جعلت Experian South Africa التحقق من طالب البيانات اختبارًا للمساءلة في بيانات الائتمان

ملخص

• تعتبر حادثة Experian South Africa لعام 2020 مهمة لأن الشركة ذكرت أن شخصًا ادعى تمثيل عميل شرعي طلب خدمات احتيالية، وأظهر الأسئلة الشائعة اللاحقة لـ Experian أن المعلومات تمت مشاركتها في 24 و27 مايو 2020 قبل أن تصبح الشركة على علم في 22 يوليو.
• ذكر بيان هيئة تنظيم المعلومات لعام 2021 أن الحادثة كشفت بعض المعلومات الشخصية لما يصل إلى 24 مليون جنوب أفريقي و793,749 كيانًا تجاريًا لمشتبه به بالاحتيال، مستشهدًا بالسجل العام في ذلك الوقت.
• سؤال المساءلة هو من الذي يتحكم في التحقق من طالب البيانات، والعناية الواجبة بالعميل، والموافقة على إصدار البيانات، واكتشاف الاحتيال، وحدود التوزيع النهائي، وإشعار المستهلك، وأدلة الجهة التنظيمية، وإثبات أن السلطة المزيفة لا يمكنها الحصول على بيانات المكتب مرة أخرى.
• القضية لا تتعلق فقط بما إذا كانت Experian قد تم "اختراقها"؛ يمكن لمكتب ائتمان أن يخلق مخاطر على مستوى السكان عندما يطلق البيانات من خلال عملية تجارية بعد خداعه من قبل منتتحل.
• تعتبر هذه المقالة صفحات حوادث Experian العامة، والبيان الصحفي لـ Experian plc، ومواد هيئة تنظيم المعلومات، وPOPIA، وسجلات NCR والنظام البيئي لمكاتب الائتمان، ومراجع حماية المستهلك كأدلة عامة. لا تدعي الوصول إلى ملفات الشرطة الكاملة، أو العقود، أو سجلات تأهيل العملاء، أو التقارير الجنائية الكاملة، أو كل نسخة نهائية من البيانات.

لماذا تنتمي هذه القضية إلى ملف المخاطر والمساءلة

تنتمي Experian South Africa إلى ملف المخاطر والمساءلة لأن الحادثة حولت التحقق من طالب البيانات إلى عنصر أمني على مستوى السكان. في العديد من روايات الاختراق، تكون الصورة المركزية هي مهاجم يخترق النظام. استخدم الحساب العام لـ Experian إطارًا مختلفًا. ذكر البيان الصحفي لـ Experian plc علىhttps://www.experianplc.com/intelligence team/press-releases/2020/experian-south-africa-curtails-fraud-incidentأن Experian South Africa كانت تحقق في حادثة منعزلة تتعلق باستعلام بيانات احتيالي. وذكر أن فردًا في جنوب أفريقيا، ادعى تمثيل عميل شرعي، طلب خدمات من Experian بشكل احتيالي، وأن الخدمات تضمنت إصدار معلومات تم تقديمها في سياق العمل العادي أو متاحة للجمهور.

هذه الصياغة مهمة. لا يحتاج مكتب الائتمان إلى اختراقه بالبرامج الضارة ليتعرض المستهلكون للخطر. إذا تم خداع المكتب لإصدار بيانات لشخص بسلطة مزيفة، فإن عملية التأهيل والإصدار تصبح عنصر التحكم المخترق. عملية التحقق من طالب البيانات ليست هامشية للأمن. إنها البوابة الأمامية التي تخرج من خلالها البيانات من المكتب.

احتوت صفحة حوادث Experian South Africa علىhttps://www.experian.co.za/fraudulent-data-incidentوالأسئلة الشائعة علىhttps://www.experian.co.za/fraudulent-data-incident/faqsعلى تفاصيل رئيسية. ذكرت الأسئلة الشائعة أن Experian South Africa كانت ضحية احتيال حيث قام الجاني، متظاهرًا بأنه شركة شرعية، باستعلام بيانات احتيالي؛ كما ذكرت أن المعلومات تمت مشاركتها في 24 و27 مايو 2020، وأن Experian أصبحت على علم بالاحتيال في 22 يوليو 2020. وذكرت الأسئلة الشائعة أيضًا أن المحتال قدم أسماء وألقاب وأرقام هوية جنوب أفريقية للتحقق وأن Experian أضافت تفاصيل الاتصال والتوظيف بالإضافة إلى حالة التحقق. كما ذكرت Experian أنها لم تقدم درجات ائتمان أو بيانات ائتمان أو تفاصيل حسابات مصرفية للأفراد إلى المحتال.

كان الأثر العام أوسع. ذكر البيان الإعلامي لهيئة تنظيم المعلومات في أكتوبر 2021 علىhttps://inforegulator.org.za/wp-content/uploads/2020/07/ms-20211027-Experian.pdfأن الحادثة كشفت بعض المعلومات الشخصية لما يصل إلى 24 مليون جنوب أفريقي و793,749 كيانًا تجاريًا لمشتبه به بالاحتيال، مستشهدًا بالتقارير العامة لمركز معلومات مخاطر الصيرفة الجنوب أفريقي في ذلك الوقت. وذكر البيان نفسه أن تحقيقًا مستقلاً كلفته هيئة تنظيم المعلومات وجد أن Experian دخلت في علاقة تجارية مع شخص يحرف نفسه على أنه يمثل شركة شرعية.

لذا فإن سؤال المساءلة العملي واضح: من كان لديه سيطرة عملية على التحقق من طالب البيانات، والموافقة على إصدار البيانات، واكتشاف الاحتيال، وحدود التوزيع النهائي، وإشعار المستهلك، وأدلة الجهة التنظيمية، وإثبات أن بيانات مكتب الائتمان لا يمكن الحصول عليها من خلال سلطة مزيفة؟ لم يتحكم المستهلكون في التحقق من عميل Experian. لم تتحكم الشركات التي تم تضمين سجلاتها في عملية الإصدار. لم يعرف المقرضون ومساهمو البيانات بالضرورة متى ستتم إضافة بيانات المكتب لطالب. سيطرت Experian على قرار الإصدار. سيطرت الهيئات التنظيمية على التدقيق بعد الحادثة. ساعد مستجيبو الاحتيال والبنوك في امتصاص المخاطر النهائية.

