تقرير خاص: قائمة البريد الإلكتروني المسربة من Smart Africa تم الحصول عليها دون موافقة

يتم تصنيف تقرير خاص: قائمة البريد الإلكتروني المسربة من Smart Africa تم الحصول عليها دون موافقة بواسطة BTW Media لأن الأدلة المنشورة تربطه بالبنية التحتية للإنترنت، الحوكمة، التبعيات التشغيلية، أو رؤية السوق.

• تكشف مقابلاتنا أن الغالبية العظمى من المستجيبين ينكرون مشاركة معلومات الاتصال الخاصة بهم مع Smart Africa أو حتى معرفتهم بالمنظمة.
• إن حيازة Smart Africa لقائمة بريدية ضخمة أمر مشكوك فيه للغاية.

ماذا حدث: خطأ في البريد الإلكتروني الجماعي يكشف عن قائمة جهات اتصال حساسة

كشف تحقيق خاص لـ BTW Media أن غالبيةرسائل البريد الإلكتروني التي سربتها Smart Africaفي إرسالها الخاطئ الشهر الماضي تم الحصول عليها دون موافقة أصحابها.

قامت Smart Africa بنشر دعوة بعنوان "Online Consultation Session on AFRINIC Elections & CAIGA Framework" مع وضع المستلمين في حقل "إلى" (To) بدلاً من "نسخة مخفية" (Bcc)،وبالتالي كشفت عددًا كبيرًا من عناوين البريد الإلكتروني المرتبطة بـ AFRINIC لجميع المستلمين الآخرين. تشير تقارير مستقلة إلى أن الرسالة صدرت عن مدير مشروع في Smart Africa وتصف النطاق بالآلاف من العناوين، مما يحول الحادث من مجرد خطأ في آداب المراسلة إلى حدث تسرب بيانات كبير.

ما تظهره مقابلاتنا: معظم المستلمين يرفضون أي فكرة عن الموافقة

اتصلت BTW Media بالعديد من أعضاء موارد AFRINIC ومشغلي الشبكات الذين تم كشف عناوين بريدهم الإلكتروني. أخبرتنا الغالبية العظمى أنهم لم يشاركوا أبدًا عناوين البريد الإلكتروني مع Smart Africa، وفي كثير من الحالات، "ليس لديهم أي فكرة عن هوية المنظمة". تشمل الردود النموذجية: "بالتأكيد لا"؛ "لا، لم نفعل ذلك"؛ "لم أشارك بيانات الاتصال الخاصة بي ولم أوافق"؛ و"لا، لم أشارك بريدي الإلكتروني ولا أعرفهم". يطلب العديد من المستجيبين صراحةً عدم إجراء أي اتصال آخر.

تعترف أقلية بأن عناوينهم قد تكون قابلة للعثور عليها في مكان آخر - على سبيل المثال، عندما يوافق مهندس على إدراجه كجهة اتصال تقنية على ASN أو مورد IP - لكنهم يؤكدون أن إدخالات WHOIS التقنية لا تشكل موافقة عامة على إرساليات جماعية لا علاقة لها بالاستجابة للحوادث.

اقرأ أيضًا:Smart Africa تكشف عن آلاف عناوين البريد الإلكتروني لأعضاء AFRINIC

لماذا تفسير Smart Africa غير كافٍ: البيانات العامة مقابل غير العامة

هناك مصدران لبيانات الاتصال المتعلقة بـ AFRINIC في المجال العام، ولا يبرر أي منهما بوضوح امتلاك Smart Africa لقائمة بريدية مجمعة:

• تصفح صفحات أعضاء AFRINIC المؤسسات والعناوين الفعلية لأغراض الشفافية، لكنها لا تقدم مجموعة قابلة للتنزيل أو البحث من رسائل البريد الإلكتروني للأعضاء.
• WHOIS الخاص بـ AFRINIC هو سجل عام رسمي مخصص لعمليات الإنترنت (إساءة الاستخدام، التوجيه، تنسيق الحوادث) وهو متاح صراحةً للجميع؛ إنها ليست قاعدة بيانات تسويقية. توضح AFRINIC أيضًا أن بيانات WHOIS الجماعية مخصصة للأغراض التشغيلية أو البحثية.

