الفصل 72: تغيير حساب المورد: البريد الإلكتروني الاحتيالي الذي يضلل قسم الحسابات

مرحباً بكم في الجزء الحادي عشر من الكتاب. إذا كنا قد تناولنا حتى الآن الأفراد بشكل أساسي — المتقاعد الذي سُلبت مدخراته، أو الشاب الذي انخدع باستثمار وهمي في العملات الرقمية، أو من تعرض حسابه البنكي للاختراق — فإننا نرتقي هنا إلى مستوى أعلى. نحن ندخل إلى عالم لا تُقاس فيه مبالغ المال بآلاف الشواقل، بل بمئات الآلاف والملايين. إنه عالم الأعمال، حيث الكفاءة قيمة عليا، والسرعة ضرورة، والثقة بين الشركاء التجاريين هي الغراء الذي يمسك النظام. وفي داخل شقوق هذه الثقة تحديداً، يتسلل أكثر المحتالين دهاءً.

تعد عمليات الاحتيال ضد الشركات نوعاً مختلفاً من الجريمة الرقمية. فهي تتطلب صبراً، وجمع معلومات معمقاً (Intelligence gathering)، وغالباً ما تتطلب فهماً عميقاً لعمليات العمل التنظيمية. في هذا الفصل، سنفتتح الجزء المتعلق بالأعمال وسنركز على واحدة من أكثر عمليات الاحتيال شيوعاً وإيلاماً: احتيال "تغيير حساب المورد". إنها قصة بريد إلكتروني صغير، يبدو بريئاً للوهلة الأولى، ينجح في تجاوز جدران الحماية، وأنظمة الأمن الباهظة، والإجراءات الصارمة، فقط ليوجه ضربة قاتلة للتدفق النقدي للشركة.

السيناريو التالي هو نموذج تعليمي يعتمد على أنماط احتيال شائعة. الشخصيات والأحداث مخصصة للتوضيح فقط.

الهدوء الذي يسبق العاصفة: قصة شركة "غال-أور للخدمات اللوجستية"

جلست مايا في مكتبها المكيف في الطابق الرابع عشر من برج مكاتب فاخر في رمات غان. بصفتها محاسبة في شركة "غال-أور للخدمات اللوجستية"، وهي شركة تستورد مكونات إلكترونية من الصين وألمانيا، كانت معتادة على الضغط. اقتربت نهاية الشهر، وتراكمت كومة الفواتير على مكتبها. مايا محترفة متمرسة ودقيقة، من النوع الذي لا يختصر الطرق. إنها تعرف موردي الشركة منذ سنوات، وتعرف من يلتزم بشروط الدفع (شوتف بلاس 60) ومن يبدأ بالاتصال بعد أسبوعين فقط.

في صباح ذلك الثلاثاء، وصل إلى صندوق بريدها رسالة من "هانز"، مدير الشؤون المالية في شركة 'نورديك ستيل' — مورد ألماني قديم لشركة غال-أور. كُتب في البريد الإلكتروني بلغة تجارية رصينة: "عزيزتي مايا، نحن نمر بعملية تدقيق محاسبي داخلي وتغيير هيكلي. وبناءً على ذلك، اعتباراً من اليوم، يجب تحويل جميع المدفوعات لصالح نورديك ستيل إلى حسابنا البنكي الجديد في بولندا، بدلاً من الحساب القديم في فرانكفورت. مرفق مستند رسمي موقع من مجلس الإدارة يتضمن تفاصيل الـ IBAN الجديدة. يرجى تأكيد استلام البريد الإلكتروني وتحديث نظامكم لتجنب التأخير في الدفعة القادمة البالغة 280,000 يورو".

نظرت مايا إلى الساعة. كان اجتماع الإدارة سيبدأ بعد عشر دقائق. فتحت الملف المرفق. كان شعار الشركة موجوداً، والورق كان رسمياً، وتوقيع هانز بدا تماماً كما تذكرت من تواقيع سابقة. حتى أنها لاحظت أن عنوان البريد الإلكتروني بدا سليماً تماماً: hans.schmidt@nordic-steel.de. بدا كل شيء منطقياً. تفتح العديد من الشركات الأوروبية حسابات في دول مثل بولندا أو ليتوانيا لتقليل تكاليف التشغيل. ردت برسالة قصيرة: "تم الاستلام، شكراً هانز. سأقوم بالتحديث في النظام وتنفيذ التحويل يوم الخميس".

