Didit تجتاز iBeta Level 2: 300 هجوم، ولم يمر أي منها

اجتزنا iBeta Level 2. في 9 نوفمبر 2026، أكّدت iBeta Quality Assurance أن تقنية التحقق من الحيوية لدى Didit تتوافق مع معيار ISO/IEC 30107-3 لكشف هجمات العرض (Presentation Attack Detection) في المستوى 2: نفّذ المختبر 300 هجوم عرض ضدها، ولم ينجح أي منها.

أريد أن أشرح لماذا يهمني هذا، ولماذا أعتقد أنه يجب أن يهم كل من يدير منتجًا على الإنترنت. هذا ليس بيانًا صحفيًا. إنه السبب الذي جعلنا نبني Didit بالطريقة التي بنيناها بها.

ما الذي اجتزناه

iBeta Quality Assurance مختبر مستقل للقياسات الحيوية، معتمد من NIST/NVLAP (رمز المختبر 200962) لإجراء الاختبارات وفق ISO/IEC 30107-3، وهو المعيار الدولي لاختبار كشف هجمات العرض. هجوم العرض هو أي محاولة لخداع فحص الوجه بشيء ليس شخصًا حيًا: صورة، أو فيديو على شاشة، أو قناع.

النتيجة بسيطة. 300 هجوم. 0 مقبول. نسبة نجاح الهجمات 0%.

المستوى 2 هو ثاني مستويات iBeta. يستخدم أدوات هجوم أكثر تطورًا وأعلى تكلفة من المستوى 1، يصنعها مهاجمون يملكون مهارة أكبر ووقتًا أطول. المستوى 2 اختبر التحقق النشط من الحيوية لدينا. أما التحقق السلبي من الحيوية فقد اجتاز المستوى 1 في فبراير 2026، بعد 360 محاولة ونسبة نجاح هجمات 0%. لذلك تحمل Didit اليوم الاثنين معًا: iBeta Level 1 وLevel 2.

اقرأ خطاب التأكيد. وكل الشهادات الأخرى التي نحملها موجودة في صفحة الثقة لدينا.

المستوى 1 مقابل المستوى 2، بكلمات بسيطة

	المستوى 1	المستوى 2
مهارة المهاجم	لا خبرة خاصة	متوسطة: أجرى اختبارًا آخر واحدًا على الأقل من هذا النوع ويفهم كيف يعمل التحقق من الحيوية
أدوات الهجوم	أشياء تجدها في المنزل أو في المكتب، بتكلفة مواد تصل إلى 30 دولارًا	أدوات أغلى مثل الطابعات ثلاثية الأبعاد وأقنعة الراتنج وأقنعة اللاتكس، بتكلفة مواد تصل إلى 300 دولار
الهجمات المسموح بمرورها	0%	حتى 1%
ما الذي يثبته	النظام يوقف محاولات الخداع الرخيصة والشائعة	النظام يصمد أمام مهاجم ماهر يملك تزييفًا أفضل

المصدر: منهجية اختبار PAD المنشورة من iBeta. تسمح منهجية iBeta بمرور ما يصل إلى 1% من الهجمات في المستوى 2. نحن سجّلنا 0.

يُختبر المستويان بالطريقة نفسها: مختبر لا يعمل لصالحنا يصنع نماذج مزيفة، ويعرضها على النظام، ويحسب كم منها يمر. ما يتغير هو جودة التزييف. المستوى 1 يسأل هل توقف الهجمات الرخيصة والشائعة. المستوى 2 يسأل هل تصمد عندما يبذل أحدهم جهدًا حقيقيًا.

لماذا يهم هذا الآن

قبل عشر سنوات، كان تزييف الوجه يتطلب مهارة. اليوم يكفيه حاسوب محمول وفترة بعد ظهر.

هذا ليس رأيي. في نوفمبر 2024، أصدرت وحدة الجرائم المالية التابعة لوزارة الخزانة الأمريكية، FinCEN، تنبيهًا بشأن وسائط التزييف العميق قالت فيه إنها رصدت منذ 2023 مزيدًا من تقارير النشاط المشبوه التي تصف استخدام التزييف العميق "للتحايل على أساليب التحقق من الهوية والمصادقة". ومن مؤشرات الخطر التي ذكرتها: عميل يستخدم "إضافة كاميرا ويب من طرف ثالث أثناء فحص تحقق مباشر".

