Sears تكشف محادثات عملائها مع روبوت الدردشة الذكي أمام جميع مستخدمي الإنترنت

تعرّض تاجر التجزئة الأمريكي Sears لتسريب خطير للبيانات: فقد أصبحت محادثات العملاء مع روبوت الدردشة الذكي التابع للشركة، بما في ذلك تسجيلات المكالمات الهاتفية والمراسلات النصية، متاحة للجميع على الإنترنت. وكان بإمكان أي شخص الاطلاع عليها دون تسجيل دخول ودون أي مهارات تقنية خاصة.

ووفقًا لتحقيق نشرته مجلة Wired، لم تكن المعلومات المتاحة مجرد سجلات تقنية. فقد تضمنت المحادثات أسماء العملاء وبيانات الاتصال وعناوين البريد الإلكتروني وتفاصيل محددة عن المشتريات: متى تمت عملية الشراء، وما الذي جرى شراؤه، وما المشكلات التي ظهرت. وهذا النوع من المعلومات بالذات هو كنز حقيقي للمحتالين: فمن يعرف اسم الشخص والسلعة التي اشتراها ووقت تواصله مع خدمة الدعم، يستطيع أن يبني سيناريو تصيّد مقنعًا.

وتبدو خطة الهجوم على النحو التالي: يتصل المحتال بعميل لدى Sears ويقدّم نفسه على أنه موظف في الشركة. «مرحبًا يا ماريا. نتصل بخصوص طلبك الخاص بالثلاجة بتاريخ 12 أبريل، فقد ظهرت مشكلات في التوصيل». لا يشعر العميل بأي ريبة، فالبيانات تتطابق حتى في أدق التفاصيل. بعد ذلك يُطلب منه تأكيد بيانات الدفع، أو دفع رسوم «إعادة التوصيل»، أو النقر على رابط من أجل «تأكيد العنوان». ويُعرف هذا السيناريو بالتصيّد الموجّه (spear phishing)، وهو أكثر فاعلية بأضعاف من الرسائل الجماعية، لأنه يستخدم بيانات شخصية حقيقية للضحية.

لا تُعدّ حادثة Sears حالة منفردة، بل عَرَضًا لمشكلة منهجية. فمع تبنّي تجار التجزئة والبنوك وشركات الخدمات روبوتات الدردشة الذكية على نطاق واسع لخدمة العملاء، يتزايد بسرعة حجم البيانات الشخصية التي تجمعها هذه الأنظمة وتخزّنها. فروبوتات الدردشة الحديثة تجري حوارات كاملة، وتتذكر سياق الطلبات السابقة، ويمكنها الوصول إلى سجل الطلبات. وهذا يجعلها أدوات دعم مفيدة، وفي الوقت نفسه نقاط خطر عند الإعداد الخاطئ لتخزين البيانات.

ومن زاوية الأمن، تحمل سجلات المحادثات مع روبوتات الدردشة قيمة خاصة للمهاجمين لعدة أسباب. فالعملاء يتحدثون مع الروبوتات بصراحة، ويصفون مشكلاتهم بتفاصيل لم يكونوا ليذكروها لشخص غريب. كما أن البيانات منظّمة وسهلة المعالجة: الاسم والتاريخ ونوع الطلب، أي ملف جاهز للهجوم. وأخيرًا، لا يتوقع المستخدمون أن تصبح مراسلاتهم التقنية مع الروبوت علنية، فلا يتوخون الحذر كما يفعلون عند تعبئة النماذج الرسمية.

وظلّ موقف Sears من الحادثة غير معروف وقت نشر المادة. وتمر الشركة بمرحلة صعبة: فبعد أن كانت أكبر تاجر تجزئة في الولايات المتحدة، تقلّصت إلى سلسلة صغيرة إثر سنوات من الصعوبات المالية وإعلان إفلاسها في عام 2018. ويتسق اعتماد أدوات الذكاء الاصطناعي لخفض تكاليف الدعم مع استراتيجية البقاء، لكن التوفير على حساب أمن البيانات يولّد مخاطر قد تكلّف أكثر بكثير.

وتطرح هذه الحادثة سؤالًا أوسع: إلى أي مدى الشركات مستعدة للنشر المسؤول لأنظمة الذكاء الاصطناعي التي تتعامل مع بيانات حساسة؟ ففي الاتحاد الأوروبي يسري بالفعل AI Act بما يتضمنه من متطلبات لتقييم المخاطر. وفي الولايات المتحدة تلاحق لجنة التجارة الفيدرالية (FTC) الشركات بانتظام بسبب التقصير في حماية بيانات المستهلكين، وتسريبات بهذا الحجم تقع بوضوح ضمن دائرة اهتمامها.

أما بالنسبة للمستخدمين العاديين، فالخلاصة بسيطة: المكالمة المفاجئة التي يعرف صاحبها عن مشترياتك أكثر مما ينبغي قد لا تكون مصادفة، بل نتيجة مباشرة لتسريب لم يحذّرك منه أحد.