في يوم الخميس، وكما وعدت، قامت مايا بتنفيذ التحويل. خرج 280,000 يورو (أكثر من مليون شاقل) من حساب الشركة في بنك إسرائيلي كبير في طريقها إلى حساب في وارسو. شعرت بالرضا — اكتملت مهمة أخرى، سيكون المورد راضياً، وستستمر البضائع في التدفق. لم تكن تعلم أنها في تلك اللحظة فتحت الباب لأكبر سرقة في تاريخ الشركة.

الاكتشاف المروع والهاوية التي انفتحت

مرت ثلاثة أسابيع. كادت مايا تنسى الأمر، حتى رن الهاتف على مكتبها. ظهر على الشاشة اسم هانز من ألمانيا. "مرحباً مايا"، بدا صوته قلقاً، "نحن ننتظر الدفعة الخاصة بالشحنة الأخيرة. لقد تأخرت بالفعل أسبوعين. هل هناك مشكلة ما في التدفق النقدي؟".

سرت قشعريرة في ظهر مايا. "هانز، عن ماذا تتحدث؟ لقد حولت المال إلى حسابكم الجديد في بولندا، كما طلبت في البريد الإلكتروني".

ساد صمت طويل على الطرف الآخر من الخط. "بولندا؟ ليس لدينا أي حساب في بولندا يا مايا. ولم أرسل لكِ أبداً بريداً إلكترونياً كهذا. حسابنا كان ولا يزال في فرانكفورت".

في تلك اللحظة، شعرت مايا أن مكتبها المكيف ينهار على نفسه. ركضت إلى الحاسوب وفتحت ذلك البريد الإلكتروني. نظرت مجدداً إلى عنوان المرسل. هذه المرة، مع عدسة مكبرة خيالية من القلق، رأته. العنوان لم يكن @nordic-steel.de، بل كان @nordic-stee1.de. تم استبدال حرف 'l' الصغير بالرقم '1'. فارق بكسل واحد. فارق مليون شاقل.

هذه هي اللحظة التي تتحول فيها الدراما التجارية إلى دراما قانونية وإنسانية. تم استدعاء المدير العام، وحضر المحامون، وطُلب من البنك إيقاف التحويل — ولكن في ظل هذه الظروف، وفي سيناريوهات مماثلة، يتبين أحياناً أن المال قد سُحب بالفعل من الحساب وتم توزيعه على عدة حسابات وهمية حول العالم.

تحليل التكتيك: كيف تعمل عملية الاحتيال عبر البريد الإلكتروني للشركات (BEC)؟

احتيال تغيير حساب المورد هو نوع فرعي مما يُعرف في عالم أمن المعلومات بـ BEC. على عكس عمليات الاحتيال الجماعي عبر "التصيد الاحتيالي" حيث يرسل المحتال عدداً كبيراً من رسائل البريد الإلكتروني ويأمل أن يضغط أحدهم على الرابط، نحن هنا نتحدث عن "Spear Phishing" — الصيد بالرمح. يختار المحتالون هدفهم بعناية.

في المرحلة الأولى، يقوم المحتالون بجمع المعلومات. يراقبون شبكات التواصل الاجتماعي لموظفي الشركة، ويتعرفون على من يتعامل مع الأموال ومن هم الموردون الرئيسيون. أحياناً، يخترقون صندوق البريد الخاص بأحد الطرفين قبل أشهر، فقط "للتنصت" على المراسلات. يتعلمون أسلوب كتابة المدير، وساعات عمل المحاسبة، والمواعيد الثابتة للمدفوعات.

في المرحلة الثانية، يخلقون "المحفز". ينتظرون اللحظة التي يكون فيها دفع مبلغ كبير على وشك الخروج. عندها، يرسلون البريد الإلكتروني المزيف. يستخدمون تقنية "Typosquatting" (تسجيل نطاق مشابه جداً للأصل) أو "Email Spoofing" (تزييف رأس البريد الإلكتروني ليظهر مطابقاً تماماً للأصل). المستندات المرفقة هي في الغالب تحف فنية من الرسوميات، تتضمن تواقيع ممسوحة ضوئياً أُخذت من رسائل سابقة.

