Cybersecurity Risks in Nigeria's NIN and BVN Ecosystem: Fraudulent Enrollment, API Exposure, and National-Security Implications
تحلل هذه الورقة الثغرات الأمنية المتعلقة بالأمن السيبراني والحوكمة ضمن منظومات رقم الهوية الوطني (NIN) ورقم التعريف البنكي (BVN) في نيجيريا — وتحديداً عمليات التسجيل الاحتيالية، وانكشاف واجهات برمجة التطبيقات (APIs)، ومخاطر وصول الأطراف الثالثة — وتقترح إطار عمل قائماً على المخاطر لتعزيز ضمان الهوية، وحماية البيانات، والأمن القومي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في العالم الحديث، لم يعد هوية الشخص مجرد اسم في شهادة ميلاد؛ بل هي مفتاح رقمي يفتح حسابات مصرفية، وخدمات هواتف محمولة، ومزايا حكومية. وفي نيجيريا، يعمل كودان رقميان محددان كأساس لهذا النظام: رقم الهوية الوطنية، الذي يعمل كمعرف فريد لكل مواطن ومقيم، ورقم التحقق المصرفي، الذي يؤكد هوية الشخص داخل النظام المالي. تهدف هذه الأرقام إلى وقف الاحتيال، وضمان وصول الأشخاص المناسبين فقط إلى الخدمات، ومساعدة البلاد في تعقب المجرمين. ومع ذلك، لكي تعمل هذه الأنظمة، يجب أن تكون المسارات الرقمية التي تربطها بالبنوك وشركات الهاتف آمنة. فإذا تُركت الأبواب المؤدية إلى هذه المسارات الرقمية مفتوحة، أو إذا كان الحراس عند البوابة غير مدربين جيداً، فإن الأدوات المصممة لحماية الناس قد تصبح الوسيلة التي تُسرق بها معلوماتهم الخاصة أو تُساء استخدامها.
تبحث دراسة حديثة أجراها الباحث المستقل عبّاس عبد الله واكيلي في أمن منظومة الهوية الرقمية في نيجيريا، وتتفحص على وجه التحديد كيفية استخدام نظامي رقم الهوية الوطنية ورقم التحقق المصرفي وأين تكمن نقاط الضعف فيهما. لا تدعي هذه الدراسة أن قواعد البيانات المركزية للحكومة التي تضم ملايين السجلات قد تعرضت للاختراق، بل تبحث في الحلقات الأضعف في السلسلة: الوكلاء الذين يسجلون الناس، والواجهات الحاسوبية التي تتحقق من الهويات، والقواعد التي تحكم من يحق له الاطلاع على المعلومات. وتجد الدراسة أنه بينما تظل الفكرة الجوهرية للهوية الرقمية الموحدة سليمة، فإن الطريقة التي تُنفذ بها حالياً تترك مجالاً لمخاطر جسيمة، بما في ذلك التسجيل الاحتيالي، والمشاركة المفرطة للبيانات، والاتصالات غير الآمنة بين المنظمات المختلفة.
لقد تناول الباحث المشكلة من خلال مراجعة القوانين النيجيرية، والدراسات الأكاديمية، والتقارير العامة، مع إجراء ملاحظة دقيقة وأخلاقية لعملية تحقق رقمية محددة. تضمنت هذه الملاحظة فحص نظام يُستخدم للتحقق من أرقام التحقق المصرفية لمعرفة ما إذا كان يتبع قواعد أمنية أساسية. ووجد الباحث نقطة ضعف حيث لم يقم النظام بالتحقق بصرامة من هو الشخص الذي يطلب المعلومات أو يحدد مقدار البيانات التي يكشف عنها استجابةً للطلب. وقد تم إبلاغ هذه المسألة سرياً إلى المنظمة المسؤولة، وتم إصلاحها قبل نشر الدراسة. ويعد هذا الاكتشاف المحدد مثالاً واقعياً على نمط أوسع: وهي أن الأنظمة المصممة للتحقق من الهوية غالباً ما تكشف الكثير من المعلومات لأي شخص يقوم ببساطة بكتابة رقم، دون إثبات أن لديه سبباً مشروعاً لرؤيتها.