قدّر مركز الخدمات المالية في Deloitte في 2024 أن الذكاء الاصطناعي التوليدي قد يرفع خسائر الاحتيال في الولايات المتحدة إلى 40 مليار دولار بحلول 2027، مقارنة بـ 12.3 مليار في 2023. وفي يناير 2026، حلّل Cybercrime Atlas التابع للمنتدى الاقتصادي العالمي 17 أداة لتبديل الوجوه ووجد أن بعضها يقدّم بالفعل "انتحالًا فوريًا عالي الدقة قادرًا على تقويض KYC الرقمي". وأفادت وكالة الأمن السيبراني الأوروبية، ENISA، في 2022 بأن الهجمات بالأقنعة وحقن الفيديو في تزايد.

هذه هي الهجمات التي يجب أن يوقفها فحص الوجه:

• الصور المطبوعة. أقدم حيلة. يرفع أحدهم نسخة مطبوعة لوجه شخص آخر. رخيصة، وما زالت تُجرَّب كل يوم.
• إعادة التشغيل على الشاشة. فيديو للشخص الحقيقي يُعرض على هاتف أو جهاز لوحي أمام الكاميرا. يرمش، ويتحرك، ويبدو حيًا.
• الأقنعة. من الورق أو اللاتكس أو الراتنج أو السيليكون. الجيدة منها لها عمق وملمس لا تملكهما الصورة المسطحة.
• التزييف العميق. وجه اصطناعي، أو وجه حقيقي يُركَّب على شخص آخر في الوقت الفعلي. عندما يُعرض على الكاميرا عبر شاشة، يكون هجوم عرض.
• هجمات الحقن. يتخطى المهاجم الكاميرا تمامًا ويُدخل فيديو مسجّلًا مسبقًا أو اصطناعيًا إلى التطبيق، عبر كاميرا افتراضية أو محاكي أو جهاز معدّل. لا يوجد تزييف مادي يمكن رؤيته. كتبنا عن هذا بالتفصيل في مقالنا عن كشف هجمات الحقن.

اختبار iBeta يخص هجمات العرض: نماذج مزيفة تُعرض على الكاميرا. الحقن مسار هجوم مختلف، ولهذا فإن التحقق من الحيوية وحده ليس الإجابة الكاملة.

إثبات وجود إنسان خلف الشاشة

هذا ما أؤمن به. الإنترنت يمتلئ بأشياء تبدو كالبشر وليست كذلك. روبوتات تسجّل حسابات. مزارع حسابات تفتح آلاف الملفات الشخصية بهويات مسروقة أو اصطناعية. وكلاء ذكاء اصطناعي يتصرفون نيابة عن شخص لا تراه.

يصف تقييم تهديدات الجرائم السيبرانية لعام 2026 الصادر عن Europol خدمة واحدة لمزارع بطاقات SIM تقف وراء أكثر من 49 مليون حساب على الإنترنت، ويقول إن هذه المزارع تتيح للشبكات الإجرامية "تجاوز بروتوكولات KYC والاشتراك في آلاف الخدمات في وقت واحد". ويصف فريق المدفوعات في الاحتياطي الفيدرالي الأمريكي احتيال الهوية الاصطناعية بأنه "يُقال إنه أسرع أنواع الجرائم المالية نموًا في الولايات المتحدة"، مع خسائر بالمليارات كل عام.

والمعايير تتجه في الاتجاه نفسه. إرشادات الهوية الرقمية من NIST، SP 800-63A-4 (يوليو 2025)، تشترط كشف هجمات العرض كلما جرت مقارنة القياسات الحيوية عن بُعد، مع اختباره وفق ISO/IEC 30107-3، "لتأكيد الحضور الحقيقي لإنسان حي".

