Desjardins هي البنك التعاوني في كيبك. أكبر اتحاد ائتماني في كندا. مؤسسة تسوق نفسها على أنها مملوكة للمجتمع، الأعضاء أولاً، ومتجذرة في التقليد التعاوني الخاص بكيبك الذي يميزها عن البنوك الكبيرة ذات الطابع المؤسسي.

المؤسسة التي يُنصح العديد من سكان كيبك بالثقة بها لأنها “لنا”. بين أكتوبر 2016 ومايو 2019، قام موظف في Desjardins يُدعى سيباستيان بولانجر-دورفال بسرقة معلومات شخصية لملايين من أعضاء وعملاء Desjardins بشكل منهجي. باع هذه البيانات في أسواق الدارك نت ومنتديات الجريمة الإلكترونية.

استمر ذلك لمدة 26 شهرًا. قبل أن تدرك Desjardins ما يحدث. لم تكتشف Desjardins الاختراق عبر أنظمتها الأمنية الخاصة.

تم إبلاغها من قبل الشرطة. البيانات المسروقة شملت الأسماء، تواريخ الميلاد، أرقام الضمان الاجتماعي، العناوين السكنية، أرقام الهواتف، عناوين البريد الإلكتروني، تاريخ المعاملات وعادات البنك. ما يقرب من 10 ملايين فرد.

كيف كان ذلك ممكنًا لمدة 26 شهرًا

وجدت تحقيقات مفوض الخصوصية الفيدرالي أن الاختراق كان نتيجة سلسلة من الفجوات التقنية والإدارية في Desjardins. كان للموظف الخبيث وصول إلى مخزن بيانات تسويقية مشترك يحتوي على معلومات حساسة للأعضاء. لم يُراقب هذا الوصول بشكل كافٍ.

عملية استخراج البيانات على مدار 26 شهرًا لم تُطلق تنبيهات أمان كان من المفترض أن تكشف عن النشاط غير العادي. وهذا يعني أن Desjardins كانت تحتفظ ببيانات مالية شخصية لما يقرب من 10 ملايين كندي في نظام يمكن لموظف واحد في قسم التسويق الوصول إليه، نسخه، وبيعه لأكثر من عامين دون أن تلاحظ المؤسسة ذلك. كل من مفوض الخصوصية الفيدرالي ولجنة كيبك للوصول إلى المعلومات استنتجا أن Desjardins فشلت في إظهار المستوى المطلوب من الاهتمام لحماية بيانات العملاء.

ليس هجومًا خارجيًا متقنًا. بل موظف داخلي. بصلاحيات قياسية.

لمدة 26 شهرًا. قبل أن تخبرهم الشرطة بذلك.

ما تلقاه العملاء

قامت Desjardins بتسوية الدعوى الجماعية الناتجة بمبلغ 200.9 مليون دولار. أكبر تسوية جماعية في تاريخ الخدمات المالية الكندية في ذلك الوقت. العملاء الذين قدموا مطالبة تلقوا ما يصل إلى 90 دولارًا مقابل الوقت الضائع.

العملاء الذين تعرضوا لسرقة هوية يمكنهم المطالبة بما يصل إلى 1,000 دولار. وهذا يعني أن العميل الذي بيعت له رقم الضمان الاجتماعي، العنوان المنزلي، تاريخ البنك وتفاصيله الشخصية في أسواق الدارك نت لمدة عامين عُرض عليه حد أقصى قدره 1,000 دولار إذا تمكن من توثيق سرقة الهوية الناتجة. أحد العملاء الذي مر بعملية المطالبة وثق أنه تلقى 88 دولارًا لمطالبة الفئة الفرعية 1.

ثم تلقى طلبًا لتقديم وثائق كان عليه دفع ثمنها للحصول عليها. أشار إلى أن تكلفة الوثائق كانت أكثر من دفعة التسوية البالغة 88 دولارًا. 201 مليون دولار موزعة على 9.7 مليون فرد متأثر ينتج متوسط حوالي 20 دولارًا للفرد قبل الرسوم القانونية التي غطتها Desjardins بشكل منفصل.

قال رئيس Desjardins في ذلك الوقت إن الأثر المالي للاختراق يمثل أقل من واحد بالمئة من إيرادات المؤسسة السنوية البالغة 18 مليار دولار، وأن Desjardins لديها قدرة كافية على امتصاصه. وهذا صحيح بالنسبة لـ Desjardins.

