قصة Nexus ليست تسريب كلمات مرور آخر. إنها تتعلق بالوثائق التي يُطلب من الناس إبرازها لإثبات الهوية: رخص القيادة، بطاقات الهوية، وثائق السفر، البطاقات الطبية، الوجوه، الباركود، التوقيعات وخصائص الأمان. أفاد KrebsOnSecurity بأن خدمة إجرامية جديدة تعرض صور أكثر من 153 مليون رخصة قيادة من الولايات المتحدة وكندا، إضافة إلى ملايين الوثائق الأخرى. ووفق التقرير، فتح مكتب FBI في نيو أورلينز inquiry، واختفى موقع Nexus بعد النشر.

بطاقات هوية مجهولة خلف درع مع رموز قفل وحذف بيانات

الرد الصحيح ليس الذعر. المهم فصل الحقائق عن الملاحظات والادعاءات. صورة الهوية ليست مثل كلمة المرور. يمكن تغيير كلمة المرور، لكن الوجه وتاريخ الميلاد والتوقيع والعنوان القديم ونسخة الوثيقة لا تختفي بسهولة.

ما المعروف

ذكر Krebs أكثر من 153 مليون رخصة، وأكثر من 10 ملايين بطاقة تعريف، وأكثر من 3 ملايين وثيقة سفر أو هوية دولية، وما لا يقل عن 579 ألف بطاقة طبية. كما وصف بحثاً فارغاً يعيد نحو 11.5 مليون صفحة نتائج. هذه أرقام مبلّغ عنها وليست حصيلة forensic نهائية.

وجد Krebs رخصته الخاصة داخل الخدمة، ووصف صوراً أمامية وخلفية، منها نسخ عادية وinfrared وultraviolet. كما بدت طوابع زمنية لبعض معارفه متوافقة مع سفر أو تأجير. لذلك فالمسألة قد تأتي من تحقق يومي عادي.

ما غير المثبت

المصدر الدقيق غير مثبت علناً بشكل نهائي. عدد الأشخاص الفريدين، التكرارات، عمر البيانات واستمرار التسريب كلها أسئلة مفتوحة. سمّى تحقيق Krebs شركة IDScan.net كمصدر محتمل، لكن الشركة لم تؤكد طبيعة أو نطاق أي وصول غير مصرح به في المعلومات المتاحة.

ولا يجوز افتراض أن كل شركة ظهرت في مواد تسويقية لمورد ما متأثرة. حدّث Krebs مقاله بتوضيح من Caesars بأنها ليست عميلة لـ IDScan.net ولم تستخدم VeriScan منذ فبراير 2025.

لماذا صور الهوية مختلفة

تجمع صورة الوثيقة الاسم، تاريخ الميلاد، العنوان، الرقم، التوقيع، الصورة، بيانات مقروءة آلياً وعلامات أصالة. قد تساعد في الهندسة الاجتماعية، استعادة الحسابات، الاحتيال، doxxing، المضايقة أو فحوص هوية ضعيفة.

استبدال الرخصة قد يساعد لكنه لا يمحو الصورة القديمة. الوجه والتوقيع والعنوان السابق يبقون. البطاقات الطبية ووثائق السفر تضيف مخاطر صحة وجنسية وتنقل وأمان جسدي.

كيف تنشأ هذه النسخ

يظن الشخص أنه يستأجر سيارة أو يدخل فندقاً أو يشتري منتجاً مقيداً بالعمر أو يثبت عمره على الإنترنت. في الخلفية قد يقرأ النظام الباركود، يصور الوجهين، يلتقط infrared أو ultraviolet، يطابق الوجه، يسأل API، يخزن نتيجة التحقق أو يحتفظ بالصورة الكاملة.

هذه ليست عمليات متساوية. التصميم الأفضل يثبت أقل قدر ممكن: السن مناسب، الوثيقة تبدو صحيحة، الزائر فُحص اليوم. التصميم الأخطر يحتفظ بنسخة كاملة لسنوات من أجل قرار نعم/لا.

لماذا يصبح الموردون خطراً نظامياً

لموردي التحقق فائدة حقيقية: الهويات المزيفة موجودة والقطاعات المنظمة تحتاج فحصاً. لكن مورداً يخدم التأجير والفنادق والوصول والتمويل والتجزئة يجمع مادة عالية القيمة. المستخدم النهائي لا يختار المورد غالباً ولا يرى سياسة retention.

قد تقلل الخدمة الاحتيال لكل عميل، لكنها تزيد الخطر الكلي إذا أصبحت مخزناً مركزياً للوثائق. لا يكفي كشف التزوير؛ يلزم تقليل البيانات، التشفير، سجلات الوصول، الحذف القابل للتحقق، وفترات احتفاظ قصيرة.

ما يمكن للأفراد فعله

لا تبحث عن نفسك في أسواق إجرامية أو مواقع “تحقق من التسريب”. انتظر إشعارات رسمية من الجهات التي مسحت هويتك. تعامل بحذر مع رسائل عاجلة عن استبدال وثيقة أو فندق أو تأجير أو refund أو age verification.

في الولايات المتحدة يمكن التفكير في credit freeze لدى Experian وEquifax وTransUnion. لا يمنع كل إساءة، لكنه يصعّب فتح حسابات ائتمان جديدة. إذا ظهر استخدام فعلي للهوية، IdentityTheft.gov مورد FTC الرئيسي. عزّز البريد الإلكتروني، حساب الهاتف، الحسابات البنكية، التنبيهات، PIN لدى شركة الاتصالات وMFA مقاومة للتصيد إن أمكن. في كندا، تابع Canadian Anti-Fraud Centre والجهات المعنية.

ما يجب على الشركات فعله

احصر كل موضع تُمسح فيه الهوية. من يستلم الصورة؟ هل يحفظ الوجهان؟ هل تحفظ نسخ infrared أو ultraviolet؟ كم المدة؟ من يصل؟ هل تستخدم البيانات لتدريب نماذج؟ من المعالجون الفرعيون؟ هل الحذف قابل للتدقيق؟

افصل التحقق عن الاحتفاظ. إذا كان المطلوب معرفة أن الشخص فوق سن معين، يصعب تبرير حفظ صورة كاملة سنوات. اطلب من الموردين خريطة تدفق البيانات، جدول retention، زمن notification للحوادث، تقارير audit، مناطق التخزين، مفاتيح يديرها العميل، deletion API، سجلات الوصول وقواعد التدريب.

ما لا ينبغي فعله

لا ترفع وثيقتك إلى مواقع عشوائية للفحص. لا تتصل بأرقام في رسائل مخيفة. لا تنشر صورة الوثيقة طلباً للمساعدة. لا تفترض أن اختفاء Nexus يعني اختفاء البيانات. وفي المقابل لا تستسلم: تجميد الائتمان، مراقبة الحسابات وتقوية الاسترداد تقلل الخطر.

الخلاصة

الدرس ليس “امسح الوثائق بشكل أفضل” فقط، بل “أثبت أقل”. إثبات السن من دون عنوان كامل، وإثبات الحق في الدخول من دون حفظ الوجهين، والتحقق من دون ترك مادة تصلح لانتحال لاحق. لا تزال قصة Nexus تتطور، لكن الدرس الدفاعي واضح: نسخ الوثائق ليست مخلفات تشغيلية، بل أصول أمنية عالية القيمة.