كلمات المرور والرموز تثبت أن أحدًا يعرف شيئًا. لكنها لا تثبت أن إنسانًا حقيقيًا موجود. التحقق من الحيوية والمصادقة البيومترية يثبتان ذلك. وجه حي، مطابق لهوية تم التحقق منها، هو أقوى إشارة نملكها على أن شخصًا محددًا حاضر، الآن، وليس روبوتًا أو مزرعة حسابات.

لكن إشارة واحدة لا تكفي أبدًا. في Didit نضع الوجه بجانب كل ما يمكننا رؤيته في الفحص نفسه:

• التحقق من الحيوية. سلبي، أو 3D Flash، أو 3D Action and Flash، حسب مقدار المخاطرة الذي تريد قبوله.
• مطابقة الوجه والبحث بالوجه. يُقارَن الوجه الحي بالوثيقة، ويُبحث عنه بين مستخدميك وقوائم الحظر لديك لاكتشاف الشخص نفسه وهو يفتح حسابًا ثانيًا.
• المصادقة البيومترية. عندما يقوم مستخدم عائد بشيء حساس، يُجرى فحص حيوية جديد مع مطابقة للوجه الذي تحقق به سابقًا.
• تحليل الجهاز وعنوان IP. بصمة الجهاز تكشف الجهاز الفعلي نفسه خلف حسابات كثيرة، وفحوص IP ترصد شبكات VPN والخوادم الوكيلة وTor وعدم تطابق المواقع.
• إشارات البريد الإلكتروني والهاتف في السجل نفسه مع نتيجة التحقق من الهوية.

مجتمعةً، أعتقد أن هذا يصبح خط الدفاع الأول للإنترنت. ليس جدارًا حول تطبيق واحد، بل سؤال بسيط يُطرح في اللحظات المهمة: هل هذا شخص حقيقي، وهل هو الشخص الصحيح؟

المستوى 2 دليل مستقل على أن جزء الوجه من هذه الإجابة يصمد أمام الهجمات المتقدمة. ليس ادعاءنا. بل نتيجة مختبر.

كل ما خضعنا للاختبار فيه

لا نطلب من أحد أن يصدّقنا على كلامنا في الأمان. هذه هي القائمة الكاملة اليوم، والتفاصيل في صفحة الثقة وفي نظرتنا العامة على منظومة الشهادات.

الشهادة	ما الذي تغطيه	التاريخ
iBeta PAD Level 2 (ISO/IEC 30107-3)	التحقق النشط من الحيوية أمام هجمات العرض المتقدمة. 300 هجوم، نسبة نجاح 0%.	نوفمبر 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	التحقق السلبي من الحيوية أمام هجمات العرض الشائعة. 360 محاولة، نسبة نجاح 0%.	فبراير 2026
SOC 2 Type 1	تصميم ضوابط الأمان والتوافر والسرية لدينا.	أبريل 2026
SOC 2 Type 2	كيف عملت هذه الضوابط نفسها خلال فترة مراقبة.	صدر التقرير في يوليو 2026
ISO/IEC 27001:2022	نظام إدارة أمن المعلومات لدينا، معتمد من Bureau Veritas.	ساري حتى يونيو 2027
البيئة التجريبية للخزانة الإسبانية	خلصت Tesoro وBanco de España وSEPBLAC وCNMV إلى أن التحقق عن بُعد لدينا آمن على الأقل بقدر التعرّف على شخص حضوريًا.	من نوفمبر 2024 إلى يوليو 2025
التحقق من العمر من FSM	نظام التحقق من العمر لدينا، معتمد وفق قواعد حماية القاصرين الألمانية.	يونيو 2026
FIDO Alliance	عضو منتسب في الهيئة التي تقف وراء FIDO2 ومفاتيح المرور. عضوية، وليست شهادة.	أغسطس 2026
رأي بشأن التسجيل عن بُعد وفق EBA	رأي قانوني مستقل بأن التسجيل عن بُعد لدينا يستوفي إرشادات EBA بشأن تسجيل العملاء عن بُعد.	عند الطلب
GDPR	نعمل بصفتنا معالج بيانات بموجب GDPR، مع ضوابط المادة 32 واتفاقية معالجة البيانات.	مستمر

نتيجة البيئة التجريبية الإسبانية هي الأكثر فخرًا بالنسبة لي، لأن الجهات التنظيمية توصلت إليها بنفسها. يمكنك قراءة استنتاجاتها.