إن أحد أخطر المخاطر التي تم تحديدها هو الطريقة التي يتم بها مشاركة بيانات الهوية. ففي النظام الآمن، عندما يطلب بنك ما التحقق من هوية عميل، يجب أن يكتفي النظام بتأكيد ما إذا كان الشخص هو من يدعي أنه هو، دون تسليم عنوانه الكامل، أو رقم هاتفه، أو صورته، ما لم يكن ذلك ضرورياً تماماً. وتجادل الدراسة بأن الممارسات الحالية تسمح في كثير من الأحيان بالكشف عن قدر كبير من البيانات، مما يزيد من خطر سرقة الهوية والاحتيال. فإذا تمكن مخترق أو موظف غير أمين من الوصول إلى نظام يعطي ملفاً تعريفياً كاملاً للشخص لمجرد امتلاكه لرقم الهوية، يصبح هذا الشخص عرضة لهجمات التصيد الاحتيالي، وعمليات النصب المالي، وحتى الأذى الجسدي. وتشير الدراسة إلى ضر fact أن هذه الأنظمة يجب أن تُصمم لتكشف فقط الحد الأدنى من المعلومات اللازمة لمهمة محددة، وهو مبدأ يُعرف باسم "تقليل البيانات".
وثمة شاغل رئيسي آخر يتعلق بجودة عملية التسجيل الأولية. تسلط الدراسة الضوء على أن الأشخاص والوكلاء الذين يسجلون المواطنين لهذه الأرقام لا يخضعون دائماً لإشراف صارم. ويمكن أن يؤدي هذا النقص في الرقابة إلى سجلات غير دقيقة، حيث يتم ربط البيانات البيومترية للشخص، مثل بصمة الإصبع أو مسح الوجه، بهوية خاطئة، أو حيث يتم إنشاء هويات مزيفة. وإذا كانت نقطة البداية للنظام معيبة، فإن سلسلة الثقة بأكملها تنهار. فعلى سبيل المثال، إذا تم تسجيل رقم هاتف محمول بهوية مزيفة، يصبح من المستحيل على السلطات تتبع المالك الحقيقي لهذا الهاتف، مما يقوض الجهود المبذولة لمنع الجريمة. وتشير الدراسة إلى أنه بدون تدريب ومراقبة وتقنيات أفضل للكشف عن محاولات التسجيل المزيفة، لا يمكن للنظام أن يخدم غرضه في الأمن والمساءلة بشكل موثوق.
كما تتناول الورقة دور التكنولوجيا في حماية هذه الهويات الرقمية. وتشير إلى أن الاعتماد فقط على المقاييس البيومترية، مثل التعرف على الوجه، ليس كافياً لأن هذه الأنظمة يمكن خداعها بالصور أو الفيديوهات. ولكي يكون النظام آمناً حقاً، يجب أن يتضمن "كشف الحيوية" (liveness detection)، الذي يضمن أن الشخص الذي يتم مسحه هو شخص حقيقي وموجود بالفعل، وليس تسجيلاً. علاوة على على ذلك، تؤكد الدراسة أن البرامج الحاسوبية التي تربط البنوك وشركات الهاتف والوكالات الحكومية تحتاج إلى بناء تدابير أمنية قوية. ويشمل ذلك ضمان أن المستخدمين المصرح لهم فقط هم من يمكنهم الوصول إلى النظام، وأن كل طلب يتم تسجيله بحيث يمكن تتبعه لاحقاً، وأن الاتصالات بين الأنظمة المختلفة مشفرة لمنع التنصت.
ويخلص الباحث إلى أن الحل ليس في التخلي عن نظام الهوية الرقمية، بل في تقويته بمنهج متعدد الطبقات. وهذا يعني تحسين التدريب والإشراف على الوكلاء الذين يسجلون الناس، وتشديد القواعد المتعلقة بمقدار البيانات التي يتم مشاركتها، وبناء دفاعات تقنية أقوى حول الأنظمة الحاسوبية التي تتعامل مع هذه المعلومات. وتقترح الدراسة إطار عمل حيث يرتبط كل وصول إلى بيانات الشخص بغرض قانوني محدد، وحيث يحتفظ النظام بسجل واضح وغير قابل للتغيير لمن اطلع على ماذا ومتى. ومن خلال التركيز على هذه التحسينات العملية، يمكن لنيجيريا بناء نظام هوية رقمية يحمي مواطنيها بدلاً من تعريضهم لمخاطر جديدة. والهدف هو إنشاء نظام ليس فعالاً فحسب، بل جديراً بالثقة أيضاً، مما يضمن بقاء المفاتيح الرقمية لحياة الشخص آمنة في أيديهم.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.