمكالماتك الهاتفية وقراءة رسائلك النصية، ويتم ذلك في الوقت الفعلي. 

وقد لا تمثل مكالماتك الهاتفية القيمة الأكبر أحياناً، بل المراسلات في تطبيقات المحادثة أو محتوى البريد الإلكتروني. ويمكن أن يساعد «التنصت» في الوصول إلى بريدك الإلكتروني أو حسابك على فيسبوك، إذا كان الرقم المراقب مرتبطاً بهما. وفي هذه الحالة يمكن لخصومك إجراء «إعادة تعيين كلمة المرور» عبر زر «نسيت كلمة المرور» و«استعادة» الوصول إلى الحساب باسمك، بعد «تأكيد الهوية» بإدخال رمز التحقق لمرة واحدة الذي أرسلته الخدمة البريدية أو الشبكة الاجتماعية إلى رقم هاتفك المحمول. وغالباً ما تحدث هذه العمليات في عمق الليل عندما تكون نائماً ولا تعرف شيئاً، وخلال هذا الوقت يستطيع خصومك الوصول إلى الحساب، وأرشفة المراسلات، وربما حتى نشر بيان عام باسمك.

ويهتم المحتالون على الإنترنت أيضاً باعتراض الرسائل النصية القصيرة، لأن المصادقة الثنائية عبر الرسائل النصية مفعّلة غالباً كوسيلة لتأكيد الهوية في كثير من منصات تداول العملات الرقمية. وقد وقع كثير من أصحاب الأعمال في العملات الرقمية في الولايات المتحدة ضحايا لهؤلاء المحتالين، وتقدّر الخسائر من الأموال المسروقة من محافظ العملات الرقمية بعشرات الملايين من الدولارات. ومع ذلك، فإن المحتالين في الولايات المتحدة لا يستعينون بخدمات أجهزة الاستخبارات، بل يخدعون موظفي شركات الاتصالات الخلوية، فيستعيدون أرقام هواتف ضحاياهم باستخدام أساليب الهندسة الاجتماعية. 

ومن الأنشطة الشائعة الأخرى للمحتالين ابتزاز الصور الإباحية. يقوم المحتالون باختراق حسابات المستخدمين على الشبكات الاجتماعية وiCloud، ويختارون الضحايا المهملين الذين لديهم مستوى منخفض من حماية الحسابات، ثم يبتزونهم بنشر مراسلات حميمة أو محتوى صور أو فيديو فاضح. ومع ذلك، فإن اعتراض الرسائل النصية ليس الطريقة الوحيدة ولا الأسهل لاختراق الحساب.

يبدو هذا مخيفاً. كيف أحمي بريدي الإلكتروني وحساباتي على الشبكات الاجتماعية إذا كان تلقي الرسائل النصية على رقم هاتفي ليس وسيلة موثوقة؟

لحماية بياناتك ينبغي اتباع عدة قواعد.

اربط بريدك الإلكتروني وحساباتك على فيسبوك وإنستغرام وتويتر وحسابات تطبيقات المحادثة برقم هاتف جديد. يجب أن يكون هذا الرقم معروفاً لك وحدك، ولا تبلغ به معارفك أو زملاءك أو أقاربك. ولا ينبغي أن تستخدمه في حياتك اليومية أو أن تتركه كرقم تواصل عند استخدام الخدمات الأخرى مثل البنوك وسيارات الأجرة والمتاجر.

لا تضع شريحة الهاتف ذات الرقم السري في هاتفك الذي هو جهازك الرئيسي. فمن خلال رقم IMEI لهاتفك يستطيع رجال الأمن معرفة جميع أرقام الهواتف التي وُضعت شرائحها في الجهاز في أي وقت. وبذلك يصبح رقمك معروفاً، وتفقد كل الخطوات التي اتخذتها أي معنى.