ماذا يعني هذا إذا كنت تستخدم Didit

• لا شيء لتغييره. النتيجة تغطي التحقق النشط من الحيوية لدى Didit. إذا كان مسار عملك يستخدمه، فلا شيء تغيّره في التكامل.
• دليل يمكنك تقديمه. عندما يسألك بنك شريك أو مدقق أو جهة تنظيمية كيف توقف محاولات الخداع، يمكنك الإشارة إلى نتيجة مختبر معتمد وفق معيار منشور، بدلًا من وعد مزوّد.
• أكثر من فحص للوجه. اجمع التحقق من الحيوية مع البحث بالوجه وتحليل الجهاز وعنوان IP والمصادقة البيومترية في مسار عمل واحد، وفي سجل واحد.

الأسئلة الشائعة

ما هو iBeta Level 2؟

هو المستوى الثاني من اختبارات كشف هجمات العرض التي تجريها iBeta Quality Assurance وفق ISO/IEC 30107-3. مقارنة بالمستوى 1، يستخدم المختبر أدوات هجوم أكثر تطورًا وأعلى تكلفة، مصنوعة بوقت ومهارة أكبر.

ما الذي حققته Didit؟

نفّذت iBeta 300 هجوم عرض ضد تقنية التحقق من الحيوية لدى Didit ولم يُقبل أي منها، أي نسبة نجاح هجمات 0%. خطاب التأكيد مؤرخ في 9 نوفمبر 2026.

هل Didit في iBeta Level 1 أم Level 2؟

الاثنان. اجتازت Didit iBeta Level 1 في فبراير 2026 بالتحقق السلبي من الحيوية، وLevel 2 في نوفمبر 2026 بالتحقق النشط من الحيوية، وكلاهما بنسبة نجاح هجمات 0%.

ما هو ISO/IEC 30107-3؟

هو الجزء من معيار ISO/IEC 30107 الذي يحدد كيفية اختبار كشف هجمات العرض في الأنظمة البيومترية والإبلاغ عنه، بحيث يمكن مقارنة نتائج المختبرات والمزوّدين المختلفين.

من هي iBeta؟

iBeta Quality Assurance مختبر اختبار مستقل في الولايات المتحدة، معتمد من NIST/NVLAP (رمز المختبر 200962) لاختبار كشف هجمات العرض وفق ISO/IEC 30107-3.

هل يغطي iBeta Level 2 التزييف العميق وهجمات الحقن؟

يختبر iBeta Level 2 هجمات العرض، أي النماذج المزيفة التي تُعرض على الكاميرا. ولا يختبر هجمات الحقن التي تتخطى الكاميرا. لهذا نجمع التحقق من الحيوية مع إشارات الجهاز وعنوان IP وغيرها.

هل يمكنني رؤية الخطاب؟

نعم. اقرأ خطاب التأكيد، وستجد تقاريرنا الأخرى في صفحة الثقة.

هل أحتاج إلى تغيير التكامل لدي؟

لا. تختار التحقق السلبي أو النشط من الحيوية لكل مسار عمل في Business Console، ولا يتغير شيء في التكامل لديك.

كيف أجرّبه؟

أنشئ حسابًا مجانيًا على business.didit.me، وابنِ مسار عمل يتضمن التحقق من الحيوية، وشغّله في البيئة التجريبية. تشرح وثائق التحقق من الحيوية كل طريقة.

الخاتمة

أصبح الاحتيال رخيصًا. ويجب أن يكون إثبات أنك إنسان رخيصًا أيضًا، وأن يكون قويًا. هذا هو المعيار الذي نلتزم به، والمستوى 2 فحص مستقل آخر يؤكد أننا نحققه.

إذا أردت أن تراه يعمل، ابدأ مجانًا. وإذا أردت التقارير أولًا، فهي في صفحة الثقة لدينا.

Alberto Rosas، الرئيس التنفيذي لـ Didit