أكّدت سلسلة المتاجر الفرنسية إنترمارشيه تعرّضها لهجوم سيبراني أتاح وصولًا غير مصرّح به إلى بيانات شخصية لعملاء خدمة Drive. وأفادت مجموعة «لي موسكيتير» المشغّلة للعلامة بأنّ 287,605 عميلًا تبيّن أنّهم متأثرون، من أصل نحو مليونَي مستخدم للخدمة. وقد أُبلغت الحادثة، التي وقعت الأسبوع الماضي، إلى الهيئة الوطنية الفرنسية لحماية البيانات وإلى النيابة العامة في باريس.
ودخل البحث عن «cyberattaque Intermarché» قائمة الأكثر رواجًا في فرنسا صباح الرابع من أغسطس، بأكثر من عشرين ألف عملية بحث خلال اليوم.
أبرز النقاط
- 287,605 عميلًا متأثرًا من خدمة Drive، من أصل نحو مليونَي مستخدم.
- البيانات المكشوفة: الاسم واللقب، والعنوان البريدي، ورقم الهاتف، وتاريخ الميلاد، ورقم بطاقة الولاء، وبعض المعلومات المتعلقة بالطلبات.
- لا يبدو أنّ البيانات البنكية قد تأثّرت.
- تمّ الإبلاغ إلى الجهة الرقابية وإلى النيابة العامة في باريس.
- دُعي العملاء المتأثرون إلى مضاعفة الحذر من محاولات الاحتيال.
لماذا لا يجعل غياب البيانات البنكية التسريب هيّنًا
هذه هي العبارة التي تطمئن في غير محلّها. مجموعة بيانات تجمع الاسم والعنوان والهاتف وتاريخ الميلاد وسجلّ الطلبات لا تفتح حسابًا بنكيًا، لكنّها تجعل الهجوم الذي يوصل إليه — التصيّد الموجّه — مُقنعًا بتكلفة زهيدة.
والفرق ملموس. رسالة عامة عن مشكلة في التوصيل يسهل كشفها. أمّا رسالة تذكر اسمك وعنوانك بالضبط وتاريخ آخر طلب لك وأرقامًا من بطاقة ولائك، فلا تُكشف — لأنّها تشبه تمامًا ما قد ترسله السلسلة فعلًا. وهذا بالضبط ما يتيحه هذا النوع من التسريبات، ولهذا لم تكن التوصية بالحذر مجرّد صيغة إنشائية.
والقاعدة العملية بسيطة: لا تتبع رابطًا يصلك عبر رسالة نصية أو بريد بخصوص طلب، بل ادخل مباشرةً إلى الموقع أو التطبيق للتحقّق.
ما يهمّ الشركات فعلًا: المهلة تبدأ من لحظة العلم
بالنسبة للمؤسسات التي تقرأ الخبر وتسأل «وماذا لو كنّا نحن؟»، فإنّ جوهر الملفّ هو الجدول الزمني النظامي.
تفرض المادة 33 من النظام الأوروبي إشعار الجهة الرقابية خلال 72 ساعة، وتبدأ هذه المهلة من لحظة علم المؤسسة بالخرق — لا من لحظة الاختراق. فاختراق وقع في مارس واكتُشف في أغسطس تبدأ مهلته في أغسطس. وتضيف المادة 34: متى كان الخطر على الأشخاص مرتفعًا وجب إبلاغهم هم أيضًا دون تأخير. وهنا، فإنّ اجتماع الهوية ووسائل الاتصال وسجلّ الطلبات هو تحديدًا النمط الذي يرجّح إبلاغ الأشخاص.
وثمّة نقطتان تستحقّان الانتباه لأنّهما مخالفتان للحدس:
- الإشعار المتأخّر منصوص عليه. فالإشعار بعد 72 ساعة يجب أن يُرفَق ببيان أسباب التأخير. وأسوأ السيناريوهات ليس التأخّر، بل ألّا تُبلغ أصلًا ثم تعلم الجهة الرقابية من طريق آخر، فتتحوّل حادثة وقعت عليك إلى مخالفة تُنسب إليك.
- النظام الأوروبي لا يقف عند حدود الاتحاد. فالشركة التونسية أو السعودية التي تحتفظ ببيانات مقيمين أوروبيين تدخل في نطاق تطبيقه مهما كان مقرّها. و«نحن لسنا في أوروبا» ليست إعفاءً — وهذا أكثر الأخطاء شيوعًا لدى شركات المغرب العربي والخليج التي تخدم عملاء أوروبيين.
وتزداد أهمية ذلك لأنّ الأنظمة تتباين فعليًا. فنظام حماية البيانات الشخصية السعودي يفرض هو أيضًا 72 ساعة لإشعار سدايا، لكن دون حدّ أدنى لجسامة الحادثة: لا يجوز للمنشأة أن تقرّر أنّ التسريب أصغر من أن يُبلَّغ عنه. وعلى النقيض، فإنّ القانون الأساسي التونسي 2004-63، وهو أقدم من النظام الأوروبي، لا ينصّ على أيّ التزام بالإشعار عن الخرق خلال مدّة محدّدة.
وقد نشرنا حاسبة مهلة الإبلاغ عن تسريب البيانات تأخذ وقت العلم والجهات المعنية وتحسب المهلة لكلّ جهة رقابية. والحساب يجري داخل المتصفّح، فلا يُرسَل أيّ تفصيل عن الحادثة.
أمّا الجانب التقني — كيف تكتشف التسريب، وكيف تُوثّق لحظة العلم على نحو يمكن الدفاع عنه، وكيف تُنتج العناصر التي يجب أن يتضمّنها الإشعار — ففي دليل الاستعداد للإبلاغ عن خرق البيانات تفصيل التنفيذ.
الخلاصة
التسريب الذي لا يشمل بيانات بنكية يبقى تسريبًا قابلًا للاستغلال، والامتثال لا يُحسم يوم الحادثة بل قبلها: أن تعرف أيّ بيانات لديك، وأين هي، وأن تكون قادرًا على تحديد لحظة علمك بدقّة. والمؤسسات التي تُنفق أول يوم من الأزمة في الإجابة عن هذه الأسئلة هي التي تستهلك مهلة الـ72 ساعة في تحقيق داخلي.