التحقق من هوية المستخدم: ما يجب على كل شركة معرفته
وقع أحد كبار تجار التجزئة عبر الإنترنت ضحية لعملية احتيال عندما استخدم قراصنة حسابات عملاء مسروقة لإجراء عمليات شراء كبيرة وأعادوا توجيه الشحنات إلى عناوينهم الخاصة. ونظرًا لعدم وجود إجراءات قوية للتحقق من هوية المستخدمين لدى الشركة، لم تتمكن من التمييز بين العملاء الشرعيين والمحتالين.
تكبدت الشركة خسائر مالية، بالإضافة إلى تآكل ثقة العملاء. وهذا مجرد مثال واحد من أمثلة عديدة؛ فهناك حاجة ماسة في المشهد الرقمي الحالي إلى أن تطبق الشركات التي تعمل عبر الإنترنت عملية صارمة للتحقق من الهوية لحماية أرباحها وسمعتها على حد سواء.
في هذا المقال، سنناقش الأسباب التي تجعل تحديد الهوية أمراً بالغ الأهمية لمنع الاحتيال وحماية المعلومات الحساسة والوفاء بالمتطلبات التنظيمية.
لكن التحقق من هوية المستخدم لا يقتصر على مجرد مطالبة الشخص بتحميل بطاقة هوية. فالتحقق الحديث يمكن أن يجمع بين وثائق الهوية، والبيانات البيومترية، ومصادر البيانات الموثوقة، وغيرها من المؤشرات، للتأكد من أن الشخص هو بالفعل من يدعي أنه هو، مع تحقيق التوازن بين الأمان والحاجة إلى تجربة سريعة وسلسة.
ما المقصود بالتحقق من هوية المستخدم؟
التحقق من هوية المستخدم هو عملية التأكد من أن الفرد هو بالفعل الشخص الذي يدعي أنه هو. وفي البيئة الرقمية، يعني ذلك عادةً جمع أدلة تثبت الهوية وتقييمها مقارنةً بالمعلومات الموثوقة أو السمات المرتبطة بالشخص الحقيقي.
غالبًا ما تُستخدم عملية التحقق من الهوية خلال مرحلة التسجيل، عندما تقيم المؤسسة علاقة مع عميل جديد أو موظف أو أي مستخدم آخر. كما يمكن استخدامها في مراحل لاحقة من العلاقة عندما تتغير المخاطر، مثل أثناء استعادة الحساب، أو إجراء معاملة ذات قيمة عالية، أو تغيير معلومات الحساب الحساسة، أو أي نشاط آخر يستلزم إجراء تحقق إضافي.
يرتبط التحقق من الهوية ارتباطًا وثيقًا بالمصادقة، لكنهما ليسا متطابقين. فالتحقق من الهوية يحدد أو يؤكد هوية الشخص، بينما تحدد المصادقة ما إذا كان الشخص الذي يحاول الوصول إلى حساب أو نظام ما يمتلك بيانات الاعتماد المناسبة. وقد تقوم الشركة بالتحقق من هوية شخص ما أثناء عملية التسجيل، ثم تقوم لاحقًا بمصادقته باستخدام كلمة مرور أو مفتاح مرور أو جهاز أو عامل آخر.
وقد أدى هذا الارتفاع في المعاملات عبر الإنترنت إلى تسريع الحاجة إلى قيام الشركات باستخدام التحقق من وثائق الهوية وأشكال أخرى من التحقق من الهوية لمكافحة الاحتيال، وحماية المعلومات الشخصية، وضمان أمن ومصداقية التفاعلات الرقمية في عالم يتزايد فيه الترابط.
ما هي الطرق الرئيسية للتحقق من الهوية؟
لا توجد طريقة واحدة للتحقق من الهوية. وعادةً ما تختار المؤسسات الأساليب بناءً على نوع التفاعل، ومستوى المخاطر، والمتطلبات التنظيمية، والمعلومات المتاحة.
التحقق من وثائق الهوية
يعتمد التحقق من الوثائق على الوثائق الرسمية الصادرة عن الجهات الحكومية، مثل جوازات السفر ورخص القيادة وبطاقات الهوية الوطنية، للتأكد من الهوية. ويمكن للأنظمة الرقمية التقاط صورة للوثيقة، واستخراج معلومات الهوية منها، وتحليلها للكشف عن أي علامات تدل على التزوير أو التلاعب أو الاحتيال.