تنجح هذه العملية الاحتيالية لأنها تستغل عاملين: التسلسل الهرمي والإجراءات. يخشى الموظفون في المستويات المتوسطة أحياناً التشكيك في التعليمات التي تأتي "من الأعلى" أو من موردين استراتيجيين. بالإضافة إلى ذلك، في العالم الرقمي، هناك ميل إلى الاعتماد على ما يظهر على الشاشة كحقيقة مطلقة.

الجانب القانوني: من قد يتحمل مسؤولية الضرر؟

عندما يختفي المال، تنشأ أسئلة قانونية معقدة تتعلق بمسؤولية الأطراف المعنية: الشركة، البنك، والمورد. يتطلب النضال القانوني في هذه الحالات تحليلاً معمقاً لالتزامات العناية والعقود بين الطرفين.

1. مسؤولية البنك: تحليل الخيارات القانونية

في النظام القانوني، هناك تطور فيما يتعلق بدور البنك. فبعيداً عن كونه "قناة" لتحويل الأموال، يمكن فحص ما إذا كان على البنك في حالات معينة التزاماً متزايداً بالعناية.

في إطار التحليل القانوني العام، يجب فحص ما إذا كان البنك قادراً على تحديد "الأضواء الحمراء". على سبيل المثال، تحويل مبلغ استثنائي إلى وجهة جديدة قد يثير سؤالاً عما إذا كان على البنك التحقق من التحويل. كذلك، يمكن فحص ما إذا كان هناك تطابق بين اسم المستفيد في النظام وصاحب الحساب الفعلي. في ظروف معينة، قد تُدرس مسؤولية البنك إذا ثبت أنه لم يتصرف وفقاً للمعايير المتوقعة في إدارة المخاطر في العصر الرقمي.

2. العميل ومسألة المساهمة في الخطأ

من ناحية أخرى، قد تُثار حجة تتعلق بمسؤولية الشركة نفسها. إذا لم تقم الشركة بتفعيل إجراءات عمل أساسية — مثل التحقق الهاتفي من تغيير تفاصيل الحساب — فمن المحتمل أن تُحمل مسؤولية مساهمة كبيرة في الخطأ. سيركز الفحص القانوني على السؤال عما إذا كان العمل قد اتخذ إجراءات معقولة لحماية أمواله في ظل ظروف القضية.

3. العلاقات مع المورد: توزيع المخاطر

من الناحية القانونية، كقاعدة عامة، يظل التزام الدفع للمورد قائماً، ما لم يمكن إثبات أن الخلل حدث في أنظمة المورد نفسه. في الحالات التي يتم فيها إثبات إهمال المورد في تأمين معلوماته، قد يتغير توزيع المخاطر القانونية بين الطرفين. نحن نتحدث عن قضايا تعاقدية وتجارية معقدة تعتمد على الظروف المحددة لكل حالة.

سيكولوجية الاحتيال: لماذا قد لا يشك الموظفون؟

في العديد من حالات المرافقة المهنية للشركات التي وقعت ضحية لعملية احتيال كهذه، يُطرح سؤال كيف حدث الخطأ. تكمن الإجابة في كثير من الأحيان في مجال الهندسة الاجتماعية (Social Engineering).

يستخدم المحتالون تقنيات السلطة، والاستعجال، والاتساق. الموظفون الذين يعملون تحت ضغط العمل الجاري قد لا يلاحظون التغييرات الطفيفة في تفاصيل البريد الإلكتروني. إنه خطأ إدراكي طبيعي يستغله المحتالون جيداً.

علاوة على ذلك، توجد في العديد من المنظمات ثقافة إنجاز المهام بسرعة. قد يخشى الموظف أن يُنظر إلى تأخير الدفع لغرض إجراء فحص إضافي على أنه مساس بالكفاءة التنظيمية. يستغل المحتالون رغبة الموظف في القيام بعمله على أفضل وجه.

علامات تحذير (Red Flags) لمديري الحسابات

• تغيير مفاجئ في تفاصيل الحساب البنكي: علامة تحذير كبيرة تتطلب فحصاً معمقاً.
• دولة مختلفة: طلب تحويل أموال إلى دولة ليست دولة المنشأ للمورد يجب أن يثير الشك.
• اللغة والأسلوب: تغييرات طفيفة في أسلوب الكتابة أو المصطلحات المهنية المعتادة.
• استعجال غير عادي: ضغط مستمر لتنفيذ التحويل فوراً.
• طلب السرية: مراسلات تطلب إخفاء أمر التحويل عن جهات أخرى في المنظمة.

