وسط الأزمة التي تعيشها خطوط المحمول في مصر حاليًا، حيث تكتظ فروع الشركات الأربع "فودافون وأورانج وإي آند" بعملاء غاضبين اكتشفوا وجود خطوط مسجلة بأسمائهم لا يعرفون عنها شيئًا، تبنى الجهاز القومي لتنظيم الاتصالات البيانات البيومترية كبصمة اليد والوجه وسيلة جديدة لبيع الخطوط، الأمر الذي يثير مخاوف أعمق بشأن كيفية حماية تلك البيانات لدى شركات لم تُحسن أصلًا استخدام بطاقات الهوية الشخصية المخزنة لديها.
جاء توجيه الجهاز القومي لتنظيم الاتصالات باستخدام البيانات البيومترية -في خضم قراره إحالة شركات المحمول الأربع إلى النيابة العامة الأسبوع الماضي-كوسيلة للتحقق من الهوية، وتمكين المواطن من اتخاذ الإجراءات اللازمة تجاه أي خط مسجل باسمه ولا يقع في حيازته.
والبيانات البيومترية خصائص جسدية مميزة لكل إنسان، مثل بصمات الأصابع أو ملامح الوجه أو قزحية العين أو نبرة الصوت، تُستخدم هذه القياسات الحيوية للتحقق من هوية الأفراد وتأكيدها بدقة عالية عبر الأنظمة الرقمية والذكية، لتكون بديلًا آمنًا لكلمات المرور، غير أن مشكلة هذه البيانات تكمن في تعرضها لحوادث الأمن السيبراني، ففي الحالات التقليدية يمكن تغيير كلمة المرور لتلافي حالات الاختراق التي أصبحت متكررة في مجال المعلومات والبيانات، حتى في أكثر البلدان تطورًا بوسائل وتقنيات حماية الأنظمة والشبكات والأجهزة والبيانات من الهجمات والاختراقات الرقمية.
وقبل إعلان الجهاز عن خطة تنفيذ البيانات البيومترية، تحدث النائب أحمد بدوي، رئيس لجنة الاتصالات وتكنولوجيا المعلومات بمجلس النواب، عن تطبيق البصمة البيومترية عند التعاقد على خطوط المحمول الجديدة، وحدد موعد التطبيق اعتبارًا من 5 سبتمبر المقبل، للقضاء بصورة كبيرة على ظاهرة استخدام خطوط محمولة مسجلة ببيانات أشخاص آخرين. ووفقًا لبدوي، فإن أي خط محمول جديد يتم التعاقد عليه لدى إحدى شركات الاتصالات الأربع "فودافون وأورانج وإي آند مصر والمصرية للاتصالات" سيخضع لمنظومة تحقق بيومترية من خلال بصمة المستخدم، بما يضمن ارتباط الخط بالشخص الحقيقي الذي قام بالتعاقد عليه، ويحد من إمكانية استخدام بيانات شخص آخر في تسجيل الخط.
ما سر التخوف من البيانات البيومترية؟
ورغم تأكيد جهاز تنظيم الاتصالات أن التنفيذ الفعلي للمنظومة البيومترية سيكون على الخطوط الجديدة، يقول مصدر بشركة محمول إن الخطة قد تمتد للخطوط القائمة، لكن الآلية لا تزال قيد البحث، خصوصًا أن أعداد حاملي الخطوط تُقدر بـ127 مليون خط، وهو رقم ضخم لا تستطيع الشركات تحديثه دفعة واحدة.
وبينما يقول النائب أحمد بدوي إن الشركات ستحصل على بصمة الإصبع، يقول المهندس محمد إبراهيم، النائب التنفيذي والمتحدث الرسمي باسم الجهاز القومي لتنظيم الاتصالات، إن البصمة ستكون بصمة الوجه وليست بصمة الإصبع.
ولكن تثير هذه الخطوة عمومًا تخوفات فيما يتعلق بالأمان، فشركات المحمول التي لا تعرف كيف سجُلت خطوط بأسماء أفراد آخرين، أو كيف لجأ بعض موظفيها لاستخدام البطاقات الموجودة لديهم لتقفيل التارجت، كيف يمكن أن تُؤتمن على بيانات مهمة كبصمة اليد، وكيف يمكن حمايتها من الاختراق. ومن بين هؤلاء، الدكتور محمد حافظ، الطبيب المعروف، الذي اكتشف قبل عام وجود خطوط باسمه فقام بإلغائها، ثم تبين له في الأزمة الأخيرة وجود خطوط جديدة غير التي ألغاها، معتبرًا ذلك سرقة معلومات شخصية وخيانة أمانة، لأن المواطن يستأمن هذه الشركات على بياناته وبطاقة رقمه القومي، "فكيف تُؤتمن على ما هو أهم".