التحقق البيومتري
يعتمد التحقق البيومتري على الخصائص الجسدية للمساعدة في التأكد من أن الشخص الذي يجري عملية التحقق هو صاحب الهوية الحقيقي. فعلى سبيل المثال، يمكن للتحقق من الوجه مقارنة صورة سيلفي حية بالصورة الموجودة في وثيقة الهوية. ويمكن أن يوفر الكشف عن الحيوية دليلاً إضافياً على أن العينة البيومترية مأخوذة من شخص حي وليس من صورة أو شاشة أو قناع أو أي هجوم آخر يعتمد على عرض صورة مزيفة.
ويمكن أن تشمل الأشكال الأخرى للبيانات البيومترية بصمات الأصابع، والتعرف على الصوت، ومسح قزحية العين، وذلك حسب التطبيق والتكنولوجيا المتاحة.
التحقق القائم على البيانات
كما يمكن مقارنة معلومات الهوية بمصادر بيانات موثوقة أو مرجعية. واعتمادًا على حالة الاستخدام والسلطة القضائية المعنية، قد تقوم المؤسسات بالتحقق من معلومات مثل اسم الشخص أو عنوانه أو تاريخ ميلاده أو رقم هاتفه أو أي تفاصيل أخرى تساعد في تحديد هويته.
التحقق القائم على المعرفة
تطلب الأساليب القائمة على المعرفة من المستخدمين تقديم معلومات يُتوقع أن تكون معروفة لدى الشخص الشرعي. وقد تضمنت هذه الأساليب تاريخيًا أسئلة تستند إلى السجل الشخصي أو المالي. ونظرًا لأن المعلومات الشخصية قد تتعرض للكشف من خلال الانتهاكات، والهندسة الاجتماعية، ومصادر أخرى، ينبغي على المؤسسات تقييم ما إذا كانت الأساليب القائمة على المعرفة توفر ضمانًا كافيًا لمواجهة المخاطر التي تنطوي عليها.
التحقق متعدد العوامل والمتعدد المستويات
يمكن للمؤسسات الجمع بين عدة طرق للتحقق بدلاً من الاعتماد على مؤشر واحد فقط. على سبيل المثال، قد يقوم المستخدم بتقديم وثيقة هوية، وإجراء مطابقة بيومترية للوجه، واجتياز اختبار التحقق من الحياة. ومن ثم، يمكن أن تساعد المؤشرات الإضافية المتعلقة بالمخاطر أو السياق في تحديد ما إذا كان من الضروري إجراء مزيد من التحقق.
يمكن أن تجعل طرق الطبقات من الصعب على المحتالين اختراق النظام من خلال بيانات اعتماد واحدة تم اختراقها أو تقنية هجوم واحدة، مع السماح في الوقت نفسه للشركات بتعديل مستوى الصعوبة وفقًا للمخاطر.
كيف تتم عملية التحقق من الهوية؟
يختلف مسار العمل الدقيق باختلاف المؤسسة، لكن عملية التحقق من الهوية الرقمية النموذجية تتبع عدة مراحل.
أولاً، تحدد المؤسسة مستوى ضمان الهوية المناسب لهذا التفاعل. فقد يتطلب فتح حساب مالي أو استعادة الوصول إلى حساب تعرض للاختراق أدلة أقوى مما يتطلبه إتمام معاملة منخفضة المخاطر.
ثم يقوم المستخدم بتقديم معلومات الهوية المطلوبة. وقد يتضمن ذلك إدخال البيانات الشخصية، أو التقاط صورة لوثيقة هوية صادرة عن الجهات الحكومية، أو التقاط صورة سيلفي، أو إتمام خطوة تحقق أخرى. ويمكن استخراج معلومات الوثيقة تلقائيًا، بدلاً من مطالبة المستخدم بإدخال كل حقل يدويًّا.
بعد ذلك، يقوم النظام بتقييم الأدلة. فقد يتم التحقق من صحة الوثيقة ووجود أي علامات على التلاعب بها، ومقارنة معلومات الهوية بمصادر بيانات موثوقة، كما قد تُجرى مقارنة بيومترية لتحديد ما إذا كان الشخص الذي يقدم الوثيقة مطابقًا للصورة الموجودة عليها. ويمكن أن تساعد تقنية التحقق من الحيوية في تحديد ما إذا كانت العينة البيومترية مقدمة من شخص حي.
ويمكن للمنظمة بعد ذلك استخدام تلك النتائج، إلى جانب مؤشرات المخاطر الأخرى ذات الصلة، لاتخاذ قرار. وقد تتم عملية التحقق البسيطة تلقائيًا، في حين أن الحالة غير المؤكدة أو التي تنطوي على مخاطر أعلى قد تتطلب خطوة تحقق أخرى، أو التقاط مستند جديد، أو مراجعة يدوية.
