وضع نظام استجابة شامل للمعرفات المرتبطة المسربة... لجنة الاتصالات والبث: 'النتائج لن تستغرق وقتاً طويلاً'
المعرفة المرتبطة (CI): قيمة هوية شخصية تُنتج خلال عملية التحقق من الهوية عبر الهواتف الذكية وآيبين
لا يمكن اختراق الحسابات أو إجراء معاملات مالية بـ CI وحدها، لكن المشكلة تظهر عند دمج البيانات
أسفرت حادثة تسرب البيانات الشخصية لتطبيق تيفينج عن تسرب 19.04 مليون معرفة مرتبطة (CI)، وهي قيم هوية شخصية يتم توليدها خلال عمليات التحقق من الهوية عبر البوابات الخارجية مثل غوغل وناڤر والهواتف الذكية وآيبين، مما أثار مخاوف أمنية جديدة.
لا تتضمن القوانين الحالية أي إجراءات لإلغاء أو استبدال المعرفات المرتبطة المسربة التي تتيح التعريف الشخصي. وقد تبين أن لجنة الاتصالات والبث والوسائط الإعلامية تضع حالياً تدابير للتعامل مع هذه المشكلة.
صرح مسؤول بلجنة الاتصالات والبث والوسائط الإعلامية في السابع من سبتمبر بالقول: "نحن نُجري حالياً مراجعة شاملة على المستوى العملي حول ما إذا كان يمكن إلغاء المعرفات المرتبطة المسربة أو استبدالها بقيم جديدة. لم نحدد بعد طرق التعديل والفئات المستهدفة المحددة، إلا أننا نتوقع الخروج بنتائج قريباً".
في حادثة تيفينج، تم استخدام المعرفة المرتبطة كمعيار لحساب العدد الفعلي للضحايا. وبحسب النتائج التي أعلنتها فريق التحقيق المشترك بين القطاعين العام والخاص في الثالث من سبتمبر، بلغ عدد الحسابات المسربة التي تحتوي على معرفة مرتبطة 19.04 مليون حساب. وعند حذف الحسابات المكررة، وصل عدد المستخدمين الفعليين إلى حوالي 13.24 مليون شخص.
أما الحسابات التي لا تحتوي على معرفة مرتبطة وعددها حوالي 20.4 مليون حساب، فقد كان من الصعب التحقق من امتلاك الشخص الواحد لعدة حسابات، ولذلك لم يتم تحديد العدد النهائي للضحايا.
على الرغم من تسرب قيم المعرفة المرتبطة، فإن المتسللين لا يمكنهم اختراق الحسابات أو استخدامها في معاملات مالية. المشكلة الحقيقية تكمن في أن عدة شركات تستخدم نفس المعرفة المرتبطة. فإذا تضمنت قاعدة البيانات المسربة أو أي بيانات أخرى يحتفظ بها المهاجم نفس المعرفة المرتبطة، فيمكن للمهاجم ربط المعلومات المتفرقة عن الشخص الواحد مثل الاسم وجهات الاتصال والخدمات المشترك فيها بناءً على معيار هوية موحد.
وقال أستاذ القانون تشوي كيونغ-جين من جامعة غاتشون: "المعرفة المرتبطة ليست خطيرة بذاتها، لكن عندما يقصد المهاجم الإساءة ودمج بياناته الخاصة مع البيانات المسربة باستخدام نفس المعرفة المرتبطة، يمكنه تحديد الشخص الواحد. إن الخطر يتعاظم عند دمج هذه البيانات مع معلومات أخرى".
من الناحية التقنية، يتم إصدار قيمة واحدة من المعرفة المرتبطة لكل فرد. حتى لو خضع الشخص لعملية تحقق جديدة، سيحصل على نفس القيمة. لكن، بخلاف بطاقات الائتمان وكلمات المرور، لا توجد إجراءات لإيقاف أو استبدال القيم المسربة بقيم جديدة.
أوضح البروفيسور تشوي أن المعرفة المرتبطة ليست قيمة غير قابلة للتغيير من الناحية التقنية. قال: "حتى الآن، تم تشغيل النظام في اتجاه عدم تغيير المعرفة المرتبطة، إلا أنها قيمة يمكن تغييرها. يجب أن نسير في اتجاه استرجاع وظيفة المعرف المؤقت وفقاً للقصد الأصلي من التقديم، وتحديد صلاحية انتهاء للمعرفة المرتبطة التي تُستخدم حالياً بشكل دائم".
إذا تم تحديد فترة صلاحية وتجديد القيم عند انتهاء الصلاحية أو حدوث خرق في البيانات، فيمكن تقليل خطر استخدام المعرفة المرتبطة القديمة المسربة كوسيلة لربط عدة مجموعات بيانات لفترة طويلة.
أضاف البروفيسور تشوي: "بما أن لجنة الاتصالات والبث والوسائط الإعلامية تقوم بإنشاء وتوفير المعرفات المرتبطة من خلال مؤسسات التحقق من الهوية المعينة حالياً، فيمكن إدخال نظام الصلاحية والاستبدال من خلال تحسين الأنظمة ذات الصلة".
قامت لجنة الاتصالات والبث والوسائط الإعلامية بالشروع في فحص حالة عاجلة لتطبيق تيفينج في يونيو الماضي للتحقق من أغراض معالجة المعرفات المرتبطة وما إذا تمت تشفير عمليات التخزين والنقل والتعامل مع خطط الاستجابة للخروقات. كما تسعى اللجنة إلى تعديل القرارات الإدارية لتقديم موعد تنفيذ فصل السجلات الشخصية عن أرقام التسجيل المدني والمعرفات المرتبطة من مايو القادم إلى يناير.
قال مسؤول بلجنة الاتصالات والبث والوسائط الإعلامية: "لم يتم تحديد جدول جلسات المناقشة حالياً، لكن جدول جلسات تعديل القرارات الإدارية لم يعد متسعاً. من المتوقع أن يتم إنجاز ذلك خلال هذا الشهر".
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.