لا تعبئ رصيد رقمك السري عبر الخدمات المصرفية الإلكترونية من حسابك. فبهذه الطريقة تبقى العملية مسجلة في كشف معاملاتك المصرفية، وتفقد الخطوات التي اتخذتها معناها. والأفضل أن تقوم بذلك ببطاقة تعبئة لمرة واحدة (تذكر البطاقات التي تُمحى بالعملة المعدنية؟) أو عبر جهاز الدفع iBox. وفي الحالة الأخيرة لا ينبغي أن تجري التوثيق في الجهاز ولا أن تؤكد هويتك بذكر رقم هاتفك الأساسي.

احصل على هاتف بسيط رخيص بأزرار، ثم تخلص منه بعد الاستخدام، أو احصل على هاتف برقم IMEI صفري للاستخدام الدائم (يمكن العثور على هذه الحلول على الإنترنت أو في أسواق الإلكترونيات). وتذكر أن أرقام الهواتف في تطبيقات المحادثة ينبغي تحديثها مرة كل نصف عام على الأقل، تفادياً للمواقف المزعجة، لأن شركات الاتصالات تبيع الأرقام غير النشطة لعملاء جدد.

فعّل المصادقة ذات الخطوتين في إعدادات بريدك الإلكتروني وشبكاتك الاجتماعية أو تطبيقات المحادثة. لا تستخدم استقبال الرسائل النصية على رقم الهاتف كوسيلة للمصادقة ذات الخطوتين.

ثبّت تطبيق Google Authenticator — التطبيق الذي يولد رموز كلمات مرور لمرة واحدة، والتي يجب إدخالها كمصادقة ثنائية في كل مرة تسجل فيها الدخول من جهاز جديد. وبهذه الطريقة لا يستطيع المعتدي الوصول إلى الحساب إذا لم يكن لديه وصول مادي إلى جهازك.

وسيلة أخرى للحماية «المادية» هي الرموز (التوكنات). الرمز هو مفتاح تشفير يُستخدم للمصادقة على هوية المالك وتحديدها. ولتأكيد الهوية يجب إدخاله في الجهاز. ويمكن شراء الرمز بسهولة من متاجر الإنترنت الكثيرة، ثم ضبطه كوسيلة للمصادقة في إعدادات البريد الإلكتروني أو الشبكة الاجتماعية.

وتقدم Google وFacebook وApple أيضاً، كمصادقة ثنائية، التأكيد عبر الجهاز الرئيسي، أي أنه عند محاولة الدخول سيصلك إشعار بمحاولة الدخول مع اقتراح الضغط على «نعم» أو «لا».

وكيف أحمي رقم هاتفي الأساسي؟ ذلك الذي أدخله في البنوك وأستخدمه لأغراضي الشخصية.

ينبغي الاهتمام بحماية رقم الهاتف الشخصي المرتبط بالخدمات المصرفية الإلكترونية، على الأقل إذا كان مصير مدخراتك المصرفية يهمك. 

أعلنت الشرطة السيبرانية في أغسطس عن اعتقال مجموعة من اللصوص كانوا يسرقون الأموال من الحسابات المصرفية للأوكرانيين. ووفقاً للتحقيق، كان المحتالون يشترون من السوق السوداء قواعد أرقام هواتف عملاء البنوك، ثم يصنعون نسخة مكررة من الشريحة عبر خدمة «استعادة الرقم» في مراكز خدمة شركات الاتصالات. 

بعد الحصول على نسخة من الشريحة، كان المحتالون يدخلون إلى الخدمات المصرفية الإلكترونية للضحية ويحولون الأموال إلى حساباتهم (وبالمناسبة، يمكن شراء بطاقة بنكية مسجلة باسم شخص آخر على الإنترنت بسهولة، إذ يبيع أشخاص محتاجون للمال بيانات جوازات سفرهم ويفتحون حسابات مصرفية باسمهم، ثم يعيد الوسطاء بيعها على الإنترنت). وكان معظم الضحايا من أصحاب الحسابات التي تُحول إليها الرواتب، كالمعلمين والعاملين في المؤسسات الطبية والقطاع الاجتماعي. وبحسب رواية أجهزة إنفاذ القانون، سرق المحتالون ما يقارب 1.5 مليون هريفنيا.