كما أن عملية التحقق لا تنتهي بالضرورة بعد التسجيل. يمكن للمنظمات إعادة التحقق من الهوية عندما تقتضي الظروف ذلك، مثل أثناء استعادة الحساب، أو في حالة وجود نشاط حساس بشكل غير عادي، أو عند حدوث تغيير كبير في مستوى المخاطر.
أين يتم استخدام التحقق من هوية المستخدم؟
تدعم عملية التحقق من الهوية بناء الثقة الرقمية عبر مجموعة واسعة من القطاعات والتفاعلات.
الخدمات المالية: تستخدم البنوك والمقرضون وشركات التكنولوجيا المالية ومزودي خدمات الدفع والمؤسسات المالية الأخرى عملية التحقق من الهوية أثناء فتح الحسابات وفي المعاملات الحساسة الأخرى. ويمكن أن يدعم هذا التحقق متطلبات «اعرف عميلك» (KYC) ومكافحة غسل الأموال (AML)، كما يساعد في منع الاحتيال المرتبط بالهويات المسروقة أو المزيفة.
التجارة الإلكترونية والمنصات التجارية: قد تقوم الشركات التي تعمل عبر الإنترنت بالتحقق من هوية المشترين أو البائعين أو التجار للحد من إساءة استخدام الحسابات والمعاملات الاحتيالية والغش في المنصات التجارية. وقد يكون التحقق مهمًا بشكل خاص عندما يكون بإمكان المستخدمين بيع السلع أو تلقي المدفوعات أو الحصول على امتيازات أخرى على المنصة.
الرعاية الصحية: قد تحتاج مؤسسات الرعاية الصحية إلى التحقق من هوية المريض قبل السماح له بالوصول إلى السجلات الحساسة أو الخدمات أو المزايا. كما يمكن أن تساعد إجراءات التحقق من الهوية الأكثر صرامة في مكافحة سرقة الهوية الطبية والمطالبات الاحتيالية.
المزايا الحكومية والعامة: يمكن للهيئات الحكومية استخدام التحقق من الهوية لتحديد الأهلية والمساعدة في ضمان حصول الشخص المعني على الخدمات والمزايا والحسابات الرقمية.
وصول الموظفين والموردين: يمكن للشركات التحقق من هوية الموظفين والمتعاقدين والموردين قبل منحهم حق الوصول إلى الأنظمة الحساسة أو المرافق أو المعلومات السرية. كما يمكن أن يدعم هذا التحقق عمليات التوظيف وإدماج الموظفين الجدد.
السفر والضيافة: يمكن لشركات الطيران والفنادق وشركات الرحلات البحرية وغيرها من شركات السفر استخدام تقنيات مسح المستندات والتحقق من الهوية لتبسيط إجراءات تسجيل وصول الضيوف والمسافرين، مع المساعدة في التأكد من صحة المستندات والهويات.
تكلفة عدم التحقق الكافي من الهوية
قد تؤدي عمليات تحديد الهوية الضعيفة إلى عواقب مالية وتنظيمية وتأثير سلبي على السمعة. فقد يستخدم المحتالون المعلومات الشخصية المسروقة أو المستندات المزورة أو الهويات المزيفة لإنشاء حسابات أو الوصول إلى حسابات قائمة أو إجراء معاملات احتيالية.
كما يمكن أن تؤدي ثغرات أمن الهوية إلى الكشف عن معلومات حساسة. ففي عام 2019، أفادت التقارير أن شركة «فيرست أمريكان فاينانشال كوربوريشن» قد كشفت عن مئات الملايين من السجلات من خلال ثغرة أمنية في أحد مواقعها الإلكترونية، مما يوضح العواقب المحتملة عندما لا يتم توفير الحماية الكافية للوصول إلى المعلومات الحساسة.
بالنسبة للشركات الخاضعة للتنظيم، تتقاطع مسألة الهوية أيضًا مع مسألة الامتثال. فقد تفرض متطلبات «اعرف عميلك» (KYC) ومكافحة غسل الأموال (AML) على المؤسسات المالية والمنظمات الأخرى الخاضعة للتنظيم تحديد هوية العملاء وإجراء العناية الواجبة المناسبة، في حين تنظم متطلبات الخصوصية كيفية جمع المعلومات الشخصية ومعالجتها وحمايتها.
لا يكمن التحدي في مجرد زيادة عدد عمليات التحقق إلى أقصى حد. فعمليات التحقق التي تسبب عقبات لا داعي لها قد تدفع المستخدمين الشرعيين إلى التخلي عن عملية التسجيل أو تواجههم صعوبات في الوصول إلى الخدمات. ولذلك، فإن التحقق الفعال من الهوية يتطلب من المؤسسات إدارة كل من قضايا الاحتيال والامتثال وتجربة العملاء بشكل متكامل.
