الفصل 32: الحصن الذي تم اختراقه: الاستيلاء على الحسابات المصرفية وبطاقات الائتمان

في العالم القديم، كان الطريق إلى مال الشخص يمر عبر أبواب فولاذية، وخزائن ثقيلة، وحراس مسلحين. كان لص البنوك قديماً يحتاج إلى خطة عمل فيزيائية، وسلاح، وجرعة كبيرة من الأدرينالين والمخاطرة. اليوم، تغير هذا الحصن. تم استبدال الأبواب الفولاذية بصفوف من الكود، وتم استبدال الحراس بخوارزميات التشفير. لكن التغيير الجوهري ليس تكنولوجياً فحسب، بل هو نفسي. اللص الحديث لا يقتحم البنك؛ بل يقنعك بفتح الباب له، ودعوته إلى الداخل، وتقديم مفاتيح الخزنة له على طبق من فضة.

إن الحساب المصرفي وبطاقة الائتمان هما "قدس الأقداس" لهويتنا المالية. إنهما يمثلان سنوات من العمل الشاق، والمدخرات لشراء منزل، وأموال تعليم الأطفال، والأمن اليومي لشراء الخبز والحليب. عندما يتم اختراق هذا الحصن، لا يكون الشعور مجرد خسارة مالية، بل هو مساس قاتل بشعور الأمان، واختراق وحشي للخصوصية، وزعزعة للثقة الأساسية في الأنظمة التي من المفترض أن تحمينا. في هذا الفصل، سنحلل الآليات التي تتيح الاستيلاء على الحسابات المالية، وسنفهم الساحة القانونية المعقدة التي تنشأ في أعقابها، وسنبحث في الخيارات القانونية المتاحة للمتضررين.

السيناريو التالي هو مثال تعليمي يستند إلى أنماط احتيال شائعة. الشخصيات والأحداث مخصصة للتوضيح فقط.

سيناريو تعليمي: الفخ الهاتفي

رامي (اسم مستعار)، صاحب عمل مستقل في مجال تصميم الحدائق، لم يعتبر نفسه يوماً "معادياً للتكنولوجيا"، لكنه أيضاً لم يكن خبيراً كبيراً في أجهزة الكمبيوتر. كان يعرف كيفية تشغيل تطبيق البنك للتحقق من الأرصدة والدفع للموردين. في أحد الأيام، وفي ساعات ما بعد الظهر، رن هاتفه. ظهر على الشاشة رقم يبدو كرقم مركز خدمة عملاء البنك الخاص به المألوف.

"مرحباً، هل أتحدث مع رامي؟" سأل صوت أنثوي، مهني وموثوق من الطرف الآخر. "معك دانا من قسم الأمن في البنك. نلاحظ في الساعة الأخيرة محاولات سحب غير عادية من حسابك من دولة أجنبية. هل قمت بمثل هذه العملية مؤخراً؟"

شعر رامي بالتوتر. أثرت فكرة ضياع المال من حسابه على قدرته على التحليل. أجاب بصوت مرتجف: "ما هذا الكلام؟ أنا في المنزل، لقد انتهيت للتو من العمل".

أجابت دانا بهدوء: "اعتقدت ذلك. لا تقلق، نحن هنا لإيقاف هذا. لكي نتمكن من حظر العملية ونقل الحساب إلى وضع الحماية، أحتاج إلى التحقق من هويتك. لقد أرسلت لك للتو رمز تحقق عبر رسالة نصية (SMS). يرجى قراءته لي حتى نتمكن من المتابعة في الحظر".

رأى رامي الرسالة تصل. بدا المرسل كأنه البنك. داخل الرسالة كان هناك رمز مكون من ستة أرقام. تحت ضغط اللحظة، لم ينتبه للتحذير الذي يشير إلى عدم تسليم الرمز. قرأ الأرقام. تابعت دانا وأرشدته للدخول إلى الرابط المرسل إليه لتنفيذ "إعادة مزامنة". بدا الموقع تماماً مثل موقع البنك المعروف. قام بإدخال اسم المستخدم وكلمة المرور كما طُلب منه، وسلم رمز تحقق إضافياً تم إرساله إليه.

في نهاية المكالمة، شعر رامي بالارتياح. لم يكن يعلم أنه في تلك الدقائق، كانت أطراف معادية تستخدم تكنولوجيا انتحال رقم الهاتف (Spoofing) تعمل في حسابه. الرموز التي سلمها لم تكن مخصصة للأمان، بل للمصادقة على تحويلات مالية وإضافة مستفيدين جدد في الوقت الفعلي.