وقد أصبحت مثل هذه المخططات ممكنة بسبب ضعف بروتوكولات الأمان لدى شركات الاتصالات الخلوية، التي تسمح باستعادة رقم الهاتف دون تأكيد هوية صاحب الرقم تأكيداً كافياً. ولإنشاء نسخة مكررة من الشريحة، يجب على المحتال، بحسب قواعد المشغل المحدد، أن يذكر أسماء ثلاث مكالمات واردة أو صادرة هي الأكثر تكراراً، ومبلغ آخر عملية تعبئة للرقم. 

ويمكن أن يعطي تفصيل الرقم بيانات عن مكالماتك الواردة والصادرة، وهو تفصيل يمكن شراؤه أيضاً من السوق السوداء، أما مبلغ آخر تعبئة فيمكن معرفته بتعبئة الرقم بنفسك عبر جهاز الدفع.

يمكنك حماية رقم هاتفك من إنشاء نسخة مكررة منه من قبل أطراف ثالثة. ولذلك يجب أن يكون رقمك تعاقدياً.

في هذه الحالة، سيضطر من يطلب نسخة مكررة من الشريحة إلى إبراز جواز سفره وإجراء التحقق من الهوية. وبالطبع هناك احتمال أن يتمكن المعتدون من تزوير وثائقك أو رشوة موظف مركز الخدمة، لكن المحتالين عادةً يبحثون عن «فريسة أسهل» ويتجنبون المهام المعقدة، كما أن «الشخص الخاص به في مركز الخدمة» سيكون على الأرجح عرضة للمساءلة عن تسليم نسخة الشريحة لشخص غريب، وهو ما قد يؤدي إلى كشف جميع المشاركين في التواطؤ. 

1. اطلب رقماً تعاقدياً في مركز خدمة شركة الاتصالات الخاصة بك؛
2. عطّل في إعدادات الخدمات المصرفية التأكيد عبر الرسائل النصية.

هل اعتراض الرسائل هو الطريقة الوحيدة لاختراق البريد الإلكتروني؟

من أكثر طرق اختراق البريد انتشاراً «التصيد». توجد أنواع مختلفة من التصيد تختلف في أساليب العمل والأسلوب والنهج. والهدف من رسالة التصيد هو جذب انتباهك، ودفعك إلى النقر على رابط أو مستند مرفق، ثم إدخال كلمة المرور الخاصة بصندوقك، فتسلمها للمعتدي. وإضافة إلى ذلك، فإن تنزيل الملف قد يصيب حاسوبك ببرامج خبيثة. 

هل تسلم كلمة مرورك للمحتال بنفسك؟ قد يبدو ذلك خارج نطاق الممكن، لكن كل شيء يتوقف على جودة الرسالة. وتعتمد جودة التصيد على مستوى المختص. فكلما درس المختص الهدف بعناية أكبر، زادت احتمالات أن يجد المدخل الصحيح إليه. فعلى سبيل المثال، إذا كنت قيد التحقيق وأتتك رسالة على بريدك من المحقق تتضمن استدعاء للاستجواب. أو أرسل لك زميل في العمل تقرير عمل بعنوان مستند لا يثير الشكوك. أو إذا كنت صحفياً وتلقيت رسالة إلكترونية تتضمن دعوى قضائية باسم شخص وارد في موادك. وكثيراً ما يزوّر المتصيدون عنوان المرسل، فينشئون صندوق بريد إلكترونياً مشابهاً مع اختلاف حرف واحد؛ أما التقنيات الحديثة فتسمح حتى بتبديل عنوان المرسل بالكامل.

أتواصل عبر تيليغرام، وهو أكثر تطبيقات المحادثة أماناً، ولا يشارك بياناتي مع أجهزة الاستخبارات في أي دولة. لذلك أنا مطمئن على سرية مراسلاتي.

