الفصل 20: الرسائل النصية القصيرة (SMS) المزيفة: الرسالة التي تفتح الأبواب

نحن نحمل حياتنا داخل قطعة صغيرة من الزجاج والمعدن لا يتجاوز وزنها مائتي جرام. هاتفنا الذكي هو خزينتنا، وألبوم صورنا، ومفكرة مواعيدنا، ومحفظتنا. ومثل أي خزينة، له نقطة ضعف. وهي لا تكمن في برمجيات شركة أبل أو في خوادم جوجل؛ بل تكمن في كف أيدينا. في عالم أمن المعلومات، تُعتبر الرسالة النصية القصيرة (أو ما يُعرف بـ Smishing - دمج بين SMS وPhishing) واحدة من أكثر أحصنة طروادة فاعلية على الإطلاق. إنها بسيطة، رخيصة، وتستغل الغريزة الإنسانية الأكثر أساسية: الاستجابة الفورية لصوت "التنبيه" الذي يعلن عن وصول رسالة جديدة.

بينما يُنظر إلى البريد الإلكتروني لدى معظمنا كمساحة صاخبة، مليئة بالإعلانات والرسائل المزعجة التي تتطلب تصفية دقيقة، لا تزال الرسائل النصية القصيرة تتمتع بهالة من الإلحاح والموثوقية. عندما نتلقى رسالة نصية، نميل إلى افتراض أنها موجهة إلينا شخصياً. قد يكون ذلك رمز توثيق من المصرف، أو تحديثاً من شركة الشحن، أو رسالة من روضة الأطفال. هذه الثقة هي بالضبط الباب الذي يسعى المحتالون لفتحه. في هذا الفصل، سنحلل كيف تنجح رسالة نصية قصيرة، تتكون أحياناً من أقل من عشر كلمات، في تجاوز جميع آليات الدفاع لدى الشخص العادي وتؤدي إلى احتمالية وقوع ضرر مالي ونفسي.

تشريح عملية الاحتيال: قصة إيريز

السيناريو التالي هو مثال تعليمي يستند إلى أنماط احتيال شائعة. الشخصيات والأحداث مخصصة للتوضيح فقط.

إيريز، محاسب في الخامسة والأربعين من عمره من مدينة رعنانا، يُعتبر شخصاً حذراً. لم يكشف يوماً عن تفاصيل بطاقته الائتمانية عبر الهاتف، ويقوم بتغيير كلمات مروره كل ستة أشهر، وهو من يقوم بتثبيت برامج مكافحة الفيروسات لجميع أفراد العائلة. ولكن في أحد أيام الثلاثاء، في الساعة السابعة مساءً، بينما كان يحاول في الوقت ذاته تحضير العشاء لثلاثة أطفال جائعين والرد على رسائل البريد الإلكتروني من المكتب، اهتز هاتفه الموضوع على الطاولة.

ظهر اسم المرسل في أعلى الشاشة كـ "Bank_Security". ليس رقم هاتف، بل اسم رسمي. كانت الرسالة قصيرة ومقتضبة: "تم رصد محاولة دخول مشبوهة إلى حسابك من جهاز غير معروف في منطقة جورجيا. إذا لم تكن أنت، يجب عليك الدخول إلى الرابط التالي فوراً لتأمين الحساب ومنع حظره." تحت النص ظهر رابط مختصر: https://bit.ly/bank-protect-il.

"تباً"، تمتم إيريز. ارتفع نبضه فجأة. عقله المنطقي، الذي يحلل موازنات الشركات، دُفع جانباً لصالح عقل البقاء. لم يفكر في أن المصرف لا يرسل أبداً روابط مختصرة. لم يتوقف ليسأل لماذا تصل رسالة من مصرفه من مرسل اسمه باللغة الإنجليزية. لقد رأى فقط كلمتي "دخول مشبوه" و"حظر".

ضغط إيريز على الرابط. فُتح متصفح الهاتف وعرض صفحة تبدو بالضبط – تماماً – مثل موقع الدخول الخاص بمصرفه. نفس الألوان، نفس الشعار، نفس الكلمات المطمئنة حول "التصفح الآمن". أدخل اسم المستخدم وكلمة المرور. وفوراً بعد ذلك، ظهرت رسالة على الشاشة: "لغرض التوثيق النهائي، سيتم إرسال رمز إليك عبر رسالة نصية (SMS). يرجى إدخاله هنا."

بعد ثوانٍ، وصلت رسالة أخرى. "رمزك لتنفيذ العملية هو 882931. لا تعطِ هذا الرمز لأي أحد." إيريز، الذي كان واثقاً من أنه في عملية تأمين، أدخل الرمز في الموقع. حملت الشاشة لثوانٍ ثم عرضت رسالة مطمئنة: "تم تأمين حسابك بنجاح. شكراً لاختيارك خدماتنا."

