سجل الكارثة: عندما تكشف العجز الفني عن المواطن

توجد مقولة في إدارة المشاريع، سواء في الهندسة أو في السياسة العامة، نادراً ما تفشل: فكرة سيئة مع تنفيذ سيء هو الوصفة المثالية للكارثة.

ما نحنشهده حالياً في المكسيك في بداية عام 2026 ليس حادثاً عارضاً ولا مفاجأة غير متوقعة؛ إنه سجل لكارثة محتومة. قبل بضعة أشهر فقط، تحت راية الأمن القومي ومكافحة الابتزاز، تمت الموافقة على إصلاحmany حذرنا من أنه سيكون ساماً. أتحدث عن القانون الجديد في مجال الاتصالات السلكية واللاسلكية، المنشور في 16 يوليو 2025، الذي أوجد سجلاً جديداً لإلزامي لمستخدمي الهواتف المحمولة.

كانت الفرضية الحكومية مغرية على الورق ولكنها قاسية في الممارسة: إنشاء سجل شامل يربط بين هويتنا البيولوجية والقانونية وخطنا الهاتفي. ومع ذلك، بقيت العديد من الأسئلة عالقة في الهواء الملوث بالخطاب السياسي: من سوف يحمي هذه قاعدة البيانات التي تحتوي على بيانات حياتنا؟ كيف سوف يتم استخدامها حقاً؟ من سوف يصل إليها؟ وأخطر سؤال من بينهم جميعاً: كيف سأعرف أنا، كمواطن، من يستخدم بياناتي وكيف يستخدمها؟

الآن، للأسف الشديد، لدينا الإجابات. وإنه لمنظر مخيف.

العناد التاريخي ورفض المواطن

فكرة وجود سجل لمستخدمي الهاتف لا هي جديدة في المكسيك؛ إنه هوس دوري للدولة. لقد تعثرنا بالفعل مع هذه الحجارة في عام 2009 مع RENAUT الفاشل لإدارة فيليبي كالديرون، الذي انتهى ببيعه في السوق السوداء في Tepito مقابل سنتات، وكان الرئيس نفسه مسجلاً مع آلاف الخطوط. عادنا إلى التعثر في عام 2021 مع PANAUT، محاولة أكثر عدوانية طالبت بالبيومترية، والتي، لحسن الحظ، تم إيقافها وإعلانها غير دستورية من قبل المحكمة العليا في عام 2022.

مشاركةPopulation المنخفضة في هذه المحاولة الجديدة في عام 2026 ليست كسل؛ إنه فعل الدفاع عن النفس. إنه انعكاس لرفض التفتيش الغاز في خصوصية المواطنين. الناس يفهمون أن تسليم بياناتهم للدولة - أو للمُمنحين المُجبرين من قبل الدولة - لا يضمن لهم الأمان، بل يجعلهم في واجهة لعرضهم أو، أسوأ من ذلك، بيعهم.

تنفيذ Telcel: "Vibe Coding" و الإهمال

لكن إذا كانت الفكرة التشريعية سيئة بالفعل بسبب طابعها الغاز، فإن التنفيذ الفني الذي رأيناه في يناير كان، لكي نكون لطفاء، إهمالاً جنائياً.

لجعل الأمور أسوأ، كانت التنفيذ التي قامت بها Telcel - المُشغل المهيمن مع أكثر من 80 مليون خط - لإنشاء هذا السجل была إهانة لأكثر الممارسات الأساسية لأمن المعلومات. في 9 يناير 2026، يوم السجل الإلزامي، انهارت بنيتها الرقمية ليس بسبب الإشباع، بل بسبب العجز.

يجب أن أعترف بشيء:由于 عدم تأثري شخصياً بهذا القانون في خطي الرئيسي، لم أضع له الكثير من الاهتمام في البداية. ومع ذلك، أشارك بنشاط في مناقشات أمن المعلومات والتكنولوجيا - بعضها مُزود بالكثير من الأشخاص المهرة، "White Hats" الأخلاقيين، والبعض الآخر من هواة لديهم الكثير من الوقت. ما رأيته في هذه المساحات كان مخيفاً.

لم يكن هناك حاجة لأدوات NSA أو قراصنة روس لاختراق النظام. مع القليل من الرغبة والمعرفة الأساسية لتطوير الويب، يمكن لأي شخص استغلال الثغرة. ما كشفه التقرير الصحفي والتحليلات الجنائية المستقلة كان بنية برمجية معدة بشكل عفوي، ما نسميه في لغة المطورين "vibe coding": البرمجة بال直觉، دون اختبارات الضغط، دون تدقيق أمني، ونتوقع أن "الجو المزاجي الجيد" يحافظ على الخادم آمناً.