على الرغم من المزايا التنافسية الواضحة لتيليغرام مقارنة بتطبيقات المحادثة الأخرى، فإن له عيوبه. فمثلاً، يكاد يكون تيليغرام الوحيد بين تطبيقات المحادثة المشهورة الذي يستعيد سجل محادثاتك (باستثناء المحادثات السرية) عند الدخول من جهاز جديد. أي أنه إذا حصل خصمك على حسابك بعد اعتراض الرسالة النصية التي تحمل رمز المرور، فإنه عند الدخول إلى الحساب يستطيع الوصول إلى كامل تاريخ مراسلاتك. 

وفي الوقت نفسه، يُعد تيليغرام فعلاً أكثر تطبيقات المحادثة المشهورة أماناً، إذا التزمت بقواعد أمان معينة:

1. في المواضيع الحساسة ينبغي التحدث في محادثات سرية فردية؛
2. فعّل مؤقت حذف المراسلات (ساعة/يوم/أسبوع)؛

وعند تعيين كلمة مرور سحابية، يمكنك حماية حسابك من التدخل غير المصرح به. وبهذه الطريقة، حتى لو اعترض أحد الرسالة النصية التي تحمل رمز المرور ونجح في اجتياز المرحلة الأولى من المصادقة، فسيُطلب منه إدخال كلمة مرور إضافية حددتها مسبقاً. وإذا لم يكن المحاور يعرف كلمة المرور التي حددتها، فلن يتمكن من الوصول إلى الحساب.

بالطبع يمكنك أن تعترض بذكر Signal أو Wickr كتطبيقين يتمتعان بأفضل نظام أمان في رأيك، وربما تكون من محبي لعب الشطرنج داخل التطبيق، لكن الحقيقة أن عدد الأشخاص الذين يستخدمونهما في الظروف الأوكرانية قليل جداً، وإجبار كل محاور على التثبيت والتسجيل والتعلم في التطبيق الذي تختاره لن يكون مريحاً لكما على الأرجح.

إذا اعترض المعتدون رسالة نصية تحمل رمز المرور، فهل يمكنهم تجاوز كلمة المرور الإضافية في تيليغرام؟

يتيح تيليغرام «إعادة تعيين» كلمة المرور السحابية. وهذه الإمكانية موجودة في حال نسيت كلمة المرور فعلاً لكنك بحاجة إلى الوصول إلى حسابك. فسيطلب منك تيليغرام تأكيد هويتك عبر رمز دخول لمرة واحدة يُرسل إلى البريد الإلكتروني المحدد عند إعداد كلمة المرور السحابية، وهو بدوره نافذة فرص للمعتدين.

وتجنباً للمشكلات، ينبغي إنشاء بريد إلكتروني خاص لهذا الغرض فقط، وإدخاله عند إعداد كلمة المرور السحابية. ولا يجب أن يعرف أشخاص آخرون بهذا البريد: أي لا تستخدمه لأغراض أخرى، ولا تُجر عبره مراسلات، ولا تذكره عند استخدام خدمات أخرى (كأن تتركه كعنوان تواصل لدى موظف في البنك، أو تسجل به في Glovo أو Uber).

وماذا لو انتُزع هاتفي من يدي؟

تحميك الإجراءات الوقائية الموصوفة من الاختراق عن بُعد لحساباتك، لكن المعلومات التي تهم خصومك قد تكون موجودة فعلياً على جهازك. ولذلك لا يمكن استبعاد أن يقرر خصومك الاستيلاء على هاتفك بشكل مادي. ويمكن أن يفعل ذلك رجال إنفاذ القانون بإجراء تفتيش في مسكنك أو سيارتك أو مكتبك، كما يمكن أن يفعله لصوص ينتظرونك في زقاق مظلم في المساء. ولحماية هاتفك ينبغي اتباع القواعد التالية.