تنفس إيريز الصعداء وعاد لتقطيع السلطة. بعد نصف ساعة فقط، عندما دخل إلى تطبيق المصرف (هذه المرة عبر التطبيق الرسمي، وليس عبر الرابط)، اكتشف الحقيقة المرة. لم يتم تأمين حسابه. بينما كان يدخل الرمز، استخدمه المحتالون لتعريف "مستفيد جديد" لتحويلات مالية. اختفى مبلغ مالي كبير من الحساب. انتقلت الأموال إلى حساب آخر ومن هناك تم سحبها خلال دقائق.

في تلك اللحظة، شعر إيريز بأن مطبخه يدور به. كان شعور الخيانة الذاتية أقسى من خسارة المال. "كيف كان بإمكاني أن أكون بهذا الغباء؟" سأل نفسه مراراً وتكراراً. الإجابة هي أن إيريز ببساطة تصرف تحت ضغط، ووقع ضحية لهندسة اجتماعية دقيقة.

سيكولوجية "النقر": لماذا ينجح الأمر؟

لفهم لماذا تُعد الرسالة النصية القصيرة المزيفة أداة قاتلة، يجب أن نفهم التكنولوجيا والسيكولوجية اللتين تجتمعان فيها. على عكس هجمات السايبر المعقدة التي تخترق الخوادم، هنا يتم "الاختراق" لوعي المستخدم.

1. انتحال شخصية المرسل (Sender ID Spoofing)

أحد أسباب الوقوع في الفخ هو حقيقة أن المرسل يظهر باسم رسمي. تكنولوجيا الرسائل النصية تسمح للمرسلين بتعريف "معرف ألفا-رقمي". هذه أداة مشروعة تستخدمها الشركات، لكن المحتالين يستخدمون هذه الخدمات لانتحال شخصية مصارف، جهات رسمية، أو مؤسسات حكومية. عندما تندرج الرسالة ضمن سلسلة رسائل سابقة وحقيقية، يرتفع مستوى الموثوقية.

2. هندسة الإلحاح والخوف

صُممت رسائل التصيد الاحتيالي لدفع المستخدم للقيام بعمل سريع باستخدام كلمات تحفز دافعاً فورياً، مثل "الحساب تم حظره" أو "دين عاجل". عندما يتم تفعيل الضغط، قد يضعف الجزء المسؤول في الدماغ عن التفكير النقدي، ويزداد الدافع للتصرف فوراً.

3. الشاشة الصغيرة كحليف للمحتال

على شاشة الهاتف، من الصعب جداً ملاحظة التزييف. الروابط صغيرة، شريط العنوان في المتصفح غالباً ما يكون مخفياً أو مختصراً، وواجهة الهاتف الذكي البسيطة تخدم أحياناً أهداف المحتالين.

بين الضعف الإنساني والمسؤولية المؤسسية: الجوانب القانونية

عندما يتوجه عميل إلى المصرف بطلب فحص استرداد ماله، قد يواجه ادعاءً بأن تسليم الرمز يشكل إهمالاً جسيماً يعفي المصرف من المسؤولية. ومع ذلك، فإن التحليل القانوني لهذه القضايا أكثر تعقيداً.

نقطة الانطلاق القانونية في إسرائيل هي قانون خدمات الدفع، لعام 2019. يهدف هذا القانون إلى تنظيم المسؤولية في حالات استخدام وسائل الدفع. تحدد المادة 26 من القانون مسؤولية العميل وشركة الدفع في حالة "عملية لم يتم التصريح بها".

هل هذه "عملية لم يتم التصريح بها" أم "احتيال"؟

هذا موضوع قانوني مركزي. يمكن فحص ما إذا كانت درجة تعقيد الاحتيال في حالات الرسائل النصية المزيفة ترقى إلى سلب الإرادة الحرة للعميل، وبالتالي التأثير على تعريف العملية كـ "استخدام سيئ".

في التحليل القانوني لمثل هذه الحالات، يتم فحص عدة أسئلة مفتاحية:

• اختبار الشخص العادي: هل كانت الرسالة النصية مقنعة بما يكفي لخداع شخص عادي؟ إذا وصلت الرسالة عبر قناة اتصال تبدو رسمية، يمكن فحص مدى مسؤولية المؤسسة المالية في حماية قنواتها.
• أنظمة كشف الاحتيال: هل تعرف النظام على نشاط غير عادي؟ يمكن فحص ما إذا كان إجراء يختلف جوهرياً عن أنماط نشاط العميل المعتادة يفترض به أن يضيء "ضوءاً أحمر" في أنظمة المصرف.
• واجب الحذر: يقع على عاتق المصرف واجب الثقة تجاه عملائه. في واقع تكنولوجي متغير، يمكن فحص ما إذا كان على المؤسسات المالية تحمل جزء من المخاطر المرتبطة باستخدام الوسائل الرقمية.

