كشف تحقيق نشره موقع "عربي بوست" عن تغييرات جديدة بدأت شركة "باي بال" تطبيقها على المستخدمين الفلسطينيين منذ يونيو/حزيران 2026، تتضمن تشديد إجراءات التحقق من الهوية، بالتزامن مع انتقال عمليات الشركة في الأراضي الفلسطينية المحتلة إلى كيان قانوني إسرائيلي جديد، واعتمادها على شركة إسرائيلية متخصصة في التحقق الرقمي والبيومتري.

وبحسب التحقيق، تفتح هذه التغييرات تساؤلات حول طبيعة البيانات التي تجمعها "باي بال" من المستخدمين الفلسطينيين، والجهات التي تعالجها، والضمانات القانونية والأمنية المحيطة بها، خصوصاً عندما يتعلق الأمر بوثائق الهوية وصور الوجه، وهي بيانات يصعب على أصحابها تغييرها أو استبدالها في حال تعرضها للاختراق.

انتقال عمليات "باي بال" إلى كيان إسرائيلي

وأشار التحقيق إلى أن "باي بال" بدأت في يونيو/حزيران 2026 مرحلة جديدة من إعادة هيكلة عملياتها في الأراضي الفلسطينية المحتلة، تمهيداً للانتقال من كيان "PayPal Pte. Ltd" المسجل في سنغافورة إلى شركة تابعة جديدة تحمل اسم "PayPal Israel Payment Services Ltd".

وبحسب التحقيق، تقدمت الشركة الجديدة بطلب للحصول على ترخيص مزود خدمات دفع من هيئة الأوراق المالية الإسرائيلية، ما يعني أن عمليات "باي بال" في المنطقة أصبحت مرتبطة بصورة مباشرة بالإطار التنظيمي والرقابي الإسرائيلي.

ويشير التحقيق إلى أن هذا الانتقال يأتي في ظل تعليمات أصدرتها هيئة الأوراق المالية الإسرائيلية في نوفمبر/تشرين الثاني 2024، وتلزم شركات الدفع المرخصة بتطبيق إجراءات أكثر تشدداً للتحقق من هوية العملاء، بما في ذلك التحقق الإلكتروني من الوثائق الرسمية، وفي بعض الحالات التحقق البيومتري من خلال مطابقة صورة الوجه مع وثيقة الهوية.

ما البيانات التي تجمعها "باي بال"؟

وبحسب التحقيق، لا تقتصر البيانات التي تجمعها "باي بال" على المعلومات الأساسية اللازمة لإتمام عمليات الدفع، إذ تشمل الاسم والعنوان والبريد الإلكتروني وأرقام الهواتف والبيانات المصرفية وسجل المعاملات.

كما تجمع المنصة، وفق وثائق الخصوصية التي راجعها التحقيق، بيانات تقنية وسلوكية مثل نوع الجهاز ونظام التشغيل وعنوان الإنترنت (IP) والموقع الجغرافي التقريبي، إضافة إلى معلومات مرتبطة بطريقة استخدام الخدمة.

وعند تطبيق إجراءات "اعرف عميلك" (KYC) أو الاشتباه بوجود مخاطر مرتبطة بالاحتيال، قد يُطلب من المستخدم رفع وثائق رسمية مثل جواز السفر أو بطاقة الهوية أو رخصة القيادة، إلى جانب صورة شخصية أو مقطع فيديو قصير للتحقق البيومتري من مطابقة الوجه مع الوثيقة.

ويشير التحقيق إلى أن البيانات البيومترية ووثائق الهوية تختلف عن كلمات المرور أو البطاقات المصرفية، إذ لا يستطيع المستخدم ببساطة تغيير وجهه أو وثيقة هويته إذا تعرضت هذه البيانات للاختراق.

شركة إسرائيلية تعالج بيانات التحقق

ويكشف التحقيق أن "باي بال" تعتمد، وفق وثائق معالجة البيانات الخاصة بها، على شركة Au10tix Limited الإسرائيلية في جانب من عمليات التحقق الرقمي من الهوية.

وتتخصص "Au10tix" في استخراج البيانات آلياً من جوازات السفر وبطاقات الهوية ورخص القيادة، ثم مطابقة صورة المستخدم أو صورة "السيلفي" مع الصورة الموجودة في الوثيقة باستخدام تقنيات التعرف على الوجه، إلى جانب تقنية "Liveness Detection" التي تهدف إلى التأكد من أن الشخص الموجود أمام الكاميرا شخص حقيقي وليس صورة ثابتة أو هوية مزورة.