في المقابل، يبدو أن رسالة Smart Africa مع المستلمين المرئيين تستهدف مجموعة واسعة من الأعضاء، وليس جهات اتصال موارد محددة تتعلق بحادث تشغيلي. هذا التباين بين الهدف والاستخدام هو جوهر الانتقادات التي عبر عنها المستجيبون.

اقرأ أيضًا:لماذا يتجاوز نزاع AFRINIC عناوين IP - إنها مسألة حرية

ملف المخاطر: تفعيل الالتزامات الأمنية والقانونية

تجذب العناوين المكشوفة المرتبطة بالسجل المحتالين الذين يمكنهم انتحال هوية AFRINIC أو الموردين لجمع بيانات الاعتماد، أو بدء تعديلات احتيالية على الموارد، أو طلب المدفوعات. التعرض القانوني ليس ضئيلاً: يتطلب قانون حماية البيانات في موريشيوس لعام 2017 (Data Protection Act 2017) إخطار المفوض بالانتهاك في غضون 72 ساعة من علم المسؤول عن المعالجة بخرق البيانات الشخصية، مع التزامات محتملة بإبلاغ الأفراد المتضررين إذا كان الخطر مرتفعًا.

إذا كانت القائمة من AFRINIC أو من مقاول لدى AFRINIC، تثار أسئلة حول أدوار المسؤول/المعالج والأساس القانوني للإفصاح؛ إذا قامت Smart Africa بتجميع القائمة من مصادر متفرقة، فلا يزال يتعين عليها إثبات أساس قانوني صحيح للمعالجة.

الدور المتنامي لـ Smart Africa – ولماذا تنطبق معايير أعلى

تضع Smart Africa نفسها كمنصة تشاور للتحول الرقمي في أفريقيا، وقد نشرت مؤخرًا استجابة قارية منسقة لأزمة حوكمة AFRINIC. هذا الادعاء بالحوكمة يعزز التوقعات فيما يتعلق بإدارة البيانات: يجب على الكيان الذي يسعى للتأثير على نتائج حوكمة الإنترنت أن يلتزم بالحد الأدنى من معايير خصوصية وأمن البيانات، بما في ذلك التحكم الصارم في الوصول إلى القوائم، وسجلات الموافقة الصريحة (الاشتراك)، والاستخدام الافتراضي لـ "نسخة مخفية" (Bcc) لأي إرسال خارجي.

اقرأ أيضًا:'لجنة الإصلاحات' السرية لـ AFRINIC تثير مخاوف جديدة بشأن حوكمة الإنترنت في أفريقيا

ما يجب على Smart Africa الرد عليه الآن

• المصدر: كيف تحصل Smart Africa على قائمة بريدية تشبه قائمة الأعضاء وهي غير عامة على موقع AFRINIC؟ إذا تم استلامها من مصدر من AFRINIC، فما هو الأساس القانوني وما هي الاتفاقيات التي تحكم النقل؟ إذا تم تجميعها خارجيًا، فما هو أساس المعالجة وتحديد الغرض؟
• الاستجابة للانتهاك: من هو المسؤول عن معالجة مجموعة البيانات هذه، وهل تم تفعيل الإخطارات المطلوبة في غضون 72 ساعة؟ هل تم تحذير الأشخاص المتضررين من التصيد (مع نصائح DMARC/DKIM/SPF) وهل تم توفير نقطة اتصال للعلاج؟

سياق للقراء: ما يفعله WHOIS – وما لا يفعله

لفهم الفارق الدقيق الذي أثارته مصادرنا، من المفيد التذكير بأن IANA تخصص نطاقات أرقام AS للسجلات الإقليمية، وينشر كل RIR سجل WHOIS حتى يتمكن المهندسون من الاتصال بالأشخاص المناسبين بسرعة. في منطقة AFRINIC، هذه الشفافية أساسية لاستقرار التوجيه، لكنها لا تشكل تفويضًا مطلقًا لتعبئة سياسية أو استراتيجية واسعة النطاق دون موافقة.

خلاصة المقابلات

الرسالة الغالبة من الذين اتصلنا بهم بسيطة: إنهم لا يوافقون على Smart Africa، ولا يعرفون كيف وصلت رسائلهم الإلكترونية إلى القائمة. يجب على Smart Africa تقديم شرح قابل للتحقق حول مصدر القائمة وإظهار امتثالها لالتزامات حماية البيانات؛ انتقادات مجتمع AFRINIC معقولة وذات أسس سليمة.