هل يمكن لأحد سرقة بياناتك من بطاقة أعمال NFC؟

لا يمكن لأحد عملياً سرقة بياناتك من بطاقة أعمال NFC تخزّن رابطاً إلكترونياً فقط، لأنه لا يوجد على الشريحة شيء خاص يُؤخذ. تحمل الشريحة عنواناً عاماً، وقراءتها تحتاج إلى هاتف يُمسك على بعد بضعة سنتيمترات، والصفحة التي تفتحها لا تعرض إلا ما اخترت نشره. أما المخاطر الحقيقية فتختلف عما يتخيله الناس: وسم تم التلاعب به أو استبداله فيرسل الزوار إلى صفحة مزيفة، وتفاصيل شخصية تضعها على بطاقة عامة دون تفكير. يشرح هذا الدليل أمان بطاقة أعمال NFC بلغة واضحة، وما هو ممكن وما ليس ممكناً، وإجراءات الحماية التي تستحق الاستخدام سواء كنت تحمل البطاقة أو تنقر بطاقة غيرك.

الجواب المختصر

بطاقة أعمال NFC المُعدّة جيداً شيء منخفض الخطر. فبطاقة NFC لا تحتوي بياناتك المصرفية ولا هوية الإمارات ولا كلمات مرورك ولا جهات اتصالك. وفي بطاقة MyInfo تخزّن الشريحة شيئاً واحداً: عنوان بطاقتك الرقمية، مثل myinfo.ae/yourname. ومن يقرؤه لا يعرف إلا ما كان سيعرفه لو نظر إلى واجهة بطاقة مطبوعة وكتب العنوان، لأن الصفحة خلفه عامة بطبيعتها.

وهذا لا يعني أن NFC بلا أسئلة أمنية. فالتقنية التي تتحدث عبر الهواء يمكن إساءة استخدامها، والصورة الصادقة من ثلاثة أجزاء: ما تخزنه الشريحة، وإلى أي مدى يمكن قراءتها، وكيف يمكن التلاعب بالشريحة أو بالرابط. نتناولها بالترتيب مع مصادر مسماة، ونفصل المخاطر الحقيقية عن الأساطير. وإذا كنت تتعلم الأساسيات فإن كيف تعمل بطاقة أعمال NFC قراءة أولى جيدة. ولا حاجة إلى أي تطبيق أو إعداد خاص لفهم النقاط التالية، فهي قواعد بسيطة يستطيع أي صاحب بطاقة أو زائر تطبيقها في دقائق.

ما الموجود فعلاً على الشريحة

تستخدم معظم بطاقات الأعمال شريحة NXP من نوع NTAG، وعادةً NTAG213. وتذكر صفحة منتج NXP لها ذاكرة للمستخدم من 144 بايت، ورقماً تسلسلياً فريداً من 7 بايت يُضبط في المصنع، وحفظاً للبيانات لمدة 10 سنوات، وما يصل إلى 100,000 دورة كتابة. ذاكرة بهذا الصغر لا تستطيع حمل ملف تعريفي أو صورة أو قائمة جهات اتصال. إنها تحمل سجلاً قصيراً، وفي بطاقة MyInfo هذا السجل هو رابطك. نقارن الشرائح في NTAG213 مقابل NTAG215 مقابل NTAG216 لبطاقات الأعمال.

والرقم التسلسلي الفريد ليس سراً. فهو يعرّف الشريحة لا يعرّفك، ويمكن لأي قارئ أن يقرأه. ولا يوجد في الشريحة بطارية ولا GPS ولا ميكروفون، ولا تستطيع إرسال أي شيء من تلقاء نفسها. إنها تستجيب فقط حين يغذيها مجال هاتف مغناطيسي بالطاقة، ولهذا تبقى بطاقة في محفظتك صامتة حتى يضع أحد قارئاً عليها عن قصد.

ماذا يعرف الغريب عندما ينقر بطاقتك

إذا نقر أحد بطاقتك، يقرأ هاتفه الرابط، ويعرض إشعاراً، ويفتح صفحتك في المتصفح. هذا كل شيء. تعرض الصفحة التفاصيل التي نشرتها: اسمك وصورتك وشركتك وأزرارك وأي روابط أضفتها. وإذا كانت بطاقتك عامة فالمعلومات نفسها ظاهرة لكل من يحصل على الرابط أو يجد البطاقة عبر محرك بحث أو دليل البطاقات. ويشرح مقالنا ما العام في بطاقة الأعمال الرقمية ذلك بالكامل.