وبحسب التحقيق، يمر مسار التحقق عبر عدة مراحل، تبدأ برفع المستخدم وثيقة الهوية وصورته، ثم قراءة بيانات الوثيقة آلياً، ومطابقة الوجه، والتحقق من حيوية الصورة، قبل إدراج نتيجة التحقق ضمن إجراءات الامتثال وإدارة المخاطر ومكافحة الاحتيال في "باي بال".

خلفية أمنية للشركة الإسرائيلية

وتوقف التحقيق عند خلفية "Au10tix" المؤسسية، مشيراً إلى أن الشركة خرجت من شبكة شركات أمنية إسرائيلية مرتبطة بمجال أمن المطارات والبنى التحتية.

وبحسب التحقيق، أسس "رون أتزمون" شركة "Au10tix"، بينما أسس والده "منحيم أتزمون" شركة "ICTS International" الأمنية، بالتعاون مع مسؤولين سابقين في جهاز الأمن العام الإسرائيلي ومسؤولين أمنيين سابقين في شركة الطيران الإسرائيلية "العال".

كما أشار التحقيق إلى أن تقارير إعلامية متخصصة ربطت السجل المهني لرون أتزمون بالوحدة 8200 التابعة للاستخبارات العسكرية الإسرائيلية.

وتحوّلت "Au10tix" خلال السنوات الماضية إلى مزود عالمي لخدمات التحقق الرقمي والبيومتري، وتضم قائمة الشركات التي تستخدم خدماتها، وفق التحقيق، "X" و"TikTok" و"Uber" و"Coinbase" و"LinkedIn" إلى جانب "PayPal".

ويؤكد التحقيق أن وجود هذه الخلفية أو ارتباط الشركة ببيئة أمنية واستخباراتية إسرائيلية لا يشكل بحد ذاته دليلاً على إساءة استخدام بيانات المستخدمين، لكنه يفسر، بحسب التحقيق، جانباً من التساؤلات حول الجهة التي تعالج البيانات البيومترية لمستخدمي المنصة.

سجل من الحوادث الأمنية

كما تناول التحقيق سجل الحوادث الأمنية المرتبطة بـ"Au10tix" و"PayPal".

ووفق التحقيق، تعرضت "Au10tix" بين ديسمبر/كانون الأول 2022 ويونيو/حزيران 2024 لاختراق إلكتروني بدأ بإصابة جهاز أحد مسؤولي العمليات ببرمجية خبيثة، وأدى إلى تسريب بيانات اعتماد لموظفين عبر منصة "تلغرام".

وأشار التحقيق إلى أن تقارير لاحقة تحدثت عن إمكانية الوصول إلى أنظمة تضم وثائق هوية وصور جوازات سفر وبيانات بيومترية.

وفي فبراير/شباط 2026، تناول تقرير آخر شهادات مستخدمين قالوا إن أسماءهم الحقيقية بدأت تظهر في عمليات بحث من داخل إسرائيل بعد فترة قصيرة من رفع وثائقهم إلى نظام "Au10tix".

ويؤكد التحقيق أن هذه الملاحظات لا تشكل دليلاً قاطعاً على وجود تسريب للبيانات من داخل الشركة، لكنها أثارت تساؤلات حول طريقة إدارة بيانات التحقق البيومتري.

أما "باي بال" نفسها، فقد تعرضت في ديسمبر/كانون الأول 2022 لهجوم إلكتروني طال نحو 35 ألف حساب، وفق التحقيق، باستخدام بيانات تسجيل دخول مسربة من خدمات أخرى، ما أدى إلى كشف معلومات شخصية شملت أسماء وعناوين وأرقام ضمان اجتماعي وتواريخ ميلاد.

وفي يناير/كانون الثاني 2025، توصلت "باي بال" إلى تسوية بقيمة مليوني دولار مع هيئة الخدمات المالية في نيويورك بعد اتهامها بعدم الالتزام ببعض متطلبات الأمن السيبراني.