بعد حوالي ساعة، عندما حاول رامي الدخول إلى التطبيق، اكتشف أن الوصول إليه قد حُظر. عند التوجه الرسمي للبنك، تبين أنه تم تنفيذ تحويلات مبالغ كبيرة من الحساب. حصنه لم يُخترق بالقوة؛ بل تم تسليم المفاتيح نتيجة تلاعب متطور.

تشريح الاستيلاء: تحليل الآليات

الاستيلاء على حساب بنكي أو بطاقة ائتمان هو في كثير من الأحيان حدث متعدد المراحل. يجمع المهاجمون معلومات استخباراتية مسبقة، أحياناً عبر تسريبات معلومات سابقة، ويبنون قصة غطاء تهدف إلى تجاوز آلية التحقق الثنائي (2FA).

1. الهندسة الاجتماعية (Social Engineering)

هذه أداة مصممة لخلق شعور بالاستعجال والذعر. تحت الضغط، قد يتجاوز العملاء خطوات التدقيق. استخدام تقنية انتحال الهوية (Spoofing) يجعل المكالمة تبدو وكأنها قادمة من مصدر موثوق.

2. التصيد الاحتيالي الموجه (Spear Phishing)

إرسال رسالة شخصية تتضمن رابطاً لموقع "مرآة" (Mirror Site) – نسخة مطابقة تماماً لموقع البنك. بمجرد أن يقوم العميل بإدخال بيانات الوصول، يتم نقل المعلومات مباشرة إلى المهاجم الذي يستخدمها في الموقع الحقيقي.

3. الحصول على رمز تحقق لمرة واحدة (OTP)

يحاول المهاجمون الحصول على الرمز المرسل عبر رسالة نصية بطرق متنوعة:

• الإقناع: تضليل العميل لكي يسلم الرمز بمحض إرادته خلال المكالمة.
• استبدال شريحة SIM (SIM Swapping): انتحال شخصية العميل أمام شركة الهاتف لنقل الرقم إلى شريحة SIM بحوزة المهاجم.
• البرمجيات الخبيثة (Malware): زرع برنامج يتيح قراءة الرسائل عن بعد.

4. الاستيلاء على بطاقة الائتمان

قد تبدأ العملية بعمليات خصم صغيرة للتحقق من سلامة البطاقة، تليها مشتريات كبيرة. في بعض الحالات، يتم تغيير تفاصيل الاتصال في أنظمة شركة الائتمان لمنع تلقي التنبيهات.

الساحة القانونية: تحليل المسؤولية والالتزامات

السؤال المركزي في هذه الحالات هو سؤال المسؤولية عن الأموال التي تم خصمها. تعتمد الإجابة على ظروف الحالة، وسلوك العميل، ومدى امتثال المؤسسة المالية لالتزاماتها المهنية.

قانون خدمات الدفع، لعام 2019

ينظم هذا القانون العلاقات بين العميل ومزود خدمات الدفع (بنك، شركة ائتمان أو تطبيق دفع). المفهوم الحاسم في القانون هو "عملية دفع لم تتم الموافقة عليها".

وفقاً للقانون، كقاعدة عامة، في حالة عملية لم تتم الموافقة عليها، على مزود خدمات الدفع إعادة مبلغ العملية للعميل خلال وقت محدد، إلا إذا وجد أساس معقول للشك في وجود احتيال من جانب العميل. يفرق القانون بين مستويات مسؤولية مختلفة:

1. المسؤولية المحدودة للعميل

في حالات سرقة أو فقدان وسيلة دفع، طالما قام العميل بإبلاغ ذلك فور الاكتشاف، فقد تكون مسؤوليته محدودة بالمبالغ المنصوص عليها في القانون. قد تقع باقي الأضرار على عاتق المؤسسة المالية.

2. ادعاء الإهمال الجسيم

قد تحاول المؤسسات المالية إثبات أن العميل تصرف بـ "إهمال جسيم" (مثل تسليم رمز سري بمحض إرادته) للتخلص من واجب الرد. ومع ذلك، في التحليل القانوني المهني، تؤخذ في الاعتبار حقيقة أن المحتالين يستخدمون تلاعبات متطورة، وما يبدو لاحقاً كخطأ، قد يُعتبر استجابة معقولة تحت الضغط في ذلك الوقت. فحص الهندسة الاجتماعية قد يؤثر على نسب المسؤولية للعميل.