كلمة "احتيال" لم تقلل من واجب الحوكمة

أكد الحساب العام لـ Experian على الاحتيال بدلاً من الاختراق. هذا التمييز مهم، لكنه لا يقلل من المساءلة. الاحتيال هو بالضبط التهديد الذي يجب أن يتوقعه مكتب الائتمان عندما يبيع أو يتحقق أو يضيف أو يعيد معلومات إلى العملاء. توجد مكاتب الائتمان لأن بيانات الهوية والائتمان والتوظيف والعنوان والاتصال تدعم الإقراض وتقييم المخاطر والتحصيل والتسويق والتحقق ومكافحة الاحتيال. نفس البيانات ذات قيمة للمجرمين. لذلك يجب أن تكون عملية التحقق من العميل في المكتب قوية بما يكفي لكشف السلطة المزيفة قبل إصدار البيانات.

توضح الحادثة فئة تحكم غالبًا ما تكون أضعف من الأمن المحيطي: مصادقة العملية التجارية. يمكن لجدران الحماية والتشفير وضوابط الوصول حماية قاعدة البيانات من الاختراق المباشر بينما يتلقى طالب احتيالي البيانات من خلال سير عمل يبدو شرعيًا. إذا كان مسار الموافقة يعامل هوية العميل والغرض والتفويض والملكية المستفيدة على أنها فحوصات إدارية بدلاً من ضوابط أمنية عالية المخاطر، يمكن للمكتب نقل بيانات على مستوى السكان دون استغلال تقني.

لهذا السبب تستحق عبارة "سياق العمل العادي" تحليلًا دقيقًا. السياق العادي لا يعني المخاطر المنخفضة. العمل العادي لمكتب الائتمان هو معالجة وتوزيع المعلومات الحساسة. الإصدار العادي لعميل شرعي يمكن أن يكون ضارًا إذا كان طالب البيانات مزيفًا، أو إذا تم تحريف الغرض، أو إذا تجاوزت البيانات التي تم إرجاعها ما يتطلبه الغرض، أو إذا لم يتم التحكم في إعادة التوزيع النهائية. كلما كانت عملية الإصدار أكثر روتينية، كلما كان يجب أن تكون المصادقة وكشف الشذوذ أقوى.

التمييز في الأسئلة الشائعة بين درجات الائتمان ومعلومات الاتصال أو التوظيف المضافة مهم أيضًا. قد يسمع المستهلكون أنه لم يتم إصدار درجات ائتمان أو تفاصيل حسابات مصرفية ويستنتجون ضررًا منخفضًا. هذا الاستنتاج ضيق جدًا. الأسماء وأرقام الهوية وتفاصيل الاتصال وأصحاب العمل وحالة التحقق يمكن أن تساعد في الهندسة الاجتماعية والتصيد ومحاولات الاستيلاء على الحسابات وعمليات الاحتيال في تحصيل الديون واستهداف تبديل بطاقة SIM واحتيال طلبات القروض وانتحال شخصية الشركات. بيانات الائتمان ليست البيانات الوحيدة القيمة التي يحتفظ بها مكتب الائتمان.

لذلك يجب أن يفصل ملف المساءلة بين ثلاثة أسئلة. هل تم اختراق قاعدة بيانات Experian؟ قالت Experian لا. هل تم إصدار معلومات إلى محتال؟ قالت Experian إن طالبًا احتياليًا حصل على معلومات من خلال استعلام بيانات. هل خلق هذا الإصدار التزامات أمنية ومخاطر للمستهلك؟ نعم، لأن التحكم فشل عند النقطة التي قرر فيها المكتب أن طالب البيانات لديه سلطة شرعية. يمكن أن يكون الاختراق من خلال عملية تجارية بنفس أهمية الاختراق من خلال ثغرة برمجية.

بيانات مكتب الائتمان هي بنية تحتية، وليست مواد تسويقية عادية

تعمل Experian South Africa في نظام بيئي للبيانات حيث يتم تنظيم مكاتب الائتمان وتكون مركزية اقتصاديًا. يُظهر سجل مكاتب الائتمان لجهاز تنظيم الائتمان الوطني علىhttps://www.ncr.org.za/register_of_registrants/registered_cb1.phpوصفحة أعضاء جمعية مكاتب الائتمان علىhttps://www.cba.co.za/membersالسياق المؤسسي: مكاتب الائتمان هي منظمات مستقلة تخضع للتنظيم بموجب قانون الائتمان الوطني ومتصلة بالمقرضين وموردي البيانات والمستهلكين وعمليات النزاع. الصفحة الرئيسية لجمعية مكاتب الائتمان علىhttps://www.cba.co.za/تؤطر دور الجمعية حول المعايير والسياسات وحماية معلومات الائتمان الاستهلاكي.

هذا النظام البيئي مهم لأن بيانات المكتب تُستخدم لاتخاذ قرارات الثقة. تؤثر على الوصول إلى الائتمان، واكتشاف الاحتيال، وتقييم القدرة على السداد، والتحصيلات، والتحقق من الهوية، وقرارات مخاطر الأعمال. قد لا يكون للمستهلك علاقة تعاقدية مباشرة مع كل مكتب يحتفظ بسجله. قد يتم تصنيف شركة عبر مجموعات بيانات متعددة. لذلك فإن المكتب هو وصي على بيانات الأشخاص والشركات الذين ربما لم يختاروا الوصي بأي معنى ذي معنى.

يشرح كتيب المستهلك لجهاز تنظيم الائتمان الوطني علىhttps://www.ncr.org.za/brochures/Credit%20Bureau%20And%20Your%20Rights/NCR_%20english%20.pdf، على مستوى التثقيف العام، أن مكاتب الائتمان تجمع وتوفر معلومات ائتمانية وأن حقوق المستهلك مرتبطة بسجلات الائتمان. صفحة تقرير الائتمان الاستهلاكي لـ Experian علىhttps://www.experian.co.za/consumer/my-free-credit-check-and-your-free-credit-reportتظهر الجانب الموجه للمستهلك من تلك البنية التحتية: يمكن للجنوب أفريقيين الوصول إلى المعلومات في تقرير الائتمان الشخصي الخاص بهم والطعن فيها. تلك الحقوق مهمة بعد حادثة لأن المستهلكين يحتاجون إلى طريقة لمعرفة ما إذا كانت البيانات دقيقة، وما إذا كان النشاط الاحتيالي يظهر، وما إذا كان يمكن حل النزاعات.

