نماذج الكارثة: عندما تكشف العجز الفني عن المواطن

توجد قاعدة في إدارة المشاريع، سواء في الهندسة أو في السياسة العامة، نادراً ما تفشل: فكرة سيئة مع تنفيذ سيئ هو الوصفة المثالية للكارثة.

ما نشهده في المكسيك في بداية عام 2026 ليس حادثاً عارضاً ولا مفاجأة غير متوقعة؛ إنه سجل كارثة محتومة. قبل بضعة أشهر فقط، تحت راية الأمن القومي ومكافحة الابتزاز، تمت الموافقة على إصلاح اعتبره الكثيرون سُمّا. أتحدث عن القانون الجديد في شأن الاتصالات السلكية واللاسلكية، المنشور في 16 يوليو 2025، الذي أوجد سجلاً جديداً اجبارياً لمستخدمي الهواتف المحمولة.

كانت الفرضية الحكومية مغرية على الورق ولكنها قمعية في الممارسة: بناء سجل شامل يربط هويتنا البيولوجية والقانونية بخطنا الهاتفي. ومع ذلك، ظلت العديد من الأسئلة عالقة في الهواء الملوث بالخطاب السياسي: من سوف يحمي هذه قاعدة البيانات التي تحتوي على بيانات حياتنا؟ كيف سيتم استخدامها في الواقع؟ من سيكون له حق الوصول؟ وأخيراً: كيف يمكنني معرفة من يستخدم بياناتي وكيف؟

اليوم، للأسف، لدينا الإجابات. وإنه لشيء مخيف.

العنادة التاريخية ورفض المواطن

فكرة وجود سجل لمستخدمي الهواتف المحمولة ليست جديدة في المكسيك؛ إنه هوس دوري للدولة. لقد تعثرنا بالفعل مع هذه الحجر في عام 2009 مع RENAUT الفاشل لإدارة فيليبي كالديرون، الذي انتهى مع بيع قاعدة البيانات في السوق السوداء في تيبيتو مقابل سنتيمات، حيث ظهر الرئيس نفسه مسجلاً بألف خط. عادنا إلى التعثر في عام 2021 مع PANAUT، محاولة أكثر عدوانية طالبتهم بالبيومترية وتم إيقافها وإعلانها غير دستورية من قبل المحكمة العليا في عام 2022.

الانخفاض في مشاركة السكان في هذه المحاولة الجديدة في عام 2026 ليس إهمالاً؛ إنه عمل الدفاع عن النفس. إنه انعكاس لرفض المراقبة الغازية لخصوصية المواطنين. الناس يدركون أن تسليم بياناتهم للدولة - أو للمؤجرين المنوطين بها من قبل الدولة - لا يضمن لهم الأمن، بل يجعلهم في واجهة لل مراقبة أو، أسوأ من ذلك، للتسويق.

تنفيذ Telcel: "Vibe Coding" و الإهمال

لكن إذا كانت الفكرة التشريعية سيئة بالفعل بسبب طابعها الغاز، فإن التنفيذ الفني الذي رأيناه في يناير كان، لكي نكون لطفاء، إهمالاً جنائياً.

لجعل الأمور أسوأ، كانت التنفيذ التي قامت بها Telcel - المشغل السائد مع أكثر من 80 مليون خط - لإنشاء هذا السجل إهانة للممارسات الأساسية لأمان الإنترنت. في 9 يناير 2026، يوم السجل الإلزامي، انهارت بنيتها الرقمية ليس بسبب الازدحام، بل بسبب العجز.

يجب أن أعترف بشيء:由于 أنني لم أتأثر شخصياً بهذا القانون في خطي الرئيسي، لم ألقِ له بالًا في البداية. ومع ذلك، أشارك بنشاط في مناقشات أمن الإنترنت والتكنولوجيا - بعضها مأهول من قبل أشخاص مؤهلين للغاية، "White Hats" أخلاقي، والبعض الآخر من قبل هواة لديهم وقت فراغ. ما رأيته في تلك الفضاءات كان مخيفاً.

لم يكن هناك حاجة لأدوات NSA أو مخترقين روس لاستغلال النظام. مع بعض الرغبة والمعرفة الأساسية بالتطوير الويب، يمكن لأي شخص استغلال الثغرة. ما كشفه التقرير الصحفي والتحليل الجنائي المستقل كان بنية برمجية مبنية على البخار، ما يسمى "vibe coding" في жарغون المطورين: البرمجة بال直觉، بدون اختبارات للضغط، بدون مراجعة أمنية، وانتظار أن "تكون الفكرة الجيدة" تحافظ على أمان الخادم.

تشريح تسرب: "المفتاح الرئيسي" المعروض

الخطأ كان بسيطاً لدرجة أن يؤلم الشرح. كانت الثغرة موجودة في واجهة برمجة التطبيقات (API) للجدارة. عندما أدخل مستخدم (أو مهاجم) رقم هاتف خلوي في نموذج الويب للاستفسار عما إذا كان يجب تسجيله، لم يرد الخادم بنعم أو لا بسيطين.

بدلاً من ذلك، رد الخادم (الخلفي) بكائن JSON (تنسيق نص عادي يستخدم لتبادل البيانات) يحتوي على ملف المستخدم الكامل.

