الشركة التي وثقت بها للتحقق من الهويات أصبحت أكبر مُمكّن للاحتيال الهوياتي على وجه الأرض. هذه هي المفارقة القاسية لاختراق IDScan.net، وإذا كان عملك يعتمد على أي مزوّد خدمات التحقق من الهويات من الجهات الثالثة، فأنت بحاجة إلى الانتباه الآن.
في 10 سبتمبر 2026، أكدت IDScan.net — شركة التحقق من الهويات المقيمة في لويزيانا وعملائها من بينهم مؤسسات من فورتشن 500 ووكالات تأجير ومؤسسات مالية ومتاجر مرخصة — أن قراصنة اخترقوا بيئتها السحابية وسرقوا بيانات رخص القيادة لأكثر من 153 مليون شخص في الولايات المتحدة وكندا. مكتب التحقيقات الفيدرالي (FBI) يحقق. البنتاغون مُلمّ بالوضع. ورخصة قيادة وزير الدفاع الأمريكي نفسه عُثر عليها في قاعدة البيانات.
هذا ليس مجرد اختراق عادي. هذه هي اللحظة التي كُشف فيها السر القبيح لصناعة التحقق من الهويات.
ماذا حدث
كشفت IDScan.net عن وصول غير مصرح به إلى أنظمتها السحابية "في أو حوالي 1 سبتمبر 2026"، وفقاً لبيانها الرسمي. لكن بحلول ذلك الوقت، كان الضرر قد تم بالفعل — وكان جارياً لأكثر من عام.
المحقق الأمني برايان كريبس من KrebsOnSecurity كان أول من ربط IDScan بسوق على الويب المظلم في 31 أغسطس 2026. بعد أسبوعين، أكّدت الشركة أخيراً ما أبلغ عنه كريبس: قراصنة نقلوا كمية هائلة من بيانات الهوية من بيئتها السحابية، بما في ذلك الأسماء الكاملة وأرقام رخص القيادة وأرقام الهوية من وثائق حكومية أخرى مثل جوازات السفر.
النطاق مذهل:
- أكثر من 153 مليون رخصة قيادة أمريكية وكندية
- 10 ملايين بطاقة هوية
- 3 ملايين وثيقة سفر
- 579 ألف بطاقة طبية
ما يجعل هذا قلقاً بشكل خاص هو حجم البيانات الجديدة التي لا تزال تتدفق. لاحظ الباحثون الأمنيون الذين يراقبون الاختراق أن حوالي 400,000 سجل جديد تُضاف إلى مجموعة البيانات كل 24 ساعة. لم يكن الاختراق حدثاً منفرداً — بل كان نقل بيانات مستمراً دام لأكثر من عام قبل اكتشافه.
استعانت IDScan بشركة تحقيق جنائي خارجية للتحقيق، لكن كشف الشركة كان بطيئاً بشكل ملحوظ. مرّ تسعة أيام بين تقرير كريبس الأولي وتأكيد IDScan. خلال تلك النافذة، واصلت البيانات المسروقة الت circulation على الويب المظلم.
داخل Nexus
السوق الذي ظهرت فيه بيانات IDScan يُدعى Nexus، ويعمل على منتدى الجرائم الإلكترونية الروسي Exploit. لم يكن Nexus يبيع كلمات سر أو أرقام بطاقات ائتمان — بل كان يتاجراً بشيء أكثر قيمة بكثير: مسحات موثّقة لوثائق الهوية الفعلية.
تتضمن مجموعة البيانات مسحات أمامية وخلفية لرخص القيادة، وصوراً تحت الأحمر، وإصدارات تحت الأشعة فوق البنفسجية، وفي بعض الحالات صوراً للعملاء. لاحظ الباحثون الأمنيون شيئاً مقلقاً بشكل خاص: الطوابع الزمنية المضمنة في الصور تتوافق مع تواريخ السفر الفعلية. عندما يمسح شخص هويته عند تسجيل الدخول في فندق أو عداد تأجير سيارات أو بوابة مطار، كانت تلك المسحات تصل إلى قاعدة بيانات Nexus.
يتجاوز العرض الإجمالي على Nexus 170 مليون وثيقة هوية. اعتباراً من أوائل سبتمبر 2026، اختفى السوق بشكل غير مفهوم — تم استبدال صفحة تسجيل الدخول السابقة بالرسالة "هذه الخدمة لم تعد متاحة". ما إذا كان ذلك مصادرة من جانب إنفاذ القانون أو ببساطة خروج المشغلين إلى الخلفية، لا يزال غير واضح.
التفاصيل التي رفعت هذه القصة من اختراق مزوّد rutيني إلى أخبار الأمن القومي: من بين السجلات كانت رخصة قيادة وزير الدفاع الأمريكي بيت هجسيث. مكتب FBI في نيو أورليانز فتح تحقيقاً رسمياً، وأكد البنتاغون أنه مُلمّ بالاختراق.
مفارقة التحقق من الهويات
هنا تصبح الأمور غير مريحة حقاً لأي شخص في مجال التحقق من الهويات أو KYC.