3. واجب الحذر المتزايد للبنك

على البنوك وشركات الائتمان يقع واجب حذر متزايد تجاه عملائهم. في حالة اختراق أو استيلاء، يتم فحص عدة قضايا:

• تحديد الأضواء الحمراء: هل كان من المفترض أن تحدد أنظمة المراقبة نشاطاً يخرج بشكل متطرف عن أنماط استخدام العميل المعتادة؟
• الاستجابة في الوقت الفعلي: هل تصرفت المؤسسة المالية منذ لحظة الإبلاغ بالسرعة المناسبة لحظر الحساب؟
• جودة آليات الحماية: هل استخدمت المؤسسة وسائل أمان معقولة ومتطورة وفقاً للمعايير المقبولة؟

خلال سنوات عملي المهني، صادفت حالات حيث تبين وجود عيوب في نظام مراقبة البنك على الرغم من خطأ العميل. في مثل هذه المواقف، قد يثار ادعاء بمسؤولية المؤسسة المالية عن الضرر، أو جزء منه، في إطار فحص "المساهمة في الخطأ".

التعامل مع شركات الائتمان

في حالات الخصومات غير المصرح بها في بطاقة ائتمان، توجد إجراءات "إنكار المعاملة". ينص قانون خدمات الدفع على أنه يجب على الشركة منح العميل ائتماناً مؤقتاً حتى يتم البت في الأمر. في حالات الاستيلاء الكامل، حيث تم تغيير تفاصيل الاتصال، يتطلب الأمر فحصاً قانونياً معمقاً لإثبات أن العمليات لم يتم تنفيذها من قبل العميل.

علامات التحذير وطرق الوقاية

اليقظة قد تمنع الكثير من حالات الاحتيال. فيما يلي علامات مشبوهة:

• طلبات رمز في مكالمة مبادرة: لا يطلب ممثلو البنك الرسميون من العميل قراءة رمز تحقق أُرسل إليه عبر الرسائل القصيرة.
• الروابط في الرسائل: يُنصح بتجنب الدخول إلى مواقع البنوك عبر روابط في الرسائل، واستخدام التطبيقات الرسمية أو كتابة عنوان الموقع مباشرة.
• تغييرات في الاستقبال الخلوي: فقدان مفاجئ للإشارة قد يدل على محاولة لاستبدال شريحة SIM.
• طلب التحكم عن بعد: المطالبة بتثبيت برامج تتيح الوصول إلى الكمبيوتر من طرف جهة تدعي أنها ممثل خدمة هي ضوء أحمر.

إجراءات فورية في حالة الشك

سرعة الاستجابة هي عامل حاسم في تقليل الضرر:

• إنهاء المكالمة: في حال وجود أدنى شك، يجب قطع الاتصال فوراً.
• التوجه المبادِر للمؤسسة المالية: الاتصال بالمركز الرسمي لغرض تجميد الحسابات ووسائل الدفع.
• تغيير كلمات المرور: تحديث بيانات الوصول للخدمات المالية والبريد الإلكتروني.
• التوثيق: حفظ لقطات شاشة للرسائل، وتسجيل أرقام الهواتف وأوقات المكالمات.
• الإبلاغ للسلطات: تقديم شكوى في الشرطة للحصول على تصريح مطلوب لمواصلة الاستيلاء لدى البنك.

جانب قانوني وخيارات العمل

في الحالات التي ترفض فيها المؤسسة المالية إعادة الأموال، يمكن فحص الأدوات القانونية المتاحة للمتضرر. على مر السنين، يبدو أن التحليل المهني الذي يفصل عيوب الأمان أو واجبات الحذر التي انتهكت، قد يؤدي في ظروف معينة إلى فحص تسويات أو خيارات لاسترداد الأموال، وفقاً لظروف الحالة.

في إطار إجراء قانوني، تفحص المحاكم مجموع الظروف، بما في ذلك الوسائل التي كانت بحوزة المؤسسة المالية لمنع الضرر. كلما كان الاحتيال أكثر تطوراً، قد يتم فحص فرض المسؤولية، كاملة أو جزئية، على المؤسسة المالية، مع الأخذ في الاعتبار أن العميل يُنظر إليه كطرف يحتاج إلى الحماية في المعاملة. يشكل قانون خدمات الدفع بنية تحتية مركزية لحماية المستخدمين، ومن المهم التمسك بالحقوق الناشئة عنه.

في الفصل التالي، سنفحص سيناريو انتحال شخصية موظف أو صاحب عمل أمام الموردين - نوع آخر من الاحتيال الذي يؤثر على القطاع التجاري.