كما كشفت الشركة في فبراير/شباط 2026 عن حادثة منفصلة مرتبطة بخطأ برمجي في خدمة "PayPal Working Capital"، أدى إلى كشف بيانات بعض العملاء خلال فترة قاربت ستة أشهر، وشملت البيانات الاسم والبريد الإلكتروني ورقم الهاتف وعنوان العمل ورقم الضمان الاجتماعي وتاريخ الميلاد.

فلسطين غير موجودة في قائمة الدول

ومن أبرز ما تناوله التحقيق طبيعة الخدمة التي تقدمها "باي بال" للفلسطينيين مقارنة بالمستوطنين الإسرائيليين.

فبحسب التحقيق، لا يظهر خيار "فلسطين" ضمن قائمة الدول عند إنشاء حساب جديد، الأمر الذي يضطر بعض الفلسطينيين، ومن بينهم المقيمون في شرق القدس أو حاملو وثائق إسرائيلية، إلى تسجيل حساباتهم باعتبارهم مقيمين في "إسرائيل" للاستفادة من بعض خدمات المنصة.

في المقابل، تتيح "باي بال" خدماتها للمستوطنين الإسرائيليين المقيمين في مستوطنات الضفة الغربية، وهو ما اعتبره التحقيق أحد أبرز أوجه التفاوت في الوصول إلى الخدمات الرقمية والاقتصاد الرقمي داخل المنطقة نفسها.

كما أشار التحقيق إلى انتقادات وجهها 11 عضواً في الكونغرس الأميركي إلى إدارة "باي بال"، على خلفية ما اعتبروه تفاوتاً بين وصول الفلسطينيين والمستوطنين الإسرائيليين إلى خدمات الاقتصاد الرقمي.

وتناول التحقيق كذلك تطبيق "Venmo"، المملوك لـ"باي بال"، بعد تقارير تحدثت عن تعطيل بعض المدفوعات التي تضمنت إشارات إلى فلسطين، بما فيها تحويلات مرتبطة بصندوق للإغاثة الفلسطينية الطارئة.

مخاوف تتجاوز الأراضي الفلسطينية

ولا يحصر التحقيق مخاوف الخصوصية في المستخدمين الفلسطينيين، إذ يشير إلى أن سياسات جمع البيانات وإجراءات التحقق من الهوية لدى "باي بال" تطبق بدرجات متفاوتة على مستخدمي المنصة في دول مختلفة، بما فيها الدول العربية.

وعندما يُطلب من المستخدم توثيق هويته، قد تتضمن العملية رفع وثيقة رسمية وصورة للوجه، وهي بيانات تشير وثائق الشركة إلى إمكانية معالجتها عبر مزودين خارجيين متخصصين في التحقق الرقمي، من بينهم "Au10tix".

ويشدد التحقيق في الوقت نفسه على أن ذلك لا يعني أن جميع بيانات مستخدمي "باي بال" تُنقل إلى شركة إسرائيلية، ولا أنها تصبح متاحة تلقائياً لأي جهة حكومية، لكنه يطرح تساؤلات حول حوكمة البيانات والجهات التي تعالجها والضمانات القانونية المفروضة على استخدامها وحمايتها.

شبكة أوسع لـ«باي بال» داخل إسرائيل

وبحسب التحقيق، فإن علاقة "باي بال" بـ"إسرائيل" لا تقتصر على التعاقد مع "Au10tix"، بل تمتد إلى استثمارات واستحواذات وشبكة من الكوادر والشركات.

وأشار التحقيق إلى استحواذ "باي بال" على شركة "FraudSciences" عام 2008، والتي أصبحت نواة لمركز مكافحة الاحتيال التابع للشركة في "إسرائيل"، ثم الاستحواذ على "CyActive" المتخصصة في التنبؤ بالهجمات الإلكترونية، إلى جانب توسع الشركة عبر "Curv" و"Cymbio".

كما أشار التحقيق إلى وجود موظفين في مراكز "باي بال" الإسرائيلية تظهر سيرهم المهنية عملاً سابقاً في وحدات الاستخبارات العسكرية الإسرائيلية، وعلى رأسها الوحدة 8200.

ويؤكد التحقيق أن وجود موظفين سابقين في هذه الوحدات أو الاستحواذ على شركات إسرائيلية لا يشكل بحد ذاته دليلاً على إساءة استخدام بيانات المستخدمين، لكنه يكشف حجم الارتباط المؤسسي والتقني الذي بنته "باي بال" داخل منظومة التكنولوجيا الإسرائيلية.