مسألة الإهمال الجسيم

ينص القانون على أن مسؤولية العميل قد تتغير إذا تصرف في ظروف من "الإهمال الجسيم". من المهم الإشارة إلى أن الإهمال العادي ليس كافياً بالضرورة لإعفاء المؤسسة المالية من المسؤولية. يبحث التحليل القانوني فيما إذا كان السلوك متطرفاً أم أنه مجرد خطأ بشري في ظروف مضللة.

فحص إمكانيات استرداد الأموال

في السيناريو الذي يكتشف فيه العميل أنه وقع ضحية للاحتيال، استرداد الأموال ليس مضموناً وليس عملية تلقائية. يتطلب الأمر فحصاً دقيقاً لظروف القضية. قد تضع المؤسسات المالية صعوبات، ولكن توجد أدوات قانونية وتنظيمية يمكن فحص تفعيلها.

في حالة الرسالة النصية المزيفة، يعتبر فارق الوقت عاملاً جوهرياً. إذا اكتشف العميل الاحتيال وأبلغ عنه بسرعة، يمكن فحص ما إذا كانت المؤسسة المالية قد تصرفت بمهارة معقولة لإيقاف المال قبل تحويله.

بالإضافة إلى ذلك، يجب فحص إجراءات التوثيق المزدوج. يمكن الادعاء بأن رسالة الرمز المقتضبة التي لا تشير إلى طبيعة العملية أو قيمتها، قد تضلل العميل ليعتقد أنه يقوم بعملية أمنية روتينية.

علامات تحذيرية: كيف تتعرف على الرسالة النصية الفخ؟

الوقاية هي الأداة الأكثر فاعلية. فيما يلي عدة علامات تثير الحاجة إلى فحص معمق:

• خلق حالة من العجلة: الرسائل التي تضع إنذاراً نهائياً لإجراء عاجل هي في كثير من الأحيان علامة على الاحتيال.
• روابط مشبوهة: التغييرات الطفيفة في عنوان الموقع أو استخدام مختصرات العناوين ليست شائعة في الرسائل الرسمية.
• صياغة ركيكة: اللغة الضعيفة، الأخطاء الإملائية أو الترجمة الآلية قد تدل على رسالة مزيفة.
• طلب تفاصيل حساسة: المؤسسات المالية الرسمية لا تطلب عادة إدخال كلمات مرور كاملة أو رموز سرية عبر رابط في رسالة نصية.
• رسالة غير متوقعة: تلقي رسالة حول خدمة لم يتم استخدامها يجب أن يثير الشكوك.

خطوات أولية في حالة الاشتباه بالاحتيال

في حالة الاشتباه بأنه تم تقديم تفاصيل في موقع مزيف، السرعة حاسمة:

1. الاتصال الفوري بالمؤسسة المالية: التوجه إلى مراكز الطوارئ التي تعمل على مدار الساعة لطلب حظر وسيلة الدفع.
2. التوثيق: حفظ لقطات شاشة (Screenshots) للرسالة والموقع المشبوه.
3. تغيير كلمات المرور: القيام بتغيير كلمات المرور للخدمات الحيوية من جهاز آخر.
4. الإبلاغ للسلطات: تقديم شكوى في الشرطة كجزء من إجراءات الاستيضاح.
5. فحص العمليات في الحساب: فحص قائمة المستفيدين والتحويلات التي تم تنفيذها.

تحليل قانوني ومهني

خلال سنوات العمل المهني لمحامٍ يرافق هذه القضايا، يتم فحص كل حالة على حدة. السؤال المركزي هو هل أوفت المؤسسة المالية بواجبها في تقليل أضرار الاحتيال.

نقاط محتملة للفحص القانوني:

• تحذيرات عامة: هل نشرت المؤسسة المالية تحذيرات محددة بشأن موجات احتيال معروفة؟
• مراقبة النشاط: هل تعرف النظام وأطلق تحذيراً بشأن عمليات غير عادية بمبالغ كبيرة؟
• تحديد ظروف استثنائية: هل نُفذت العملية في ظروف تثير الشك، مثل موقع جغرافي غريب؟
• صياغة رسائل التوثيق: يمكن فحص ما إذا كان هناك أساس قانوني لادعاء تضليل العميل في حال لم تكن رسالة الرمز واضحة بما يكفي.

من المهم تذكر أن النضال القانوني يتطلب موارد وتوثيقاً دقيقاً. في ظروف معينة، يمكن فحص فرص الدعوى لاسترداد الأموال، ويعتمد ذلك على ظروف القضية المحددة وفحص الأدلة. يهدف القانون إلى توفير الحماية في الظروف التي يتضرر فيها العميل، وقد تساعد الاستشارة القانونية المهنية في استنفاد الحقوق.

في الفصل التالي، سنواصل فحص أنماط الاحتيال عبر البريد الإلكتروني المزيف والطرق للتعامل مع أفخاخ الشبكة.