كانت سارة تعمل في شركة ميريديان المالية منذ أكثر من عام، وكانت فخورة بمدى تأقلمها السريع مع بيئة العمل. مكتبها مرتّب، ومواعيدها محترمة، وهاتفها الشخصي — جهاز أندرويد أنيق اشترته قبل ثلاث سنوات — لا يكاد يفارق يدها من الثامنة صباحاً حتى السادسة مساءً.

ولم يُخبرها أحدٌ قط أن في ذلك أي مشكلة.

في صباح أحد أيام الثلاثاء من شهر مارس، بدا اتصال الإنترنت في المكتب بطيئاً، فتصرفت سارة بشكل اعتبرته طبيعياً تماماً: وصّلت هاتفها الشخصي بالشبكة الداخلية للشركة مستخدمةً بيانات الاعتماد المثبّتة على لوحة الإعلانات في غرفة المطبخ. كانت بحاجة إلى تنزيل تطبيق جديد لمسح المستندات ضوئياً رأته يُعلَن عنه على وسائل التواصل الاجتماعي — يُدعى DocuScan Pro — لتحويل الإيصالات الورقية إلى ملفات رقمية لتقرير مصروفات إحدى الحملات.

كان التطبيق مجانياً، وحاز تقييم أربع نجوم وأكثر من خمسين ألف عملية تنزيل. بدا شرعياً تماماً.

خلال التثبيت، ظهرت شاشة الأذونات. تصفّحتها سارة بسرعة، كما يفعل معظم الناس.

"هل تسمحين لـ DocuScan Pro بالوصول إلى جهات الاتصال والميكروفون والكاميرا والموقع والملفات؟"

ضغطت على السماح بالكل دون أن تفكر للحظة. كان لديها اجتماع بعد أربع دقائق.

ما لم تكن سارة تعلمه هو أن DocuScan Pro كان تطبيقاً مُعاد تغليفه — نسخة مقلّدة من أداة شرعية، رُفعت على متجر تطبيقات غير رسمي وصلت إليه عبر إعلان على وسائل التواصل الاجتماعي. وكان مدفوناً داخل كوده برنامج تجسس خفيف الوزن. وفي غضون ساعات من التثبيت، أقدم التطبيق بصمت على جمع قائمة جهات اتصالها، وقراءة عدد من مرفقات البريد الإلكتروني المحفوظة في مجلد التنزيلات، وتسجيل بيانات اعتماد الشبكة اللاسلكية التي اتصلت بها.

ولأن هاتف سارة كان متصلاً الآن بالشبكة الداخلية لشركة ميريديان، شملت البيانات المسرّبة شيئاً أشد خطورة بكثير من رسائلها الشخصية: بيانات الدخول التي تلقّتها مؤخراً عبر البريد الإلكتروني للوصول إلى بوابة العملاء الجديدة للشركة — وهي بوابة تحتوي على سجلات مالية لأكثر من مئتي عميل تجاري.

بعد ثلاثة أسابيع، استدعاها دانيال، مدير أمن تقنية المعلومات في الشركة، إلى غرفة اجتماعات صغيرة. كان تعبير وجهه هادئاً لكنه جاد.

"سارة، رصدنا محاولات تسجيل دخول غير اعتيادية على بوابة العملاء"، قال وهو يدفع تقريراً مطبوعاً عبر الطاولة. "نجح بعضها. يعود نمط الوصول إلى جهاز اتصل بشبكتنا في منتصف مارس. هل تتعرفين على عنوان MAC هذا؟"

حدّقت سارة في تلك السلسلة من الأحرف والأرقام. أحست بثقل في معدتها.

"هذا... ربما يكون هاتفي"، قالت بهدوء.

ما تلا ذلك كان أسبوعين من التحقيقات الجنائية الرقمية، وإشعار إلزامي بالاختراق للعملاء المتضررين، ومراجعة طارئة لكل جهاز شخصي سبق أن اتصل بالشبكة الداخلية. وبلغت التكلفة — من ساعات العمل التقني والاستشارات القانونية وخسارة ثقة العملاء — عشرات الآلاف من الدولارات.

لم تُفصل سارة من عملها. اتفق دانيال وقسم الموارد البشرية على أنها تصرفت دون أي نية سيئة، وأنها لم تتلقَّ أي تدريب أمني حول هذا الموضوع. لكن التجربة هزّتها بعمق.

"اعتقدت أنه مجرد هاتفي الشخصي"، قالت لأحد زملائها لاحقاً. "لم أتصور أن له أي علاقة بالعمل."

وهذا بالضبط كان جوهر المشكلة. في عالم تحمل فيه أجهزتنا الشخصية بريدنا الإلكتروني الوظيفي، وتتصل بشبكات المكاتب، وتخزّن المرفقات المُنزَّلة، فقد اختفى عملياً الخط الفاصل بين ما هو "شخصي" وما هو "مهني". كل تطبيق تثبّته، وكل شبكة تنضم إليها، وكل إذن توافق عليه على جهازك الشخصي، قد تترتب عليه عواقب تمتد إلى ما هو أبعد بكثير من شاشتك الصغيرة.

ردّت شركة ميريديان على هذا الحادث بإطلاق سياسة رسمية لاستخدام الأجهزة الشخصية في العمل (BYOD)، تُلزم بتسجيل كل جهاز شخصي يُستخدم لأغراض وظيفية، وإلحاقه ببرنامج إدارة الأجهزة المحمولة، والحرص على تحديثه باستمرار. كما أطلقت الشركة برنامجاً إلزامياً للتوعية الأمنية — بدأ، وبشكل مناسب، بتهديدات الأجهزة المحمولة.

وكانت سارة أول من أتمّ هذا التدريب. وهي الآن تقرأ كل شاشة أذونات بعناية. كل شاشة، دون استثناء.