كيف يمكن بناء "جدار حماية" تنظيمي؟

تعتمد الوقاية من مثل هذه العمليات الاحتيالية إلى حد كبير على ترسيخ إجراءات واضحة في المنظمة:

1. التحقق الثنائي (Out-of-Band Verification)

يُنصح بوضع قاعدة مفادها عدم الموافقة على تغيير تفاصيل الحساب البنكي عبر البريد الإلكتروني فقط. يجب إجراء تحقق صوتي مع جهة اتصال معروفة ومحددة لدى المورد، مع استخدام تفاصيل اتصال موثوقة لا يتم أخذها من البريد الإلكتروني الجديد.

2. فصل الصلاحيات

تحديد عملية يقوم فيها طرف واحد بتحديث التفاصيل ويقوم طرف آخر بالموافقة على الدفع، مما قد يقلل بشكل كبير من خطر الأخطاء أو الاحتيال.

3. فحص "اسم المستفيد" في البنك

يمكن طلب إجراء فحص تطابق بين اسم المستفيد ورقم الحساب عند تنفيذ تحويلات دولية، بقدر ما تسمح الأنظمة بذلك.

4. تدريب الموظفين

زيادة وعي الموظفين بوجود عمليات احتيال من هذا النوع هي أداة مركزية في الوقاية.

إجراءات موصى بها عند اكتشاف شك في الاحتيال

في حالة الشك في عملية احتيال، قد تكون لسرعة الاستجابة أهمية كبيرة:

1. محاولة إيقاف الدفع: الاتصال الفوري بالبنك لدراسة إمكانية إلغاء التحويل (Recall).
2. التوجه للبنك المتلقي: التوجه السريع للبنك في الخارج قد يساعد أحياناً في تجميد الأموال قبل سحبها.
3. الإبلاغ للسلطات: تقديم شكوى رسمية في الشرطة ووحدات السايبر ذات الصلة.
4. التوثيق: الاحتفاظ بجميع الأدلة الرقمية، بما في ذلك رسائل البريد الإلكتروني والمستندات.
5. استشارة قانونية: دراسة الخيارات القانونية أمام مختلف الأطراف المعنية في السلسلة.

خاتمة ونظرة قانونية

توضح عملية احتيال تغيير حساب المورد كيف يمكن للفجوات في إجراءات العمل أن تؤدي إلى أضرار اقتصادية فادحة. خلال سنوات العمل المهني، يمكن رؤية كيف يمكن للشركات أن تقع في دوامة قانونية في أعقاب ثغرات أمنية، ولو كانت بسيطة.

من الناحية القانونية، فإن التزام العناية المتوقع من المؤسسات المالية والشركات على حد سواء يخضع لفحص مستمر. يمكن التقدير بأنه في حالة حدوث تقاضٍ، سيتم فحص مدى التزام الشركة بإجراءات العمل السليمة والحوكمة المؤسسية المناسبة في مجال حماية المعلومات.

في الفصول القادمة سنستمر في فحص أنماط احتيال إضافية ضد الشركات. الهدف هو زيادة اليقظة والمعرفة المهنية، التي تشكل لبنة مركزية في حماية المنظمة في العالم الرقمي.

ما الذي يمكن القيام به على المدى الفوري؟

1. تحديد إجراء تحقق: تعريف التزام بالتحقق الهاتفي لكل تغيير في تفاصيل حساب المورد.

2. تأهيل الطواقم: تدريب على تحديد علامات التحذير في عناوين البريد الإلكتروني ومحتوى الرسائل.

3. فحص التأمين: دراسة التغطية التأمينية في حالة عمليات احتيال الهندسة الاجتماعية.

4. التنسيق مع البنك: دراسة آليات موافقة إضافية للتحويلات غير العادية.

جانب قانوني

في إطار الفحص القانوني لهذه الحالات، قد تُبحث مسألة "ميزان الإهمال" بين الأطراف. النتيجة القانونية تعتمد على ظروف كثيرة، من بينها طريقة تصرف البنك والإجراءات التي اتخذها العميل. أحياناً قد يتم تحديد توزيع للمسؤولية بين الأطراف (مساهمة في الخطأ)، ولذلك فإن اتخاذ إجراءات وقائية هو الطريقة الأكثر فعالية لتقليل التعرض للأضرار.