وقد استغل بعض موظفي شركات المحمول القواعد التنظيمية لبيع شرائح الهاتف المحمول للأفراد، وهي القواعد التي تمنح العميل المصري الحق في استخدام رقمه القومي الساري الواحد لشراء ما يصل إلى 10 خطوط صوتية و5 خطوط بيانات من شركة محمول واحدة، بإجمالي 15 خطًا، وهي مادة يرى البعض ضرورة تغييرها بحيث تصبح متاحة فقط للعميل الذي لديه نشاط تجاري أو صناعي. من هؤلاء محمد مرعي، رئيس وحدة دراسات الإعلام والرأي العام في المركز المصري للفكر والدراسات الاستراتيجية، الذي يعترض على فكرة البيانات البيومترية، مؤكدًا خطورة إعطاء شركات تجارية حق الحصول على بيانات ملايين المصريين، بعدما تقاعست عن ضبط بيع الخطوط لأشخاص دون بيانات صحيحة.
ويضيف، في تصريحات لـ"فكر تاني"،أن منح الشركات حق تجميع هذه البيانات، التي تُعد حكرًا على المؤسسات الرسمية، لا يضمن عدم تسريبها أو العبث بها لملايين المصريين، ويحمل مخاطر أمنية، إذ يرى أن شركات الاتصالات يجب أن تُحاسب على الأزمة التي تسببت فيها لا أن تُكافأ عليها.
سوق سوداء لقرصنة البيانات وتداولها
ترتبط المخاوف من البيانات البيومترية أيضًا بمخاوف الاختراق، فأحد المكاتب التابعة للحكومة الأمريكية تعرّض عام 2015 للقرصنة، ما أدى إلى سرقة بصمات أصابع 5.6 مليون شخص. كما اخترق باحثون أمنيون في الأوان الأخير جهازًا للبيانات البيومترية محميًا بـ"مصادقة الوريد"، أو ما يُعرف بـVein based authentication، وهي فكرة تقوم على جهاز كمبيوتر يمسح شكل وحجم وموضع عروق المستخدمين تحت جلد اليد، وهي تقنية أعقد بكثير من بصمة اليد.
وتقول أندرا أندريواي، خبيرة في مجال أمن المعلومات، إن المُخترقين يمكنهم استخدام البيانات البيومترية المسروقة لتزوير الوثائق لأغراض متعددة، مثل الهجرة غير الشرعية، والحصول على قروض، والاحتيال العقاري، أو المطالبة بمزايا مالية.
وتشير أندريواي إلى حادثة وقعت عام 2020، حين حاول مُخترقان من أصل إيراني بيع وثائق بيومترية مرتبطة بعدة دول، تضم 76 ألف رمز وطني وبطاقة هوية بيومترية، تشمل رخص القيادة وبطاقات الهوية وجوازات السفر والشارات الشخصية وبطاقات هوية الطلاب.
وبحسب أندريواي، شملت تلك الوثائق دولًا من البرازيل والهند والأردن والسعودية والسنغال وكوريا الجنوبية وإسبانيا والسودان وأوكرانيا والولايات المتحدة، كما عرض المُخترقان أيضًا 72400 وثيقة هوية إيرانية ممسوحة ضوئيًا للبيع، حصلا عليها من وزارة التعاونيات والعمل والرعاية الاجتماعية الإيرانية.
وفي عام 2021، كُشف عن ثغرة تسمح للمهاجمين بتجاوز المصادقة البيومترية على أجهزة أندرويد، إضافة إلى ثغرة أخرى في ماسح بصمات الأصابع في هاتف سامسونج نوت 20 تسمح بنسخ بصمات الأصابع، ما يؤدي إلى ارتفاع معدل التعرف الخاطئ لدى المستخدمين الذين يسجلون الدخول إلى أجهزتهم. وفي أغسطس 2021 اكتُشفت ثغرة في نظام التعرف على الوجه في نظام التشغيل Windows 10، سمحت للمهاجمين بتجاوز المصادقة البيومترية باستخدام صورة مزيفة.