والخلاصة عملية. فسؤال الخصوصية في بطاقة NFC نادراً ما يكون "هل يمكن اختراق الشريحة؟" وغالباً "ماذا وضعت في الصفحة؟" فإذا كان رقم جوال أو عنوان منزل أو تفصيل هوية سيقلقك في يد غريب فأزله من البطاقة. ويبيّن أبقِ رقمك الشخصي بعيداً عن بطاقتك كيف تفعل ذلك.

مدى النقر: لماذا ليس الاختلاس من آخر الغرفة هو المشكلة

صُممت NFC لمسافات قصيرة جداً. يصف منتدى NFC مدى نموذجياً يصل إلى نحو 2 سم، ومدى مطابقاً معتمداً من 5 ملم. وتذكر مراجع أخرى نحو 4 سم. وتقول NXP إن شرائح NTAG الخاصة بها تستطيع التواصل حتى 100 ملم بحسب قوة المجال وشكل الهوائي، فقد تعمل بطاقة وقارئ جيدا التصميم على مسافة أبعد قليلاً من الحد الأدنى. وفي الحياة اليومية تنقر والبطاقة تكاد تلامس الهاتف.

يناقش باحثو الأمن فعلاً التنصت، أي الاستماع إلى التبادل اللاسلكي من مسافة أبعد بمعدات متخصصة. ويقول ملخص ويكيبيديا لأمان NFC إن المسافة تعتمد على عدة عوامل وتقل عادةً عن 10 أمتار للأجهزة النشطة، وعن نحو متر واحد فقط للأجهزة السلبية مثل الوسوم. ويشير أيضاً إلى أن NFC العادية لا تحمي نفسها من التنصت. وفي بطاقة أعمال، هذه مشكلة أصغر مما تبدو، لأن البيانات الوحيدة المتداولة في الهواء هي عنوان ويب عام كنت ستشاركه على أي حال. ولا يوجد شيء سري يمكن التنصت عليه.

وينطبق الأمر نفسه على فكرة "اختلاس" بطاقة عبر محفظة أو حقيبة. الاختلاس مصدر قلق حقيقي لبطاقات الدفع، حيث ترد الشريحة ببيانات لها قيمة. أما شريحة بطاقة الأعمال فترد برابط. ومن يقرؤه يعرف عنوانك العام، وكان بإمكانه الحصول عليه بسؤالك.

هجمات الترحيل وبطاقات الدفع: تهديد مختلف

ربما قرأت عن هجمات الترحيل، حيث يمرر المهاجم التبادل بين بطاقة الضحية وقارئ في الوقت الفعلي. وتشير ويكيبيديا إلى أنه لأن أجهزة NFC تتضمن عادةً بروتوكولات ISO/IEC 14443، فإن مثل هذه الهجمات ممكنة ويمكن تنفيذها بهاتفين مزودين بـNFC. والخطر حقيقي لبطاقات الدفع والدخول، حيث قد يعتمد تبادل مرحَّل شيئاً ما. لكنه لا ينطبق بالطريقة نفسها على بطاقة أعمال، لأنه لا توجد عملية دفع أو باب لاعتماده، بل رابط إلى صفحة عامة فقط.

والدرس ليس أن نتهاون مع NFC عموماً، بل أن نبقي كل استخدام في صندوقه. فبطاقتك المصرفية وبطاقة أعمالك كلتاهما تستخدمان راديو قصير المدى، لكنهما تخزنان أشياء مختلفة جداً وتحميان أصولاً مختلفة جداً. لا تضع شيئاً حساساً على شريحة بطاقة أعمال، ولا تخزّن أبداً كلمات مرور أو أرقاماً سرية أو أرقام هوية على أي وسم NFC.

الخطر الحقيقي: الوسوم التي جرى التلاعب بها أو استبدالها

هنا يجب أن يتركز الانتباه. حذّرت Kaspersky من وسوم NFC التي يُتلاعب بها بنية خبيثة. وتنقل SecurityBrief أسلوبين: إعادة برمجة وسوم موجودة تُركت غير مقفلة، واستبدال الوسوم مادياً في أماكن مزدحمة مثل مراكز النقل والمقاهي. والهدف هو توجيه الناس إلى صفحات تصيّد أو تحميلات أو استغلال نقاط ضعف في تعامل الهاتف مع NFC. وتشير مقالة ثانية عن التحذير نفسه إلى أن هذه الهجمات تمر دون ملاحظة لأن الوسوم صغيرة وسلبية وغير لافتة مادياً.