يمكن لأي شخص يعرف كيف يفتح لوحة تحكم المطور في متصفحه رؤية النص الواضح:

• الاسم الكامل: الاسم، اسم الأب، اسم الأم.
• المعرفات القانونية: CURP وRFC.
• التواصل: البريد الإلكتروني الشخصي وتاريخ الميلاد.
• بيانات تقنية: معرف العميل ووضع الحساب.

هذا ليس تسرباً بسيطاً لرقم هاتف؛ عند كشف RFC وCURP مع الاسم والهاتف، سلمت Telcel "المفتاح الرئيسي" للاستيلاء على الهوية. مع هذه البيانات، يمكن للمجرم إجراء معاملات بنكية، طلب قروض باسم الضحية، الوصول إلى البوابات الحكومية (مثل SAT) أو تنفيذ هجمات SIM Swapping (اختطاف الخط) بسهولة مذهلة.

الأمر الأكثر إيروني وتراجيديا هو أن هذا القانون تم بيعه كأداة لمنع الابتزاز. النتيجة هي عكس ذلك تماماً: الآن لدى المبتزين دليل موثق، محدث، ومجاني لإجراء مكالمات بدقة جراحية، مع ذكر اسم الضحية الكامل وبياناته المالية لزرع الرعب.

حتى بعد أن انفجر الفضيحة في وسائل الإعلام الاجتماعية والوسائط المستقلة، كانت الاستجابة الفنية تصحيحاً تجميلياً في الواجهة المرئية (Frontend)، تاركة نقاط الوصول إلى الخادم مكشوفة لعدة ساعات. لقد كانت إهمالاً مستمراً.

نقطة البداية: من يراقب الحارس؟

يجب أن يؤدي هذا الحادث مع Telcel إلى تشغيل جميع الأضواء الحمراء على اللوحة الوطنية. لا يمكننا رؤيته كحقيقة منفصلة لشركة خاصة؛ إنه جزء من مشكلة نظامية في البنية الرقمية للدولة المكسيكية ومؤسسيها.

إذا كان مشغل الاتصالات الأكبر والأغنى في أمريكا اللاتينية، مع الموارد النظرية غير المحدودة، لم يتمكن من حماية واجهة برمجة التطبيقات الأساسية في اليوم الأول للوظيفة القانونية، فماذا يمكننا توقعَه من المشاريع التي تديرها الحكومة مباشرة؟

أنا أتحدث عن مبادرات أكثر حساسية التي已经 قيد التنفيذ أو التخطيط:

• CURP البيومترية: مشروع يهدف إلى توحيد ليس فقط بياناتنا الحرفية والأرقامية، ولكن أيضاً ملامحنا الفيزيائية الثابتة (العين، البصمات، الوجه). إذا تسربت هذه قاعدة البيانات، لا يمكنك "تغيير" بصماتك كما تغير كلمة المرور.
• السجل الانتخابي: خاصة بعد التعديلات الجديدة في القانون الانتخابي، حيث تمت مناقشة حماية واستخدام بيانات INE في النقاش السياسي.
• قواعد بيانات IMSS وBanco del Bienestar: مستودعات هائلة من المعلومات الصحية والمالية لأكثر قطاعات السكان vulnerability.

الدرس القاسي لتسجيل الهاتف في عام 2026 هو أن القدرة التنظيمية للدولة على طلب البيانات تتناسب عكسياً مع القدرة الفنية على حمايتها. نحن نبني مستودعات للمعلومات ("honeypots") التي تثير الجرائم الإلكترونية، دون وجود الأقفال اللازمة.

من يراقب من يراقبنا؟

الأسئلة الأساسية في الديمقراطية الرقمية هي: من يراقب من يراقبنا ويفحصنا؟

اليوم، يبدو أن الجواب هو "لا أحد". أو أسوأ من ذلك، "نحن أنفسنا، عندما يكون الوقت 已経 متأخراً". المنظمات المستقلة التي يجب أن تكون بمثابة عقلية، مثل INAI (الآن تم امتصاص وظائفه من قبل وزارة مكافحة الفساد)، تواجه تحديات سياسية تؤثر على قدرتهم على فرض عقوبات فورية أمام وحوش الشركات أو الحكومة.

تسرب Telcel أظهر أن "الموت المدني الرقمي" - تهديد بفصل من يرفض التسجيل - هو إكراه يضع المواطن بين السيف والجدار: إما تسليم خصوصيتك لنظام غير آمن، أو البقاء غير متصل.

كтехنولوجيين، محللين، ومواطنين، لا يمكننا تطبيع العجز. فكرة سيئة (التسجيل الجماعي غير المرتبط) تنفذ بالعجز (ثغرات واجهة برمجة التطبيقات الأساسية) ليست "تحول رقمي"، بل إهمال نظامي.

إذا لم نطالب بمراجعات خارجية حقيقية وعلنية، إذا لم تكن هناك عواقب قانونية مدمرة للشركات والمسؤولين الذين ي暴ون بياناتنا، ثم لا نعيش في مجتمع للمعلومات، بل في مجتمع للتسريب.

سجل عام 2026 قد فشل بالفعل في وعد الأمن. كل ما نجح في إظهاره هو مدى ضعفنا عندما تقرر الدولة مراقبتنا بدون معرفة كيف نحافظ على أنفسنا.