وتتحدث لورين هندريكسون، خبيرة المعلومات، هي الأخرى عن حالات تُخزن فيها البيانات البيومترية في قواعد بيانات ذات حماية ضعيفة، أو تُستخدم بطرق لم تُفصح عنها للجمهور بشكل واضح، مضيفة أنه حتى عندما تُصر الشركات على إعطاء الأولوية للخصوصية، فإن غياب الشفافية حول كيفية عمل الأنظمة فعليًا يجعل التحقق من هذه الضمانات صعبًا.
هل يوجد قانون يحمي البيانات البيومترية؟
بحسب خبراء القانون، يمكن معاقبة شركات المحمول بالعديد من الغرامات حال ثبوت تسريبها البيانات الشخصية أو البيانات البيومترية مستقبلًا، باعتبارها "متحكمًا" أو "معالجًا" للبيانات، وإخلالها بالالتزامات المنصوص عليها، إذ يتضمن القانون غرامات تتراوح بين 300 ألف و3 ملايين جنيه.
ففي تشريع حماية البيانات الشخصية رقم 151 لسنة 2020، يُحظر جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إتاحتها إلا بموافقة صريحة من الشخص المعني، أو في الحالات التي يسمح بها القانون. وتمتد العقوبة في هذه الحالة إلى الحبس مدة لا تقل عن 6 أشهر، وغرامة من 200 ألف إلى مليوني جنيه، أو إحدى العقوبتين، إذا ارتُكبت المخالفة مقابل الحصول على منفعة مادية أو أدبية، أو بقصد تعريض صاحب البيانات للخطر أو الضرر، وكذلك حال جمع بيانات شخصية دون توافر الشروط القانونية المقررة لجمعها ومعالجتها.
ويقول المهندس محمد إبراهيم، النائب التنفيذي والمتحدث الرسمي باسم الجهاز القومي لتنظيم الاتصالات، إن عملية التحقق من خلال بصمة الوجه تتضمن معلومات لن تكون لدى شركة المحمول حتى لا يحدث تلاعب، موضحًا، في تصريحات لـ"فكر تاني"، أن "بيع الخطوط قبل البصمة كان يتم عن طريق ذهاب الشخص مع بطاقة الرقم القومي، ويُمضي عقدًا، ويأخذ الشريحة، ولكن بعد تفعيل البصمة سيجرى تطابق الوجه بطريقة فنية بدون عامل بشري".
وفي المقابل، يقول محمد الطاهر، الباحث في مجال التقنية، إن مصر تأخرت طويلًا في تفعيل الإطار القانوني لحماية البيانات، فقانون حماية البيانات الشخصية صدر سنة 2020، لكن لائحته التنفيذية تأخرت حتى نوفمبر 2025.
ويؤكد الطاهر، في منشور له عل فيسبوك، أن التحقق البيومتري يجعل بعض صور انتحال الهوية صعبة، لكنه في المقابل يُدخل نوعًا شديد الحساسية من البيانات في عملية التسجيل، وطالما أن الأزمة الحالية سببها ضعف السيطرة على البيانات الشخصية وضعف إجراءات حمايتها، فإن إضافة بيانات بيومترية إلى البيئة نفسها يوسع حجم الضرر المحتمل حال حدوث تسريب أو استخدام غير مشروع أو مشاركة للبيانات خارج غرضها الأصلي.
ويحذر الطاهر من أن البيانات البيومترية لا تتغير حال سرقتها أو تسريبها أو إساءة استخدامها، وأثرها قد يمتد مع الشخص طوال حياته، وتسليمها لشركات المحمول لمعالجة خلل حدث أصلًا في طريقة تعامل هذه الشركات مع بيانات العملاء، إنما يزيد المخاطر بدلًا من علاج مصدرها.
يبقى السؤال الذي يطرحه الطاهر أوسع من مجرد إجراء تقني جديد، فالمعضلة لا تكمن في البصمة البيومترية نفسها بقدر ما تكمن في البيئة التي ستُستخدم فيها، فالجهة التي عجزت عن حماية بطاقة الرقم القومي وسمحت بتسجيل ملايين الخطوط دون تحقق حقيقي من الهوية، هي نفسها المرشحة الآن لحفظ بيانات لا يمكن تغييرها إذا سُرقت أو استُغلت. وقد يقلل التحقق الآلي من هامش التلاعب البشري الذي سمح بهذه الأزمة أصلًا، لكن هذا لا يجيب على سؤال أكثر إلحاحًا يطرحه الخبراء أنفسهم، وهو من يراقب الجهة التي تحتفظ بهذه البيانات، وكيف يمكن التأكد من التزامها بما تعد به.