تنتمي الحادثة أيضًا إلى سيادة البيانات والمحلية. أرقام الهوية الجنوب أفريقية، وسجلات الأعمال، وتفاصيل الاتصال، ومعلومات التوظيف، وبيانات المكتب تقع ضمن القانون المحلي، والهيئات التنظيمية المحلية، والبنوك المحلية، وأنماط الاحتيال المحلية، وحقائق المستهلك المحلية. قد يكون لشركة معلومات ائتمانية عالمية حوكمة متعددة الجنسيات، لكن الضرر محلي عندما يجب على المقيمين والشركات في جنوب أفريقيا إدارة مكالمات الاحتيال وإساءة استخدام الهوية والقلق من تقرير الائتمان. لذلك تصبح قدرة الهيئة التنظيمية المحلية وقنوات الإشعار المحلية جزءًا من سجل المساءلة.

هذه ليست حجة بأن مكاتب الائتمان لا ينبغي أبدًا تقديم خدمات التحقق أو البيانات. دورها الاقتصادي يعتمد على تبادل البيانات المشروع. الحجة هي أن عملية الإصدار في المكتب يجب أن تُعامل مثل البنية التحتية الحيوية لأن المنتج الذي يتم إصداره هو الثقة. الإصدار الخاطئ لا يكشف فقط قائمة بريدية. يمكن أن يغير بيئة الاحتيال للبنوك وشركات الاتصالات وتجار التجزئة والمقرضين وشركات التأمين وأصحاب العمل والمستهلكين ومكاتب إساءة الاستخدام التي يجب أن تميز المتقدمين الحقيقيين من المنتحلين.

POPIA جعلت الإشعار والضمانات جزءًا من سجل التحكم

قانون حماية المعلومات الشخصية في جنوب أفريقيا مهم لهذه القضية لأنه يجعل حماية المعلومات الشخصية مسؤولية قانونية. يتضمن نص القانون الرسمي علىhttps://www.gov.za/sites/default/files/gcis_document/201409/3706726-11act4of2013protectionofpersonalinforcorrect.pdfمفاهيم المساءلة وتقييد المعالجة وتحديد الغرض وضمانات الأمن والإشعار ذات الصلة المباشرة بحادثة إصدار بيانات. دليل اختراق الأمان لهيئة تنظيم المعلومات علىhttps://inforegulator.org.za/wp-content/uploads/2020/07/Guidelines-on-completing-a-Security-Compromise-Notification-ito-Section-22-POPIA.pdfيشرح توقعات عملية الإشعار لاختراقات الأمان بموجب القسم 22.

صفحة توجيه المستهلك لـ Experian علىhttps://www.experian.co.za/fraudulent-data-incident/consumer-guidanceملحوظة لأنها تستخدم لغة القسم 22 وتذكر أن Experian أصبحت على علم في 22 يوليو 2020 بحادثة تتعلق بحصول طرف ثالث على معلومات شخصية للمستهلكين والكيانات القانونية في 24 و27 مايو 2020. هذا النمط من التواريخ مهم. عندما يتم إصدار البيانات في مايو ويأتي الوعي في يوليو، فإن الإشعار لا يتعلق فقط بإعلام الجمهور. إنه يتعلق بتمكين الأشخاص والشركات المتضررة من اتخاذ إجراء بعد فترة قد تكون البيانات قد تحركت فيها بالفعل.

أضاف بيان هيئة تنظيم المعلومات لعام 2021 التدقيق. ذكر أن الهيئة التنظيمية كلفت تحقيقًا مستقلاً ولخصت النتائج حول علاقة تجارية مع طرف يحرف نفسه. كما وضعت الحادثة في سياق السكان المكشوفين المبلغ عنهم في ذلك الوقت. هذا البيان العام ليس سجل التحقيق الكامل، لكنه مصدر مهم للمساءلة لأنه يظهر أن الهيئة التنظيمية تعاملت مع الأمر كقضية حماية بيانات، وليس مجرد خسارة احتيال خاصة.

الإطار القانوني مهم لتصميم التحكم. لا يمكن للطرف المسؤول الاعتماد فقط على شروط العقد مع العميل إذا كانت هوية العميل نفسها مزيفة. يجب عليه التحقق من هوية طالب البيانات، وما إذا كان طالب البيانات مخولًا لتلقي البيانات المحددة، وما إذا كان الغرض المطلوب قانونيًا ومشروعًا، وما إذا كانت البيانات التي تم إرجاعها مقتصرة على ذلك الغرض، وما إذا كان طالب البيانات يمكنه إعادة توزيعها، وما إذا كانت الأنماط غير العادية تؤدي إلى مراجعة. لا يكتب POPIA كل تكوين تحكم، لكنه يجعل سؤال الحوكمة لا مفر منه.

يجب أن يكون الإشعار مفيدًا أيضًا. يحتاج المستهلك الذي يتلقى تحذيرًا بعد حادثة بيانات مكتب ائتمان إلى معرفة فئات البيانات التي قد تكون متضمنة، وما تقول Experian إنه لم يكن متضمنًا، وما هي عمليات الاحتيال التي يجب الانتباه إليها، وما إذا كان يجب فحص تقرير الائتمان، وأين يبلغ عن الاحتيال، وكيفية الطعن في المعلومات غير الدقيقة، ومدة الحاجة إلى اليقظة. يحتاج الكيان التجاري إلى خريطة مماثلة لإساءة استخدام هوية الأعمال وعمليات الاحتيال على الموردين وطلبات الائتمان ومحاولات السلطة المزيفة. لا يمكن لاعتذار عام أن يتحمل هذا العبء.

يجب التعامل مع التحقق من طالب البيانات مثل إثبات الهوية على نطاق واسع

سؤال الإصلاح المركزي هو كيف تحققت Experian من طالب البيانات قبل إصدار البيانات. لا تكشف المصادر العامة عن ملف التأهيل الكامل، أو المستندات المقدمة، أو سلسلة الموافقة، أو كل فحص تم إجراؤه. هذا الحد من الأدلة مهم. لكن السجل العام كافٍ لذكر المعيار: يجب التعامل مع عملية التحقق من العميل في مكتب الائتمان مثل إثبات الهوية على نطاق واسع، وليس مثل إدارة المبيعات الروتينية.