نموذج عمل IDScan بالكامل مبني على وعد واحد: نتحقق من الهويات حتى لا تقلق بشأن الاحتيال. الشركات تسلّم عمليات التحقق من هوية عملائها لمزوّدين مثل IDScan تحديداً لأنها تثق في أن هؤلاء المزوّدين لديهم أمان أفضل وامتثال أفضل وبنية تحتية أفضل مما يمكنهم بناءه بأنفسهم.
والآن أصبح ذلك المزوّد الموثوق أكبر مصدر لوثائق الهوية المسروقة في الذاكرة الأخيرة.
الباحثون الأمنيون قلقون بشكل خاص مما يسمونه مشكلة "الدورةcirculaire". عندما يحدث اختراق chez مزوّد التحقق من الهويات، فقد يُضعف فعالية التحقق من الهويات في كل مكان. كل شركة اعتمدت على IDScan للتحقق من هوية عملائها عليها أن تتساءل: هل أصلاً أحدثت عملية التحقق الثغرة؟
سبعة من منافسي IDScan المباشرين في مجال التحقق من الهويات و KYC صمتوا تماماً منذ تأكيد الاختراق. لم يُصدر أي منهم بياناً عاماً عن ممارسات الأمن الخاصة به أو يقدم ضمانات للعملاء المؤسسيات. ذلك الصمت صاخب.
هذه قصة سلسلة توريد، ليست مجرد قصة اختراق. الشركات التي تобрак وتخزن وتُمرر بيانات الهوية الحكومية نيابة عن البنوك وشركات الطيران وشركات تأجير السيارات وعشرات الصناعات الأخرى تقع أمام محيط الأمان الخاص بعملائها. عندما يتعرض أحدها للاختراق، فإن نطاق التوسع يمتد إلى ما هو أبعد بكثير من شركة واحدة.
ماذا يعني هذا لأعمالك
التداعيات المؤسسية تنتشر بالفعل. قائمة عملاء IDScan تشمل أسماء معروفة مثل Hertz و FedEx و Target. المخازن المرخصة للأقتصاص وأماكن الترفيه والمؤسسات المالية المطلوب منها قانونياً التحقق من أعمار أو هويات العملاء كانت تعتمد أيضاً على أنظمة IDScan.
تم تقديم عدة دعاوى جماعية ضد IDScan، وتمتد المخاطر القانونية إلى كل شركة أرسلت بيانات هوية عملائها عبر أنابيب IDScan. شركات التأمين السيبراني تعيد حساب ملفات المخاطر لمزوّدي التحقق من الهويات، وفرق المشتريات في المؤسسات الكبرى تعيد تقييم علاقاتها ب모زّدي KYC.
لقطاعات البيع بالتجزئة والأقتصاص والترفيه والسفر — القطاعات التي يُشترط فيها قانونياً التحقق من العمر والهوية — يُحدث الاختراق سؤالاً مستحيلاً: كيف تمتثل لمتطلبات التحقق من الهوية عندما تم اختراق المزوّد الذي تعتمد عليه للامتثال على نطاق قاري؟
أخذ أرايتك
إذا كان عملك يستخدم مزوّد خدمة التحقق من الهويات أو KYC من جهة ثالثة، فإليك ما يجب عليك فعله الآن:
تدقيق علاقاتك بالمزوّدين. اعرف بدقة ما البيانات التي يخزنها مزوّدي KYC لديك، וכ مدى ط retainance، وكيف يبدو وضعهم الأمني. اختراق IDScan يثبت أن مستودعات وثائق الهوية المركّزة أهداف عالية القيمة.
المطالبة بالشفافية. اطرح على مزوّديك أسئلة مباشرة حول أمانهم السحابي وقدراتهم على الاستجابة للحوادث. إذا لم يستطيعوا الإجابة بوضوح، فتلك هي إجابتك.
فرض تخفيف البيانات. إذا لم يكن المزوّد بحاجة إلى تخزين صور وثائق الهوية على المدى الطويل، تأكد من ذلك. كلما طالت الجلوس في بيانات المزوّد، زاد نطاق التوسع عندما — وليس إذا — يحدث اختراق.
تطبيق مبدأ لا ثقة للهوية. انتهى عصر الثقة بمزوّد واحد للتعامل مع خط التحقق من الهوية بالكامل. قم بتطبيق التحقق متعدد الطبقات، واستخدم التحقق من الوثائق كعامل واحد من بين العديد، ولا تعتمد فقط على تقييم أي مزوّد واحد.
إعادة التفاوض على العقود. استخدم هذا الاختراق كرافعة لمطالبة متطلبات أمنية أقوى واتفاقيات إخطار بالاختراق وحقوق تدقيق في عقودك مع المزوّدين.
اختراق IDScan ليس مجرد تحذير — إنه تحول نموذجي. صناعة التحقق من الهويات تعلمت نفس الدرس الذي تعلمه كل قطاع آخر في الأمن السيبراني بالطريقة الصعبة: المزوّدون الذين تثق ببياناتك الحساسة غالباً ما يكونون الأقل استعداداً لحمايتها.
السؤال ليس ما إذا سيتعرض مزوّدو KYC للاختراق. بل ما إذا ستكون مستعداً عندما يحدث ذلك.