1. عطّل ميزة فتح الهاتف عبر Face ID أو بصمة الإصبع. لقد أتاح التقدم التقني فتح الهاتف بنظرة أو لمسة إصبع، لكن لا تشك في أن رجال الأمن سيستغلون ذلك بسهولة، بتقريب الهاتف من وجهك أو بوضع إصبعك بالقوة على زر الرئيسية. استخدم رمز المرور العادي؛
2. اضبط الجهاز على الفورمات التلقائي بعد 10 محاولات خاطئة لإدخال رمز المرور؛
3. اضبط رموز مرور إضافية للدخول إلى كل تطبيق محادثة. وتتيح ذلك تطبيقات تيليغرام وواتساب ولاين. ومن سوء الحظ أن تطبيقي فيسبوك وإنستغرام لا يتيحان ذلك. قلّل التواصل في التطبيقات غير المحمية إلى حد الحديث عن الطقس خارج النافذة؛
4. لا تلتقط لقطات شاشة للمراسلات. وإذا اضطررت لالتقاط لقطة شاشة لمراسلة، فلا تحتفظ بها على الجهاز لمدة طويلة؛
5. في المواضيع الحساسة تحدث في محادثات تيليغرام السرية مع مؤقت لحذف الرسائل. ويتيح تيليغرام ضبط مؤقت لاختفاء الرسالة بعد ساعة أو يوم أو أسبوع؛
6. اعتد على تنظيف المراسلات والصور غير الضرورية مرة كل شهر. ضع تذكيراً في التقويم كي لا تنسى؛
7. الصور التذكارية المهمة والوثائق والصور الحميمة للشركاء السابقين أو الخاصة بك، وكل ما ليس معداً لأعين الآخرين، من الأفضل حفظه في خدمة سحابية موثوقة، لا يكون الحساب فيها مرتبطاً ببريدك الأساسي أو برقم هاتفك. ولا تحتفظ بالبيانات التي قد تعرّضك للخطر على جهازك الرئيسي لمدة طويلة؛
8. اكتب الملاحظات والسجلات الشخصية في خدمات تتيح تعيين رمز مرور إضافي للدخول. فعلى سبيل المثال يمكن أن يكون ذلك Evernote. كما تتيح الملاحظات العادية على أجهزة iOS تعيين رمز مرور إضافي.

رائع، لقد فعلت كل ما قلته: عيّنت رموز مرور إضافية وعطّلت Face ID! فهل إذا أخذ رجال الأمن هاتفي فلن يتمكنوا من فتحه؟

الأمر يتوقف عليك وحدك. من المهم أن تتذكر أن رجال الأمن لن يتعبوا أنفسهم بتجربة التركيبات السداسية الممكنة، بل سيعملون مع الأشخاص الذين يعرفون الجواب الصحيح عن السؤال المطلوب. لقد بذلت جهداً كبيراً في بناء خط الدفاع ووضع الفخاخ وإنشاء حصن رقمي، لكن الثغرة الرئيسية في استراتيجية حمايتك هي أنت والأشخاص المحيطون بك. سيقال لك إنك ملزم بتسليم رمز المرور لموظف في جهاز إنفاذ القانون، وسيُضغط عليك ويُهدَّد بل وقد تُستخدم القوة الجسدية لانتزاع الجواب الصحيح منك. وسيرفع رجال الأمن درجة التوتر ويزيدون الضغط، مختارين الأساليب التي قد تنجح.

تم توقيف المدوّن والمستشار السابق لوزير السياسة الإعلامية ألكسندر بارابوشكو في نوفمبر 2018 من قبل موظفي النيابة العسكرية في أحد المطاعم. وبينما كان رجال الأمن ينقلونه إلى منزله لإجراء التفتيش، حاولوا الحصول على كلمة مرور هاتفه من طراز iPhone، لأن ميزة Face ID كانت معطلة على الجهاز. وكان يتلقى ضربة على الرأس عن كل إجابة خاطئة. وفي اليوم التالي أمرت محكمة بيتشيرسكي الإقليمية بإيداع المدوّن في سجن لوكيانيفسكي مع بديل كفالة قدره 3.5 مليون هريفنيا. ومن أجل الحصول على كلمة مرور الهاتف، اتفق رجال الأمن مع إدارة السجن على وضعه في ما يسمى «غرفة الضغط»، حيث كان نزلاء المؤسسة، مقابل امتيازات تمنحها لهم إدارة السجن، يستخرجون منه كلمة مرور الهاتف على مدى عدة أيام. وتعتمد الأساليب ومدى الإصرار على مقدار اهتمام خصومك بالمعلومات الموجودة على جهازك.