العملية القوية ستتحقق من الكيان القانوني، والمديرين أو الموقعين المخولين، والمجال وقنوات الاتصال، والملكية المستفيدة حيثما كان ذلك مناسبًا، وملكية الحساب المصرفي، والغرض التجاري، والحالة التنظيمية، وسلطة استخدام البيانات، ونقاط الاتصال المادية والرقمية، وموافقات العقد، والاتساق بين البيانات المطلوبة والغرض المعلن. ستكشف عن العلامات الحمراء مثل الطلبات العاجلة، وحجم البيانات غير المعتاد، وعدم التطابق بين البريد الإلكتروني لطالب البيانات ومجال الكيان، والمجالات المنشأة حديثًا، وترتيبات الدفع المشبوهة، والعناوين غير المتسقة، أو الطلبات التي تتطلب إضافة معلومات حساسة لغرض لا يبررها.

يمكن أن تساعد أتمتة الأمان، لكن يجب أن تستهدف العملية التجارية. لا ينبغي لمراقبة المعاملات أن تراقب فقط محاولات اختراق قاعدة البيانات. يجب أن تراقب أنماط إصدار البيانات: عميل جديد، طلب مطابقة عالي الحجم، حقول إضافة حساسة، وجهة غير عادية، توقيت غير نمطي، طلبات متكررة، وتجاوز يدوي. لن يؤدي المحتال الذي يستخدم قناة تبدو شرعية إلى إطلاق إنذار محيطي دائمًا. الشذوذ يكمن في العلاقة بين طالب البيانات والغرض والحجم ونوع البيانات ومسار التسليم.

مواد Experian العالمية للكشف عن الاحتيال علىhttps://www.experian.com/corporate/fraud-detectionمفيدة كمفردات لأنها تظهر أن Experian تبيع أو تصف قدرات حول اكتشاف الاحتيال طوال رحلة العميل. لا يجب أن تستخدم المقالة تلك الصفحة كدليل على ما تم أو لم يتم استخدامه من ضوابط في جنوب أفريقيا في عام 2020. أهميتها مفاهيمية: نفس المنظمة التي تساعد الآخرين في التحقق من الهوية واكتشاف الاحتيال كان عليها أيضًا أن تثبت أن عملية التحقق من طالب البيانات الخاصة بها كانت مقاومة للانتحال. عندما يتم خداع شركة مكافحة احتيال لإصدار بيانات، يصبح سؤال الحوكمة أكثر حدة، وليس أكثر ليونة.

أفضل الممارسات ليست مجرد أوراق أكثر. يمكن تزوير الأوراق نفسها. يجب أن يجمع التحقق بين التأكيد المستقل، وقنوات الاتصال المعتمدة، والفحوصات التصعيدية للحجم أو الحساسية، والفصل بين موافقة المبيعات وموافقة إصدار البيانات، والمراقبة بعد الإصدار. لا ينبغي أن يكون العميل الجديد قادرًا على طلب بيانات مضافة على مستوى السكان لأن حزمة المستندات بدت معقولة. كلما زادت قدرة البيانات على تمكين اقتصاديات الاتصال بسوء الاستخدام، كلما تطلب الإصدار ضمانًا مستقلاً.

الاحتواء كان مشكلة توزيع نهائي

ذكرت Experian في المواد العامة أنها حصلت على أمر Anton Piller وأمنت الأجهزة بعد الحادثة، ووصفت الأسئلة الشائعة خطوات إنفاذ القانون والاحتواء. بيان هيئة تنظيم المعلومات والتقارير الإعلامية أوضحت أن الاحتواء كان قضية مركزية لأنه بمجرد مغادرة البيانات للمكتب، لم يعد المكتب يتحكم بالكامل في النسخ. هذا هو أصعب جزء في حادثة طالب بيانات احتيالي: قد يعيد المستلم الخاطئ توزيع أو بيع أو تسريب أو دمج البيانات قبل أن يفهم الطرف المسؤول النطاق.

لذلك يجب أن تجيب أدلة الاحتواء على عدة أسئلة. ما الذي تم إصداره بالضبط؟ ما هي الحقول التي تمت إضافتها؟ كم عدد سجلات المستهلكين وسجلات الأعمال المتضمنة؟ ما التنسيق المستخدم؟ هل كانت البيانات مشفرة أثناء النقل؟ ما الضوابط التعاقدية أو التقنية التي حدت من إعادة الاستخدام؟ ما مدى سرعة اكتشاف Experian للاحتيال؟ ما الأجهزة أو الأنظمة التي تم تأمينها؟ هل كان هناك دليل على التوزيع اللاحق؟ ما الأطراف النهائية التي تم إخطارها؟ ما مستوى الثقة في حذف النسخ أو احتوائها؟ ما الفجوات التي بقيت غير معروفة؟

مدخل Have I Been Pwned لـ Experian South Africa علىhttps://haveibeenpwned.com/Breach/Experian2020مفيد كإشارة وعي عامة نهائية لأنه يصف الحادثة بأنها كشفت عشرات الملايين من الأفراد ويذكر أن مجموعة فرعية فقط من السجلات احتوت على عناوين بريد إلكتروني. تلك الخدمة ليست الهيئة التنظيمية وليست مصدرًا جنائيًا كاملاً. إنها ذات صلة لأن المستهلكين غالبًا ما يواجهون مخاطر الاختراق من خلال البحث أو المراقبة أو خدمات الإشعار بدلاً من الملفات القانونية. تصبح قنوات الوعي العامة جزءًا من تقليل الضرر العملي عندما قد تنتشر البيانات.

كما شكلت التغطيات الإخبارية والأمنية الفهم العام. Infosecurity Magazine علىhttps://www.infosecurity-magazine.com/news/experian-data-breach-24-million/وBusinessTech علىhttps://businesstech.co.za/news/banking/427088/massive-credit-bureau-data-breach-exposes-personal-information-of-as-many-as-24-million-south-africans/أبلغتا عن النطاق وتصريحات Experian في ذلك الوقت. ITWeb علىhttps://www.itweb.co.za/article/experian-only-informed-information-regulator-months-after-hack/LPp6V7rD2ebqDKQzأبلغت عن أسئلة إخطار الهيئة التنظيمية. هذه مصادر ثانوية، لكنها تظهر ما كان يقال للمستهلكين والبنوك والمسؤولين العموميين خلال نافذة الاستجابة.