وفي بطاقة الأعمال لهذا أثران عمليان:

• بطاقتك في محفظتك يصعب التلاعب بها لأنك تحتفظ بها معك. فالخطر منخفض.
• حامل أو ملصق في مكان عام، مثل مكتب استقبال أو جناح أو طاولة مطعم أو منضدة متجر، يسهل على أحد أن يكتب فوقه أو يغطيه بنسخة مزيفة. هذه هي الحالة التي يجب حمايتها.

لاحظ أن الهجوم لا يسرق بيانات من شريحتك. إنه يغيّر وجهة الشريحة، ويقع الضرر على من ينقرون. ولهذا فإن الحماية مهمة لأجل عملائك بقدر ما هي لأجلك.

القفل وكلمات المرور وفحص شريحتك

أفضل دفاع مدمج في الشريحة. فعائلة NTAG من NXP تدعم قفلاً دائماً غير قابل للرجوع للقراءة فقط، وخيار كلمة مرور قابلاً للرجوع مع حد للمحاولات الفاشلة. وبعد القفل لا يستطيع غريب إعادة برمجة الوسم، وهو بالضبط ما توصي به Kaspersky الشركات في الوسوم التي يصل إليها الجمهور.

وللقفل مقابل. فلا يمكنك أنت أيضاً إعادة كتابة شريحة مقفلة، لذا اختبر الرابط على هاتفين على الأقل أولاً، واكتب العنوان بعناية، مع https:// والتهجئة الصحيحة. ومع MyInfo، فإن تغيير بياناتك لا يتطلب أبداً إعادة كتابة الشريحة، فلا تخسر الكثير بقفل حامل. اسأل من يبرمج بطاقاتك هل يقفل الشريحة، أو اتبع دليلنا برمجة بطاقة NFC خطوة بخطوة وقرر بنفسك.

وافحص الوسوم العامة من وقت لآخر أيضاً. فملصق وُضع فوق ملصقك، أو بطاقة تبدو مخدوشة، أو حامل جرى نقله، كلها علامات تستدعي الفحص. انقر حاملك بهاتف وتأكد أن العنوان الذي يظهر يطابق عنوانك.

ماذا يحدث على الهاتف عند النقر

صُممت الهواتف الحديثة بحيث لا يشغّل النقر شيئاً بصمت. ففي iPhone توثّق Apple أن قراءة الوسوم في الخلفية، المتاحة على iPhone XS وما بعده، تعرض إشعاراً عند كل قراءة وسم، وينقر المستخدم الإشعار قبل أن تذهب البيانات إلى تطبيق. وهي تعمل فقط أثناء استخدام الهاتف، وتتعطل في حالات عدة، مثل استخدام الكاميرا أو تفعيل وضع الطيران. وفي Android يمكن إيقاف NFC من الإعدادات، وعادةً يعرض الهاتف ما سيفتحه.

وهذا يمنح الزائر لحظة للتحقق. يجب أن تُظهر الصفحة التي تُفتح في المتصفح myinfo.ae واسم البطاقة في شريط العنوان. وإذا فتح وسم نطاقاً مختلفاً، أو طلب تسجيل دخول أو دفعاً أو تحميل تطبيق لم تتوقعه، فأغلقه. ويستعرض مقالنا ماذا يحدث عندما ينقر أحد بطاقتك جانب الزائر خطوة بخطوة.

ما تفعله MyInfo وما يعود إليك

تمنحك MyInfo أدوات للتحكم فيما تعرضه البطاقة، وهي صريحة بشأن الباقي. البطاقات عامة افتراضياً، وهذا هو جوهر بطاقة الأعمال. وفي Premium يمكن ضبط البطاقة كخاصة وحمايتها برمز دخول من ستة أرقام، فيرى الزوار نافذة طلب الرمز أولاً؛ اتبع اجعل البطاقة خاصة واقرأ عن الخصوصية والبطاقات الخاصة. ويمكن لإعداد التجاوز إرسال الزوار مباشرة إلى وجهة واحدة، مثل ملف جهة الاتصال. والصور التي ترفعها تُجرَّد من البيانات المخفية مثل الموقع. أما العملاء المحتملون المرسلون عبر بطاقتك فلا يراهم إلا أنت في لوحة التحكم. ويمكنك تعديل أو حذف أي شيء على بطاقتك في أي وقت.