سؤال آخر. إذا كنت أجري مراسلات تجارية في تطبيق محادثة مرتبط برقم أجنبي وأستخدم اسماً مستعاراً، فهل يستطيع رجال إنفاذ القانون أن يثبتوا أنني من استخدم هذا الحساب فعلاً؟

نعم. فعلى سبيل المثال، إذا صودر هاتفك خلال تفتيش مصرح به بحضور شهود، وكان عليه تطبيق المحادثة وحسابك المستعار مفتوح. وهناك خيار آخر هو أن يدلي أحد محاوريك أو زملائك بشهادة ويؤكد للتحقيق أنك من استخدم هذا الحساب فعلاً. وفي هذه الحالة سيكون الأمر «كلامك ضد كلام الشاهد»، وسيعتمد وزن الاتهام على عدد الشهود الذين أدلوا بشهادات مماثلة، وعلى سياق المراسلات. أما قبول الأدلة المجموعة ومعقولية الشبهة فسيقررهما القضاء. لكن رجال الأمن كثيراً ما لا يهتمون بإثبات إدانتك، بل بالحصول على الوصول إلى أسرارك المؤسسية.

وتجنباً للمواقف المزعجة، ينبغي اتباع القواعد التالية:

1. تجنب مناداة الآخرين بأسمائهم، ولا تشارك بياناتك الشخصية: صور جوازات السفر أو الوثائق الشخصية؛
2. أجرِ الأحاديث حول المواضيع الحساسة في محادثات سرية مع مؤقت حذف مفعّل للمراسلات؛
3. تتيح بعض تطبيقات المحادثة حذف الرسائل من جهازك ومن جهاز المحاور. وينبغي استخدام هذه الميزة بصورة دورية؛
4. حاول أن تتحدث كما لو أن شخصاً ثالثاً يستمع إليك.

لدي كثير من المجموعات الجماعية للعمل في تطبيقات المحادثة. أنا أهتم بحماية حساباتي، لكن كيف أتأكد أن زملائي يفعلون الشيء نفسه؟ بعض المراسلات ليست لأعين الآخرين.

الحفاظ على سرية المراسلات الشخصية، مثل الممارسة الجنسية الآمنة، مسؤولية جميع أطراف العملية. فلا يمكنك أن تكون واثقاً بنسبة 100% من أن محاورك لا ينقل لقطات شاشة من مراسلاتك إلى أطراف ثالثة، أو أن كلمة مرور بريده الإلكتروني ليست تاريخ ميلاد طفله، وهو أمر لطيف بلا شك، لكنه بالقدر نفسه متهور.

منذ سن المراهقة نعرف أن العلاقة غير المحمية تحمل مخاطر، لكن من قال إن السلوك المتهور على الإنترنت أو قنوات تبادل المعلومات غير المحمية لا تترتب عليها عواقب؟ وكما هو الحال مع تهديدات الأمراض التناسلية في الدول الأقل تطوراً، لا يمكن أن تنقذ شركتك من العواقب المزعجة إلا أعمال التوعية والتثقيف المنهجية، أي أنت وحدك كرئيس للشركة، لأنه بدون إدراك التهديدات الاستراتيجية ووجود إرادة سياسية من الأعلى، لن يكون هناك من يوجه نحو التعليم الذاتي. 

ولا يمكن تقليص المخاطر إلا بإدخال معايير أمان مؤسسية وتدريب منهجي للموظفين.

أجرِ مراجعة للعمليات، وحدد كيف يجري تبادل المعلومات، وقدّر المخاطر. اجعل الأمر لعبة: تخيل أنك مخترق أو مدعٍ عام أو منافس غير شريف وتحتاج إلى «اختراق» شركتك. كيف ستفعل ذلك؟ ما الثغرات التي تراها؟ على أي أزرار ينبغي الضغط؟ ما الذي سيكون ثغرة في دفاع شركتك؟

1. خصص يوماً لمراجعة حساباتك الشخصية وحسابات العمل؛
2. حدد قنوات التواصل الرئيسية؛
3. حدد مناطق الخطر؛
4. اعمل على معالجتها.