الاحتواء هو حيث يدخل اقتصاديات الاتصال بسوء الاستخدام القضية. يمكن لتفاصيل الاتصال والتوظيف تغذية التواصل المستهدف. لا يحتاج المجرم دائمًا إلى درجة ائتمان لتنفيذ محاولة احتيال مقنعة. يمكن لاسم ورقم هوية وصاحب العمل ورقم هاتف وعنوان دعم سيناريو يبدو موثوقًا. يمكن لبيانات الكيان التجاري دعم انتحال الموردين أو عروض الائتمان المزيفة. عندما يعزز إصدار المكتب قائمة الاتصال للمسيئين، تنتقل تكلفة الحادثة إلى مراكز الاتصال والبنوك وفرق احتيال الاتصالات والمستهلكين والشركات التي يجب عليها تقييم ما إذا كان الاتصال شرعيًا.

كان على توجيه المستهلك التمييز بين ضرر الائتمان وضرر الهوية

ذكرت الأسئلة الشائعة لـ Experian أنها لم تقدم درجات ائتمان أو بيانات ائتمان أو تفاصيل حسابات مصرفية للأفراد إلى المحتال. هذا التمييز كان مهمًا ويجب الحفاظ عليه. المبالغة في فئات البيانات ستكون غير عادلة وغير دقيقة. لكن التمييز لا يلغي ضرر الهوية. يمكن أن يواجه المستهلك خطر الاحتيال من أرقام الهوية والأسماء والعناوين وأرقام الهواتف وعناوين البريد الإلكتروني والمهن وأصحاب العمل وحالة التحقق. يمكن أن تواجه الشركة خطر الاحتيال من معلومات التسجيل والاتصال والسياق المتعلق بالائتمان أو فرص الانتحال.

صفحة توجيه المستهلك وجهت الأشخاص نحو فحص تقارير الائتمان والانتباه للاتصال المشبوه. صفحة تقرير الائتمان المجاني لـ Experian علىhttps://www.experian.co.za/consumer/my-free-credit-check-and-your-free-credit-reportذات صلة لأن الوصول إلى تقرير الائتمان هو إحدى الطرق التي يمكن للمستهلكين من خلالها مراقبة ما إذا كان شخص ما يحاول استخدام هويتهم في سياقات الائتمان. كتيب NCR مهم أيضًا لأنه يشرح حقوق المستهلك حول معلومات مكتب الائتمان والنزاعات.

المشكلة العملية هي أن العديد من المستهلكين لا يعرفون ما يحتفظ به مكتب الائتمان أو كيفية تفسير التقرير. قد لا يميزون بين طلب قرض احتيالي ومكالمة تسويقية ومحاولة تصيد وخطر تبديل بطاقة SIM وعملية احتيال تحصيل ديون. لذلك يجب أن يستخدم الإشعار الجيد فئات ملموسة دون التسبب في الذعر. يجب أن يذكر المعلومات التي قد تكون متضمنة، وما لم يكن متضمنًا وفقًا للأدلة، وكيفية التحقق من سجلات الائتمان، وكيفية الطعن في البيانات غير الدقيقة، وأين يبلغ عن الاحتيال، ولماذا قد تظل اليقظة ضرورية حتى لو لم تظهر خسارة مالية فورية.

بالنسبة للشركات، يجب أن يتناول التوجيه إساءة استخدام هوية الأعمال. قد يستهدف المحتال ببيانات الكيان التجاري الموردين أو المديرين أو المقرضين أو العملاء. أثرت الحادثة ليس فقط على الأفراد ولكن أيضًا على الكيانات التجارية وفقًا للسجل العام. يجب أن يتضمن توجيه الأعمال التحقق من طلبات الائتمان ومراقبة تغييرات مدفوعات الموردين وتنبيه فرق المالية لخطر الانتحال ومراجعة الاتصالات التي تستخدم تفاصيل هوية مرتبطة بالمكتب.

صفحة خدمات اختراق البيانات العالمية لـ Experian علىhttps://www.experian.com/data-breach/ذات صلة بطريقة ضيقة. تظهر أن Experian كمجموعة تسوق قدرات الاستجابة للاختراق لمنظمات أخرى. هذا لا يثبت الفشل أو الامتثال في جنوب أفريقيا. لكنه يزيد من توقع المساءلة: منظمة تبيع خبرة في الاستجابة للاختراق يجب أن تجعل توجيه حوادثها دقيقًا وفي الوقت المناسب وقابلاً للتنفيذ.

حدود الأدلة وانضباط عدم المبالغة

السجل العام يدعم استنتاج مساءلة واضحًا ولكن ليس ادعاءات غير محدودة. يدعم أن Experian South Africa وصفت علنًا حادثة منعزلة تتعلق باستعلام بيانات احتيالي. يدعم أن طالب البيانات ادعى تمثيل عميل شرعي. يدعم أن الأسئلة الشائعة لـ Experian ذكرت أن البيانات تمت مشاركتها في 24 و27 مايو 2020 وأن Experian أصبحت على علم في 22 يوليو. يدعم أن Experian ذكرت أنها لم تقدم درجات ائتمان أو بيانات ائتمان أو تفاصيل حسابات مصرفية للأفراد إلى المحتال. يدعم أن هيئة تنظيم المعلومات قالت إن الحادثة كشفت بعض المعلومات الشخصية لما يصل إلى 24 مليون جنوب أفريقي و793,749 كيانًا تجاريًا، باستخدام التقارير العامة المتاحة في ذلك الوقت.

لا يدعم السجل العام الادعاء بأن الأنظمة الأساسية لـ Experian قد تم اختراقها عندما قالت Experian إن الحادثة كانت احتيالًا من خلال استعلام بيانات. لا يثبت أن كل مستهلك متضرر عانى من سرقة الهوية. لا يكشف عن ملف تأهيل العميل الكامل، أو المستندات المزيفة المستخدمة، أو كل موافقة داخلية، أو كل حقل تم إصداره، أو كل نسخة نهائية، أو كل نتائج الاحتيال المصرفي، أو كل أدلة إنفاذ القانون. لا يثبت أن كل عملية احتيال لاحقة يعاني منها مستهلك جنوب أفريقي تعود إلى هذه الحادثة. يجب أن تبقي المقالة المسؤولة تلك المجهولات مرئية.