ما هي التحديات التي تواجه عملية التحقق من الهوية؟
يتطلب إنشاء برنامج تحقق فعال من المنظمات حل عدة مشكلات متضاربة في آن واحد.
تجربة المستخدم والعوائق: تتطلب كل خطوة تحقق إضافية وقتًا وجهدًا. وقد يؤدي سوء التقاط الصور، أو التعليمات المربكة، أو التحديات غير الضرورية إلى إحباط المستخدمين الشرعيين وزيادة معدلات التخلي عن العملية.
تطور أساليب الاحتيال: تستمر تقنيات الاحتيال في التطور. فالمستندات المزورة، والهويات المزيفة، ومقاطع الفيديو المزيفة (ديب فايك)، وتبديل الوجوه، وهجمات الحقن، كلها تشكل تحديًا للأنظمة المصممة لمواجهة أساليب هجوم قديمة.
حالات الرفض الخاطئة: قد يفشل مستخدم شرعي في اجتياز عملية التحقق بسبب سوء الإضاءة أو جودة الصورة أو تلف المستندات أو عدم تطابق المعلومات أو لأسباب أخرى غير خطيرة. وتحتاج المؤسسات إلى طرق تميز بين المشكلات القابلة للتصحيح والمخاطر الحقيقية.
الحجم والتغطية الجغرافية: قد تواجه الشركات التي تعمل في أسواق متعددة آلاف الأنواع المختلفة من وثائق الهوية، ولغات ونظم كتابة متنوعة، ومتطلبات تنظيمية متغيرة.
التكامل والعمليات: يجب أن يتوافق التحقق من الهوية مع الأنظمة الحالية الخاصة بتسجيل العملاء الجدد وإدارة الحسابات وإدارة المخاطر. كما يتعين على المؤسسات تحديد كيفية التعامل عمليًّا مع النتائج غير المؤكدة والاستثناءات والمراجعات اليدوية.
الخصوصية وحماية البيانات: قد ينطوي التحقق من الهوية على معلومات شخصية وبيومترية بالغة الحساسية. وتحتاج المؤسسات إلى سياسات وإجراءات وقائية مناسبة تنظم نوع المعلومات التي يتم جمعها، وأسباب الحاجة إليها، ومدة الاحتفاظ بها، والأشخاص المصرح لهم بالوصول إليها.
أفضل الممارسات لتنفيذ عملية التحقق من الهوية
ينبغي أن يعكس برنامج التحقق من الهوية الفعال المخاطر الفعلية التي تنطوي عليها العملية، بدلاً من فرض أقصى قدر من العوائق على كل مستخدم.
ابدأ بتحديد أدلة الهوية الضرورية لكل حالة استخدام. فقد تتطلب التفاعلات ذات المخاطر العالية التحقق من صحة الوثائق، أو استخدام المقاييس الحيوية، أو التحقق من وجود الشخص، أو إشارات إضافية، في حين أن الأنشطة ذات المخاطر الأقل قد تتطلب خطوات أقل.
كما ينبغي على المؤسسات أن تجعل عملية التحقق سهلة الفهم. فوجود تعليمات واضحة بشأن التقاط المستندات وصور السيلفي والخطوات الأخرى يمكن أن يقلل من أخطاء المستخدمين وحالات الفشل غير الضرورية. وعندما يتعذر إتمام عملية التحقق، ينبغي أن يتلقى المستخدمون توجيهات مناسبة بشأن الخطوات التالية، سواء كان ذلك يعني إعادة التقاط الصورة، أو تقديم أدلة إضافية، أو الانتقال إلى عملية مراجعة أخرى.
يمكن أن يوفر تراكب الإشارات التكميلية أدلة أقوى مقارنة بالاعتماد على عملية تحقق واحدة. وفي الوقت نفسه، ينبغي على الشركات مراقبة أداء عمليات التحقق، بما في ذلك معدلات إتمام العمليات، وحالات الرفض الخاطئة، وكشف حالات الاحتيال، وحجم المراجعات اليدوية، لفهم الأماكن التي تنشأ فيها المخاطر أو العقبات غير الضرورية خلال العملية.
كما ينبغي التعامل مع عملية التحقق باعتبارها جزءًا من علاقة مستمرة. فقد يتعرض العميل الذي اجتاز عملية التحقق عند التسجيل لاحقًا لاختراق حسابه أو لتغيرات أخرى في مستوى المخاطر. ويمكن أن توفر إعادة التحقق أو التحقق المعزز ضمانًا إضافيًا عندما تستدعي ذلك الإجراءات الحساسة أو السلوك غير المعتاد.