قد يساعد تنفيذ هذه التوصيات على تجنب المشكلات المزعجة في المستقبل.

إضافة إلى وضع قواعد أمن المعلومات للموظفين، لا بد من نظام لمراقبة مدى التزامهم بها والتحقق منه. فقد يتجاهل موظفوك وزملاؤك القواعد المعتمدة بسبب الغباء أو الإهمال أو لظنهم أنها لا تخصهم. وبالنتيجة قد يعرض إهمال الآخرين وتجاهلهم لتعليمات الإدارة لك ولعملك للخطر.

إذا كنت صاحب عمل بأي حجم وإيراد، يجب أن يكون لديك في شركتك متخصص تقني تفوق كفاءته القدرة على تثبيت ويندوز أو تحديث أوفيس أو تركيب مضاد للفيروسات (رغم أن الأخير مهم أيضاً). وقد يكون مسؤول النظام أو رئيس قسم أمن الشبكات، ويمكنك أن تختار أي مسمى جميل يروق لك ويرضي طموح موظفك. وينبغي أن تشمل مهام المتخصص أمن البيانات المؤسسية، ومراقبة التهديدات، ومنع تسرب البيانات. ويجب أن تُخزن بياناتك على خادم خاص بك لا يكون موجوداً فعلياً داخل المكتب. هل نسخ أحدهم ملفات الشركة على فلاش ميموري؟ أو أصاب الحاسوب بفيروس؟ يجب أن يعرف فريق الأمن بذلك. ينبغي أن يعمل المتخصصون التقنيون داخلياً، لكن دون أن يتقاطعوا مع الزملاء تفادياً لنشوء علاقات شخصية. 

ينبغي الاهتمام أيضاً بالأمن المادي للمكتب، بفحص أماكن العمل بصورة دورية بحثاً عن أجهزة التنصت والمايكروفونات المخفية. قد تعتقد أن مكتبك حصن منيع، لكن إذا وُجد جهاز تنصت في مكتب رئيس مكتب مكافحة الفساد أو رئيس المحكمة الإدارية للمقاطعة أو مدير مكتب التحقيقات الحكومي، فماذا يميزك عنهم؟

الأفضل أن يكون لديك بروتوكول أمان جيد لشركتك، من أن تقرأ محضر تفتيش أو محضر توقيف.

حسناً، هذا كله مثير للاهتمام، لكنني لا أظن أنه يخصني. أنا بعيد عن السياسة والأموال الكبيرة، أنا مجرد محامٍ مؤسسي أو مدير أو محاسب أو موظف علاقات عامة أو سكرتير أو سائق أو حارس أو مسؤول أنظمة.

هذا اعتقاد شائع. فكل إنسان مر في وقت ما بمواقف صراع، وكل شخص اكتسب في حياته عدداً من الخصوم أو الأعداء أو المنافسين. وليس من الضروري أن تكون سياسياً أو صحفياً أو ناشطاً أو رجل أعمال كي يكون لك خصوم؛ وليس من الضروري أن تكون ثرياً كي ينتبه إليك المحتالون؛ وليس من الضروري أن تكون مجرماً كي تهتم بك أجهزة إنفاذ القانون.

قد لا تهم الأجهزة الأمنية أو المحتالين أنت، بل الأشخاص الذين تتواصل معهم. مثل إدارة شركتك، أو شركائك في العمل، أو عملائك، أو أصدقائك المقربين، أو قريب بعيد أصبح محط اهتمام الأطراف المعنية. فالمراسلات الشخصية للمحاسب وأحاديث السكرتير مع الزملاء عن الإدارة قد تقول أكثر عن الهدف الحقيقي للاهتمام من الشخص نفسه. 

فلاديمير كوفال