هذا الانضباط مهم لأن أقوى انتقاد لا يتطلب مبالغة. التحقق من عملاء مكتب الائتمان هو بحد ذاته عنصر أمني. إذا كان بإمكان شخص بسلطة مزيفة تلقي بيانات على نطاق واسع، فقد فشل المكتب عند بوابة عالية القيمة حتى لو لم يكن هناك برامج ضارة. السؤال المركزي ليس ما إذا كانت الحادثة تناسب تسمية اختراق سينمائية. إنه ما إذا كانت عملية الإصدار تحمي الأشخاص الذين احتفظ المكتب ببياناتهم.

من المهم أيضًا تجنب معاملة التوفر العام كفئة غير ضارة. ذكرت Experian أن بعض المعلومات التي تم إصدارها كانت متاحة للجمهور أو قدمت في سياق العمل العادي. تجميع البيانات يغير المخاطر. قد يكون رقم الهاتف عامًا في سياق واحد. قد يكون رقم الهوية معروفًا في سياق آخر. قد يظهر صاحب العمل في سجل منفصل. عندما يجمع المكتب البيانات ويحقق فيها ويضيفها ويعيدها على نطاق واسع، يمكن أن تصبح النتيجة أكثر فائدة للاحتيال من أي جزء عام منفرد. التجميع هو مضاعف مخاطر.

لذا فإن الاستنتاج الأكثر إنصافًا هو حول الحوكمة. أظهرت الحادثة أن انتحال العميل وخدمات إضافة البيانات والتحقق من الغرض والاحتواء النهائي يجب أن تحكم بنفس الجدية مثل ضوابط الوصول التقنية. أمن مكتب الائتمان لا يتعلق فقط بمن يمكنه الوصول إلى قاعدة البيانات. يتعلق أيضًا بمن يمكنه إقناع المكتب بإصدار قيمة قاعدة البيانات.

ما يتطلبه الإصلاح القابل للتحقق

يبدأ اختبار الإصلاح الدائم بالتحقق من العميل. تحتاج Experian South Africa إلى إثبات أن العملاء الجدد والحاليين لا يمكنهم الحصول على بيانات المكتب من خلال تمثيل مزيف. سيتضمن هذا الإثبات تأهيلًا أقوى، والتحقق المستقل من الكيان، وقنوات الاتصال المعتمدة، والتحقق من الملكية المستفيدة عند الاقتضاء، والتحقق من المدير أو الموقع المخول، والتحقق من الغرض، والمراجعة التصعيدية للطلبات عالية الحجم أو الحساسة.

الاختبار الثاني هو تقليل البيانات. يجب أن يتلقى طالب البيانات فقط الحقول المطلوبة لغرض قانوني ومتحقق منه. إذا كان الغرض هو التحقق، يجب على المكتب أن يسأل عما إذا كانت استجابة بنعم أو لا، أو مطابقة مميزة، أو مجموعة حقول أصغر يمكن أن تلبي الحاجة. إضافة تفاصيل الاتصال والتوظيف إلى ملف إدخال كبير يجب أن يؤدي إلى مراجعة مشددة لأن طالب البيانات لا يتحقق فقط من عميل واحد. يتلقى سجلات غنية.

الاختبار الثالث هو مراقبة الإصدار. يجب أن تولد سير عمل إصدار البيانات إشارات مخاطرة للحجم غير العادي، ونشاط العميل الجديد، ومجموعات الحقول الحساسة، والتوقيت الشاذ، ومسارات التسليم غير المختبرة، أو التجاوزات اليدوية. يجب أن تغطي أتمتة الأمان العملية التجارية. لن يتم إيقاف المحتال الذي يستخدم الأوراق وطلبًا يبدو شرعيًا بواسطة ضوابط تبحث فقط عن البرامج الضارة. قد يكون الشذوذ هو أن طالبًا جديدًا يطلب الكثير، وبسرعة كبيرة، لغرض غير واضح.

الاختبار الرابع هو الاحتواء النهائي. العقود مهمة، لكن العقود لا يمكنها احتواء محتال بعد اكتشاف الهوية المزيفة. يجب أن يكون لدى المكتب دليل حوادث لسحب الوصول، وتأمين الملفات المسلمة، والحصول على أوامر الحفظ والضبط حيثما كان ذلك متاحًا قانونيًا، والتنسيق مع البنوك وهيئات مكافحة الاحتيال، وإخطار الهيئات التنظيمية، وتقديم توجيه قابل للتنفيذ للمستهلكين. يجب أن يكون أيضًا قادرًا على إنتاج سجل على مستوى الحقل لما غادر المنظمة ومتى.

الاختبار الخامس هو الأدلة العامة. تحتاج هيئة تنظيم المعلومات والمستهلكون والشركات والمقرضون ومستجيبو الاحتيال إلى أدلة كافية لتمييز الحقائق المؤكدة عن الأسئلة المفتوحة. ما الذي تم إصداره؟ ما الذي لم يتم إصداره؟ كم عدد السجلات المتضمنة؟ ما الاحتواء الذي تم تحقيقه؟ ما الضوابط التي تغيرت؟ كيف سيكتشف المكتب طالبًا مزيفًا مشابهًا في المستقبل؟ ما الذي يجب على المستهلكين والشركات فعله؟ الطمأنينة المختصرة ليست كافية عندما يمكن للبيانات أن تدعم الاحتيال لسنوات.

الاختبار السادس هو التنسيق في النظام البيئي. تُستخدم بيانات مكتب الائتمان من قبل البنوك وتجار التجزئة وشركات الاتصالات وشركات التأمين ومحصلي الديون والمسوقين ومكاتب مكافحة الاحتيال العامة. عندما تحدث حادثة إصدار، يجب على المكتب التنسيق مع الهيئات الصناعية مثل جمعية مكاتب الائتمان ومنظمات منع الاحتيال ذات الصلة حتى تتمكن الأطراف النهائية من ضبط الكشف والرسائل الاستهلاكية ومعالجة الاتصال بسوء الاستخدام. موقع SACRRA علىhttps://sacrra.org.za/ذو صلة كجزء من نظام تبادل معلومات الائتمان والمخاطر في جنوب أفريقيا، حتى لو لم يكن مصدرًا لنتائج الحوادث.