وأخيرًا، ينبغي على المؤسسات مراجعة استراتيجيتها الخاصة بالتحقق بانتظام، مع تطور أنماط الاحتيال واللوائح التنظيمية وسلوك العملاء والتكنولوجيا. فقد لا يوفر سير العمل المصمم لمواجهة تهديدات الأمس نفس مستوى الضمان غدًا.
كيف تتطور عملية التحقق من الهوية
يؤثر الذكاء الاصطناعي على جانبي معادلة الهوية. يمكن للشركات استخدام الذكاء الاصطناعي والتعلم الآلي لتحليل المستندات والبيانات البيومترية وإشارات الاحتيال بشكل أكثر كفاءة، في حين يمكن للمحتالين استخدام الذكاء الاصطناعي التوليدي لإنشاء مستندات مزورة وهويات اصطناعية ومقاطع فيديو مزيفة (ديب فايك) وهجمات أخرى تزداد إقناعًا.
وهذا يجعل مستقبل التحقق من الهوية لا يقتصر على إضافة طريقة تحقق جديدة واحدة فحسب، بل يتعلق أكثر بالجمع بين أشكال متعددة من الأدلة. ويمكن أن تساعد تقنيات تحليل المستندات، والبيانات البيومترية، والتحقق من الحيوية، وكشف الاحتيال، والإشارات السياقية، المؤسسات على تكوين فهم أكثر شمولاً للشخص أو الطرف الفاعل وراء أي تفاعل.
كما أن ذلك يزيد من أهمية عمليات التحقق التي تتجاوز مرحلة التسجيل. فالتحقق من الهوية في بداية العلاقة لا يزال أمراً بالغ الأهمية، لكن الثقة قد تتغير بمرور الوقت. فقد تؤدي عمليات الاستيلاء على الحسابات، ومشاركة بيانات الاعتماد، واختراق الأجهزة، وغيرها من الأحداث، إلى تحويل تفاعل كان موثوقاً به سابقاً إلى تفاعل ينطوي على مخاطر أعلى.
والنتيجة هي التحول من التعامل مع التحقق من الهوية باعتباره خطوة واحدة عند فتح الحساب، إلى تقييم الهوية والمخاطر في اللحظات التي تكون فيها هناك حاجة فعلية إلى تأكيد إضافي.
كيف يمكن لـ «Microblink» أن تساعدك
تساعد Microblink المؤسسات على التحقق من الهوية مع الحد من العقبات غير الضرورية خلال التفاعلات الرقمية. تجمع تقنيتنا بين تحليل المستندات، والتحقق من الهوية، والبيانات البيومترية، والتحقق السلبي من الحيوية، وكشف الاحتيال، لمساعدة الشركات على تحديد ما إذا كان يمكن الوثوق بالشخص وأدلة الهوية المقدمة أثناء التفاعل.
تقوم تقنية المستندات من «مايكروبلينك» بالتقاط واستخراج معلومات الهوية، مع تحليل المستندات للكشف عن أي علامات على الاحتيال أو التلاعب. ويمكن أن توفر مطابقة الوجه البيومترية والتحقق السلبي من الحيوية أدلة إضافية على أن الشخص الذي يقدم المستند هو حامله الشرعي وأنه حاضر فعليًّا أثناء التفاعل.
بفضل واجهات برمجة التطبيقات (API) وحزم أدوات التطوير (SDK) المصممة للتكامل مع التجارب الرقمية الحالية، يمكن للمؤسسات دمج عملية التحقق من الهوية في إجراءات التسجيل وغيرها من سير العمل، مع تكييف متطلبات التحقق وفقًا لحالات الاستخدام الخاصة بها.
مع تطور حالات الاحتيال المتعلقة بالهوية، أصبح التحقق الفعال يعتمد بشكل متزايد على الجمع بين عدة مؤشرات بدلاً من الاعتماد على فحص واحد فقط. ويساعد ذلك الشركات على تعزيز قراراتها المتعلقة بالهوية مع الحفاظ على سلاسة حركة المستخدمين الشرعيين.
مع تزايد تعقيد التفاعلات الرقمية وحالات انتحال الهوية، فإن المؤسسات الأكثر استعدادًا لحماية نفسها ستكون تلك التي لا تعتبر التحقق من الهوية مجرد عقبة يواجهها العملاء مرة واحدة، بل تعتبره الأساس لبناء الثقة والحفاظ عليها.