وما لا تستطيع MyInfo فعله هو حماية وسم مادي يكتب فوقه شخص آخر، أو رقم اخترت نشره. فهذه تعتمد على طريقة قفل الشريحة ومكان وضعها وما تضعه في الصفحة. ولرؤية مبسطة للجانب القانوني راجع PDPL وبطاقة الأعمال الرقمية.

إجراءات حماية لأصحاب البطاقات

في الإمارات تكون الأماكن التي تتبادل فيها البطاقات، مثل المعارض والمراكز التجارية وردهات الفنادق ومراكز الأعمال، مزدحمة وعامة. والحامل المتروك على منضدة بلا مراقبة في مكان كهذا أكثر عرضة من بطاقة تُسلَّم في اجتماع. وإذا كنت تدير جناحاً في معرض فاعتبر الحامل جزءاً من جناحك: ضعه حيث يراه الموظفون، وافحصه في بداية كل يوم، وأبقِ بجانبه رمز QR مطبوعاً ليستخدم الكاميرا من يتردد.

1. ضع تفاصيل عامة فقط على البطاقة. افترض أن أي شخص يستطيع رؤيتها. استخدم رقم عمل وبريداً إلكترونياً إن فضّلت.
2. اكتب رابطك الخاص واختبره. تأكد من أن العنوان مكتوب بشكل صحيح ويفتح بطاقتك على iPhone وAndroid.
3. اقفل الشرائح في الحوامل الموضوعة في أماكن عامة، بعد الاختبار. وبطاقات المحفظة يمكن أن تبقى غير مقفلة.
4. أبقِ الحوامل حيث يراها الموظفون، وافحصها بانتظام بحثاً عن ملصقات وُضعت فوقها.
5. أضف رمز QR وعنواناً مطبوعاً ليتحقق الزوار مما يفتحونه؛ راجع بطاقات أعمال NFC مقابل رمز QR.
6. استخدم بطاقة خاصة برمز دخول للجمهور المميز، كما في البطاقات الخاصة للعملاء وفعاليات كبار الشخصيات.
7. اشترِ من بائعين يسمّون الشريحة ويكتبون رابطك، كما في أسئلة تطرحها قبل شراء بطاقة أعمال NFC في دبي.

إجراءات حماية لمن ينقرون بطاقة

• انظر إلى عنوان الويب قبل إدخال أي شيء. فصفحة بطاقة الأعمال يجب ألا تطلب كلمة مرور أو دفعاً ببطاقة.
• كن حذراً من وسم في مكان عام يبدو ملصوقاً أو مخدوشاً أو في غير موضعه.
• حدّث هاتفك كما تنصح Kaspersky، وفكر في إيقاف NFC حين لا تحتاجها.
• إذا بدا شيء غير سليم فأغلق الصفحة واطلب الرابط من الشخص مباشرة.

الأسئلة الشائعة

هل يستطيع أحد قراءة بطاقة أعمال NFC الخاصة بي من مسافة؟

ليس بأي طريقة تهم. فقد صُممت NFC للعمل ضمن بضعة سنتيمترات، ويصف منتدى NFC مدى نموذجياً يصل إلى نحو 2 سم. ويصف الباحثون التنصت من مسافات أكبر بمعدات خاصة، لكن البيانات الوحيدة على شريحة بطاقة MyInfo هي عنوان ويب عام قصدت مشاركته. فلا يوجد عليها شيء سري يُسرق، لذا أبقِ التفاصيل الحساسة بعيداً عن البطاقة نفسها.

هل يمكن اختراق بطاقة أعمال NFC أو إعادة كتابتها؟

يمكن لأي شخص يملك تطبيق كتابة NFC ويضع هاتفه على شريحة غير مقفلة أن يعيد كتابتها، مما قد يوجّه الناس إلى صفحة مزيفة. ولهذا يجب قفل الحوامل في الأماكن العامة بعد الاختبار وفحصها بانتظام. وبطاقة في محفظتك أقل عرضة بكثير. وحسابك في MyInfo مسألة منفصلة، محميّة برموز بريد إلكتروني تُستخدم لمرة واحدة، وتغيير الشريحة لا يغيّر صفحتك أبداً.

ابدأ ببطاقة ترضى أن تُرى: أنشئ بطاقة MyInfo المجانية.