ما يجب أن يتعلمه حافظو البيانات الآخرون

تحتوي حادثة Experian South Africa على درس لكل منظمة تطلق بيانات لعملاء موثوقين: هوية طالب البيانات هي حد أمني. ليس كافيًا تأمين قاعدة البيانات من الخارج إذا كان يمكن إقناع المنظمة بإرسال البيانات إلى شخص داخلي مزيف، أو عميل مزيف، أو مورد مزيف، أو جهة تنظيمية مزيفة، أو شريك مزيف. الهندسة الاجتماعية على الحافة التجارية يمكنها هزيمة جدران تقنية قوية إذا كانت الموافقة التجارية تُعامل على أنها منخفضة المخاطر.

يجب على حافظي البيانات رسم سير عمل الإصدار بنفس الدقة المستخدمة للوصول المميز إلى النظام. من يمكنه الموافقة على الإصدار؟ من يتحقق من طالب البيانات؟ ما الأدلة المستقلة؟ ما الغرض المسموح به؟ ما فئات البيانات التي يمكن إرجاعها؟ ما الحجم الذي يؤدي إلى المراجعة؟ ما قنوات التسليم المسموح بها؟ ما التسجيل الموجود؟ ماذا يحدث إذا ثبت أن طالب البيانات احتيالي لاحقًا؟ من يخطر المتضررين؟ من يدفع مقابل تقليل الضرر؟ تلك هي أسئلة تحكم، وليست تفاصيل أوراق.

يجب أن تكون مكاتب الائتمان صارمة بشكل خاص لأن بياناتها مصممة لتقليل عدم اليقين في القرارات المالية. تساعد البيانات المقرضين في تحديد ما إذا كان مقدم الطلب حقيقيًا ويمكن الوصول إليه وجدير بالائتمان. إذا حصل المجرمون على نفس البيانات، يمكنهم تقليل عدم اليقين الخاص بهم عند استهداف الضحايا. هذا هو اقتصاديات الاتصال بسوء الاستخدام للقضية: مجموعة البيانات التي تساعد المقرضين الشرعيين على الوصول إلى الأشخاص الحقيقيين يمكن أن تساعد الجهات غير الشرعية على الوصول إلى الأشخاص الحقيقيين بسيناريوهات أكثر إقناعًا.

لا يمكن للمستهلكين حل هذا بمفردهم. يمكنهم فحص تقارير الائتمان والإبلاغ عن النشاط المشبوه وحماية المعلومات الشخصية، لكن لا يمكنهم فحص عملية التحقق من طالب البيانات في المكتب. لا يمكنهم معرفة ما إذا كان العميل المفترض قد تم توثيقه بشكل صحيح قبل إصدار البيانات. لا يمكنهم استرداد البيانات المنسوخة. الطرف ذو السيطرة العملية هو الوصي الذي يطلق البيانات، ويجب أن تتبع المساءلة تلك السيطرة.

الدرس الأخير هو أن تسمية الاختراق أقل أهمية من فشل التحكم. سواء سميت الحادثة اختراقًا أو احتيالًا أو عميلًا مزيفًا أو إصدار بيانات أو اختراق أمان، يبقى السؤال نفسه: هل أثبتت المنظمة أن الأطراف المصرح لها فقط ذات الأغراض المشروعة يمكنها الحصول على البيانات، وهل أثبتت أنه سيتم اكتشاف السلطة المزيفة المستقبلية قبل الإصدار؟ جعلت Experian South Africa هذا السؤال مرئيًا لكل مكتب ائتمان ووسيط بيانات يعمل على مستوى السكان.

اقتصاديات الاتصال بسوء الاستخدام غيرت نموذج الضرر

أهم درس نهائي هو أن قابلية الاتصال نفسها لها قيمة اقتصادية لسوء الاستخدام. لا يحتاج المحتالون دائمًا إلى سرقة الأموال مباشرة من نظام مخترق. يمكنهم استخدام تفاصيل الاتصال المرتبطة بالهوية لجعل الاحتيال اللاحق أرخص. يمكن لرقم الهاتف وعنوان البريد الإلكتروني وصاحب العمل ورقم الهوية والاسم الموثق مساعدة المحتال في تحديد من يتصل، وما السيناريو الذي يستخدمه، وما المؤسسة التي ينتحلها، وما الحقائق التي يذكرها ليبدو شرعيًا. هذا يقلل من التكلفة الجنائية للاستهداف ويرفع التكلفة الدفاعية للجميع.

لهذا السبب لا يمكن وصف حادثة إصدار بيانات مكتب ائتمان بأمان كحدث منخفض المخاطر لمجرد أن Experian قالت إن درجات الائتمان أو تفاصيل الحساب المصرفي كانت مستبعدة. يمكن للمكتب خلق قيمة من خلال تأكيد وجود شخص، وربط ذلك الشخص بقنوات الاتصال، وإضافة معلومات التوظيف أو الأعمال. تلك التأكيدات نفسها يمكن أن تعزز عمليات الاحتيال ذات السلطة المزيفة. المستهلك الذي يسمع متصلًا يقرأ تفاصيل شخصية دقيقة قد يكون أكثر عرضة لمواصلة المحادثة. الموظف في شركة يتلقى استفسارًا معقولًا من مورد أو مقرض قد يكون أكثر عرضة لتصديقه. الضرر ليس فقط محتوى السجل الذي تم إصداره؛ إنها الثقة التي يمنحها السجل للمسيء.

ينقل اقتصاديات الاتصال بسوء الاستخدام أيضًا التكلفة عبر المؤسسات. قد تواجه البنوك طلبات أكثر اشتباهًا. قد يواجه مقدمو الاتصالات محاولات تبديل بطاقة SIM. قد يتلقى أصحاب العمل مكالمات تحقق. قد يقضي المستهلكون وقتًا في فحص التقارير ورفض عمليات الاحتيال. قد تحتاج مكاتب مكافحة الاحتيال إلى ضبط قواعد لأنماط يصعب نسبها إلى مجموعة بيانات واحدة. سيطر مكتب الائتمان على مسار الإصدار، لكن الأطراف النهائية دفعت جزءًا من تكلفة المراقبة والاستجابة. لهذا السبب يجب أن تتضمن المساءلة أدلة التنسيق، وليس فقط بيانًا بأن المحتال تم تحديده أو أن الأجهزة تم تأمينها.