أما بالنسبة للعميل الذي بيعت له رقم الضمان الاجتماعي في منتدى الدارك نت، فكانت القدرة على امتصاص العواقب مختلفة.

التعاونية التي نسيت أعضائها

تسوق Desjardins هيكلها التعاوني كتمييز أساسي عن البنوك المؤسسية. الأعضاء هم المالكون. المؤسسة موجودة لخدمتهم.

من المفترض أن ينتج النموذج التعاوني علاقة مختلفة بين المؤسسة المالية والأشخاص الذين يضعون أموالهم وبياناتهم في ثقتها. لم يمنع النموذج التعاوني سرقة داخلية للبيانات استمرت 26 شهرًا وأثرت على ما يقرب من 10 ملايين عضو. لم ينتج بنية أمان كافية لاكتشاف موظف ينسخ ويبيع بيانات الأعضاء.

لم ينتج عن ذلك تعويضًا كافيًا لمعالجة عواقب سرقة الهوية التي عانى منها الأعضاء. ما أنتجه النموذج التعاوني هو تسوية وصفتها المؤسسة بأنها تمثل أقل من واحد بالمئة من الإيرادات السنوية. وهو ما وصفه الرئيس بأنه ضمن قدرة كافية للامتصاص.

الأعضاء الذين بيعت بياناتهم امتصوا شيئًا مختلفًا.

نمط المؤسسات في كيبك

هذه المنصة وثقت نمطًا ثابتًا عبر مؤسسات كيبك في الأسابيع الأخيرة. تتدفق الأموال العامة وثقة الأعضاء إلى المؤسسات. تتخذ تلك المؤسسات قرارات تضر بالناس الذين تخدمهم.

تقع العواقب على هؤلاء الناس. تمتص المؤسسات التكلفة المالية ضمن هوامش تشغيلها وتستمر. سائقو سيارات الأجرة الذين انخفضت قيمة تصاريحهم تلقوا تعويضًا غير كافٍ أكدت المحكمة الاستئنافية ذلك.

الممرضات الذين طُردن من النظام العام بسبب ظروف العمل السيئة يُستبدلن بأجور وكالات خاصة بينما يستمر النقص. مشغلو حافلات المدارس الذين حصلوا على مورد احتكاري شاهدوا الحافلات تحترق والشركة تفلس بينما أُلغيت خطوطهم. ركاب الـ REM الذين فقدوا بدائل الحافلات لم يكن لديهم وسيلة نقل خلال إغلاق النظام.

أعضاء Desjardins الذين بيعت بياناتهم لمدة 26 شهرًا تلقوا 88 دولارًا وطلبًا لتقديم وثائق. التعاونية التي يُفترض أنها مملوكة لأعضائها لم تحمِ أكثر البيانات حساسية التي وثقها الأعضاء فيها. عندما تم محاسبتها عبر النظام القانوني، تسوت بمبلغ وصفه الرئيس التنفيذي بأنه سهل الامتصاص.

الأعضاء امتصوا ما لم تستطع المؤسسة تحمله.

الملاحظة الصادقة لأي شخص يفتح حسابًا تجاريًا

Desjardins لا يزال الخيار الموصى به للمؤسسات الصغيرة في كيبك بسبب هيكله التعاوني، والرسوم المتاحة، والحضور المحلي. كان الاختراق فشلاً مؤسسيًا جديًا تسبب في أضرار حقيقية. كما أدى إلى أكبر تسوية جماعية في قطاع الخدمات المالية في تاريخ كندا وتحسينات أمنية هامة تلت ذلك.

المؤسسة ليست خبيثة بشكل فريد. إنها مؤسسة كبيرة فشلت في أمان البيانات بطرق تتكرر في المؤسسات الكبيرة في جميع أنحاء العالم. ما يجعل قضية Desjardins خاصةً لتوثيق هذه المنصة للمؤسسات الكيبيكية هو الفجوة بين ما تسوق له المؤسسة وما قدمته عندما أصبحت الفجوة بين التسويق والواقع واضحة.

الأولوية للعضو. تعاوني. مملوك للمجتمع. 88 دولارًا لكل عضو متأثر.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com