تشريح تسريب: "المفتاح الرئيسي" المعروض

الخطأ كان بسيطاً لدرجة أن يؤلم الشرح. كانت الثغرة موجودة في واجهة برمجة التطبيقات (API) للجدارة. عندما أدخل مستخدم (أو مهاجم) رقم هاتفي في النموذج الويب للاستفسار عن是否 يجب التسجيل، لم يرد الخادم بنعم أو لا بسيطين.

بدلاً من ذلك، أعاد الخادم ("Backend") كائن JSON (تنسيق نص عادي يستخدم لتبادل البيانات) يحتوي على بطاقة العميل الكاملة.

يمكن لأي شخص يعرف كيف يفتح لوحة تحكم المطور في متصفحه أن يرى، في نص واضح:

هذا ليس تسريباً بسيطاً لرقم هاتفي. من خلال الكشف عن RFC و CURP مع الاسم والهاتف، سلمت Telcel "المفتاح الرئيسي" للاستيلاء على الهوية. مع هذه البيانات، يمكن للمجرمين إجراء معاملات بنكية، طلب رصيد باسم الضحية، الوصول إلى البوابات الحكومية (مثل SAT) أو تنفيذ هجمات SIM Swapping (اختطاف الخط) بسهولة مذهلة.

الأكثر إيروني وتراجيديا هو أن هذا القانون تم بيعه كأداة لمنع الابتزاز. النتيجة هي عكس ذلك تماماً: الآن لدى المبتزين دليل مدقق، محدث، ومجاني لتنفيذ مكالمات بدقة جراحية، مع ذكر الاسم الكامل والبيانات المالية للضحية لزرع الرعب.

حتى بعد أن انفجر الفضيحة في وسائل التواصل الاجتماعي والوسائل المستقلة، كانت الاستجابة الفنية عبارة عن تصحيح سطحي في الواجهة المرئية (Frontend)، تاركة نقاط الوصول إلى الخادم مكشوفة لعدة ساعات. كان ذلك إهمالاً مستمراً.

نقطة القمة للجليد: من يراقب الحارس؟

يجب أن يضاء هذا الحادث مع Telcel جميع المنارات الحمراء على اللوحة الوطنية. لا يمكننا رؤيته كحقيقة منفصلة لشركة خاصة؛ إنه نقطة القمة للجليد لمشكلة نظامية في البنية الرقمية للدولة المكسيكية ومُمنحيها.

إذا كان مشغل الاتصالات الأكبر والأغنى في أمريكا اللاتينية، مع الموارد النظرية غير المحدودة، لم يتمكن من حماية واجهة برمجة تطبيقات أساسية في اليوم الأول للوضع القانوني، فما الذي يمكننا توقعُه من المشاريع التي تديرها الحكومة مباشرة؟

أشير إلى مبادرات أكثر حساسية التي已经 في التقدم أو التخطيط:

الدروس القاسية لتسجيل الهاتف في عام 2026 هي أن القدرة التنظيمية للدولة على إ要求 البيانات هي عكس القدرة الفنية على حمايتها. نحن نبني مخازن معلومات ("honeypots") التي لا تقاوم الجرائم الإلكترونية، دون أن يكون لدينا الأقفال اللازمة.

من يراقب من يراقبنا؟

السؤال الأساسي في демقراطية رقمية هو: من يراقب من يراقبنا ويفحصنا؟

اليوم، يبدو أن الجواب هو "لا أحد". أو أسوأ من ذلك، "نحن أنفسنا، عندما يكون الوقت 已 متأخراً". المنظمات المستقلة التي يجب أن تكون كعقبة، مثل INAI (الآن تم امتصاص وظائفه من قبل وزارة مكافحة الفساد)، تواجه تحديات سياسية تذيب قدرتها على العقوبة الفورية أمام وحوش الشركات أو الحكومات.

أثبت تسريب Telcel أن "الموت المدني الرقمي" - تهديد الفصل عن من لا يسجل - هو إكراه يضع المواطن بين السيف والجدار: إما تسليم خصوصيتك لنظام غير آمن، أو البقاء غير متصل.

كمطورين، محللين، ومواطنين، لا يمكننا تطبيع العجز. فكرة سيئة (التسجيل الجماعي غير المفرق) تنفذ بالعجز (ثغرات واجهة برمجة التطبيقات الأساسية) ليست "تحول رقمي"، بل إهمال نظامي.

إذا لم نطالب بالتدقيق الخارجي، الحقيقي، والعلني؛ إذا لم تكن هناك عواقب قانونية مدمرة للشركات والموظفين الذين ي暴ون بياناتنا؛ ثم لا نعيش في مجتمع للمعلومات، بل في مجتمع للكشف.

لقد فشل تسجيل عام 2026 بالفعل في وعد الأمان. كل ما نجح في تحقيقه بنجاح هو إظهار مدى هشاشةنا عندما تقرر الدولة مراقبتنا دون معرفة كيف نحافظ على أنفسنا.