الضوابط التعاقدية لا يمكن أن تحل محل التحقق

عادة ما يعتمد تبادل بيانات مكتب الائتمان على العقود والأغراض المسموح بها وقواعد الصناعة والتزامات العميل. هذه الأدوات ضرورية، لكنها لا تحل مشكلة السلطة المزيفة بمفردها. العقد الموقع من قبل الشخص الخطأ أو المدعوم بسلطة مزورة لا يحمي المستهلكين. بند الغرض المسموح به لا يساعد إذا كان العميل المزعوم ليس العميل الشرعي الفعلي. تقييد التسليم لا يحتوي البيانات إذا كان المستلم محتالًا من البداية. يجب أن تسبق حوكمة العقود إثبات الهوية وتتبعها المراقبة.

النموذج الأقوى يعامل تأهيل العميل كعنصر تحكم متعدد الطبقات. يمكن لفرق المبيعات إدارة علاقات العملاء، لكن لا ينبغي أن تكون البوابة الوحيدة للبيانات الحساسة. يمكن للمراجعة القانونية التحقق من الشروط، لكن لا ينبغي أن تكون الدليل الوحيد على الهوية. يمكن للامتثال تأكيد الغرض المسموح به، لكن يجب على فرق الأمن ومكافحة الاحتيال تقييم إشارات المخاطر في الطلب. يمكن لعمليات البيانات تسليم الملفات المعتمدة، لكن يجب أن ترى ما إذا كان الحجم والوجهة ومجموعة الحقول تتطابق مع الاستخدام المعتمد. لا ينبغي لأي مجموعة واحدة أن تكون قادرة على الانتقال من أول اتصال إلى إصدار بيانات كبير دون فحوصات مستقلة.

يحتاج العملاء الحاليون أيضًا إلى الاهتمام. يمكن للاحتيال استهداف الحسابات الخاملة وصناديق البريد المخترقة وتفاصيل البنك المتغيرة والممثلين الجدد أو الأغراض المعدلة. حافظ البيانات الذي يتحقق فقط من حدث التأهيل الأول يترك مسارات انتحال لاحقة مفتوحة. يجب تطبيق الفحوصات التصعيدية عندما يطلب العميل مجموعة بيانات جديدة أو حجمًا أكبر أو حقولًا غير عادية أو قناة تسليم مختلفة أو استثناء عاجلاً. لا ينبغي أن يكون السؤال "هل هذا الاسم في قائمة العملاء؟" يجب أن يكون السؤال "هل يطابق هذا الطلب المحدد سلطة موثقة وغرضًا قانونيًا ونمطًا متوقعًا ومجموعة بيانات متناسبة؟"

هذا هو المكان الذي يجب أن تعزز فيه الأتمتة والحكم البشري بعضهما البعض. يمكن للقواعد الآلية وضع علامات على حجم العميل الجديد، وعدم تطابق المجال، ومجموعات الحقول عالية المخاطر، أو تغييرات الوجهة غير العادية. يمكن للمراجعين البشريين اختبار التفسيرات التجارية، والتحقق من جهات الاتصال المخولة بشكل مستقل، ومنع الإصدارات عندما لا تتناسب القصة. الهدف ليس جعل خدمات بيانات الائتمان غير قابلة للاستخدام. الهدف هو جعل الخداع مكلفًا قبل مغادرة البيانات للمكتب، بدلاً من جعل المستهلكين والشركات تمتص التكلفة بعد الإصدار.

يجب أن يمكن السجل العام إجابة على مستوى الحقل

الدليل المفقود النهائي في العديد من حوادث إصدار البيانات هو تفسير عام على مستوى الحقل. غالبًا ما تكشف المنظمات عن عدد سكان متأثر تقريبي وفئات بيانات واسعة. قد يفي ذلك بمتطلبات الإشعار الأولي، لكنه لا يمكّن المتضررين دائمًا من التصرف. يحتاج المستهلك إلى معرفة ما إذا كانت الحادثة تضمنت فقط اسمًا ورقم هاتف، أو أيضًا رقم هوية وصاحب عمل وعنوان وبريد إلكتروني وحالة تحقق. تحتاج الشركة إلى معرفة ما إذا كانت تفاصيل التسجيل ومعلومات المدير وقنوات الاتصال أو السمات المتعلقة بالائتمان موجودة. تختلف الخطوات الدفاعية حسب الحقل.

قدمت الأسئلة الشائعة لـ Experian تمييزات مهمة، بما في ذلك ما قالت إنه لم يتم إصداره. المعيار الأقوى للحوادث المستقبلية هو جدول بسيط يربط كل سكان متأثرين بحقول البيانات ومصدر البيانات وتاريخ الإصدار وحالة الاحتواء وسيناريو إساءة الاستخدام المحتمل والإجراء الموصى به. لا يحتاج الجدول إلى كشف التفاصيل التشغيلية الحساسة أو مساعدة المجرمين. يحتاج إلى أن يكون دقيقًا بما يكفي للمستهلكين والشركات والبنوك وفرق مكافحة الاحتيال للتصرف دون تخمين.

هذا المعيار سيحسن أيضًا أدلة الهيئة التنظيمية. يتيح سجل على مستوى الحقل للهيئة التنظيمية اختبار التصغير وتقييد الغرض والاحتفاظ والضمانات. يسمح للبنوك النهائية وهيئات مكافحة الاحتيال بتحديد الضوابط التي يجب ضبطها. يسمح للمستهلكين بفهم ما إذا كان فحص تقرير الائتمان كافيًا أو ما إذا كانت اليقظة الأوسع للهوية مطلوبة. يسمح للمكتب بتمييز الحقائق المؤكدة عن عدم اليقين في التوزيع غير المحلول. بدون هذا الوضوح، تعتمد الثقة العامة على الضمان العام، والضمان العام ضعيف بعد أن اجتاز طالب مزيف البوابة بالفعل.