الفصل 73: انتحال شخصية المدير التنفيذي: عندما يطلب المدير تحويلاً عاجلاً

خلال سنوات عمله المهني كمحامٍ يرافق ضحايا عمليات الاحتيال المعقدة، يمكن ملاحظة العديد من الأنماط، ولكن يبدو أنه لا يوجد نمط أكثر تعقيداً وإذلالاً من "احتيال المدير التنفيذي" (CEO Fraud). إذا كنا قد تناولنا في الفصول السابقة الاختراقات التكنولوجية أو الاحتيال الاستهلاكي، فإننا هنا ندخل إلى ساحة علم النفس التنظيمي. هذا هو المكان الذي تتحول فيه الهيراركية المكتبية، ورهبة المدير، والرغبة في إثبات الكفاءة إلى أدوات في يد محتال محترف.

لا يتطلب احتيال المدير التنفيذي بالضرورة رمز اختراق معقداً. فهو يعتمد على فهم عميق للطبيعة البشرية. المحتالون لا "يخترقون" الحاسوب فقط؛ بل يحاولون "اختراق" وعي الموظف. إنهم يستغلون الضغط، والإلحاح المصطنع، والسلطة لدفع الشخص للقيام بعمل قد يكلف الشركة مبالغ طائلة. في محادثات مع مديري المالية بعد وقوع حادث كهذا، تكون الجملة الأولى التي تُسمع غالباً هي: "بدا الأمر حقيقياً للغاية، لم يكن لدي سبب للشك".

السيناريو التالي هو مثال تعليمي يستند إلى أنماط احتيال شائعة. الشخصيات والأحداث مخصصة للتوضيح فقط.

الصباح الذي سقطت فيه السماء على "تكنولوجيات المستقبل"

يوم الخميس، الساعة 16:30. دانا، محاسبة في شركة "تكنولوجيات المستقبل" – وهي شركة متوسطة الحجم تصنع مكونات لصناعة السيارات – كانت قد بدأت بالفعل في إنهاء مهام الأسبوع. بدأت المكاتب تفرغ، وكانت تخطط للمغادرة مبكراً. دانا موظفة دقيقة وحادة الذكاء وتعرف جيداً النشاط المالي للشركة.

قطع صوت "الرنين" الخاص بالبريد الإلكتروني أفكارها. المرسل: "إيتان - المدير التنفيذي". إيتان هو المؤسس والمدير التنفيذي للشركة. كان في ذلك الأسبوع في مؤتمر مهني في ألمانيا.

الموضوع: سري وعاجل – استحواذ استراتيجي.

"دانا،" كُتب في البريد الإلكتروني، "أنا في خضم مفاوضات حساسة للغاية هنا في ألمانيا. نحن على وشك إغلاق عملية استحواذ على براءة اختراع من شركة محلية صغيرة قبل أن يضع منافسونا أيديهم عليها. يجب أن يظل الأمر طي الكتمان التام حتى يوم الأحد، حتى نواب الرئيس لا يعلمون بذلك. أحتاج منكِ القيام بتحويل عاجل بقيمة 280,000 يورو إلى حساب الضمان الخاص بالمحامين الألمان. يجب أن يتم التحويل اليوم حتى لا تفشل الصفقة. لا تتصلي بي، فأنا في اجتماعات مغلقة مع مجلس إدارتهم. أكدي لي عند إتمام ذلك."

ترددت دانا. من ناحية، إيتان لم يطلب منها قط شيئاً كهذا عبر البريد الإلكتروني. من ناحية أخرى، بدا الأمر متوافقاً مع أسلوبه – مقتضب وموثوق. وصل البريد من عنوان بدا مطابقاً لعنوانه، وكانت التفاصيل حول المؤتمر في ألمانيا دقيقة. أرادت الاتصال به، لكنه كتب صراحةً "لا تتصلي بي".

أدخلت بيانات الحساب الألماني في النظام المصرفي. طلب البنك تأكيداً. نظرت مرة أخرى إلى البريد الإلكتروني ورأت شعار الشركة المألوف. ضغطت على "تأكيد".

في صباح يوم الأحد، دخل إيتان إلى المكتب. "كيف كانت ألمانيا؟" سألت دانا، "هل سارت الأمور على ما يرام مع عملية الاستحواذ؟". نظر إليها إيتان بنظرة مرتبكة. "أي استحواذ يا دانا؟ كان المؤتمر مهنياً فقط".

في تلك اللحظة انكشفت الخدعة. "هذا ليس بريدي الإلكتروني،" قال. كان العنوان متطابقاً تقريباً، ولكن كان ينقصه حرف واحد. كانت التوقيع صورة شاشة. اختفى مبلغ المال.

تشريح الاحتيال: لماذا ينجح؟

يظهر تحليل مثل هذه الحالات مزيجاً من الهندسة الاجتماعية (Social Engineering) وتكنولوجيا بسيطة. أحياناً يقوم المحتالون بجمع معلومات مسبقاً: يتابعون الشبكات الاجتماعية للمديرين، ويتعرفون على مواعيد سفرهم، وأسلوب كتابتهم، ويشترون نطاقاً (عنوان موقع) مطابقاً تقريباً لنطاق الشركة. فرق حرف واحد قد لا تلاحظه عين بشرية تحت الضغط.

العنصر الحاسم هو السلطة والإلحاح. تظهر التحليلات النفسية أن البشر قد يعلقون حُكمهم النقدي عندما يتلقون أمراً من شخص يُنظر إليه على أنه يتمتع بالسلطة. عندما يطلب مدير تنفيذي شيئاً "عاجلاً وسرياً"، قد يشعر الموظف بأنه شريك في السر ويخشى خيبة الأمل أو تأخير صفقة مهمة.

توقيت الاحتيال يكون غالباً في أيام الخميس بعد الظهر أو عشية الأعياد. هذه أوقات ينخفض فيها التركيز ويكون هناك ضغط لإنهاء المهام. بالإضافة إلى ذلك، التحويلات الدولية في نهاية الأسبوع قد تمنح المحتالين وقتاً ثميناً قبل أن تكتشف الشركة عملية الاحتيال.

المسؤولية القانونية: تحليل الاحتمالات

عندما يقع ضرر مالي، تُطرح مسألة المسؤولية القانونية بين الأطراف المعنية: الشركة، والبنك، والموظف.

1. مسؤولية البنك: واجب العناية

في دولة إسرائيل، يقع على عاتق البنوك واجب العناية تجاه عملائهم. في تحليل قانوني عام، عندما يتم إجراء عملية غير معتادة بشكل متطرف في الحساب – على سبيل المثال، تحويل مبلغ كبير إلى حساب في الخارج لم يكن معروفاً من قبل – يمكن فحص ما إذا كان يتوجب على البنك تحديد "علامات حمراء".

ومع ذلك، فإن النزاع القانوني أمام البنك في هذه الحالات معقد. قد يدعي البنك أن العميل وافق على التحويل برغبته، باستخدام وسائل تعريف صحيحة. لفحص إمكانية فرض المسؤولية على البنك، يجب التحقق مما إذا كانت هناك ظروف مشبوهة تجاهلها البنك. يُظهر التحليل القانوني لحالات مماثلة أن على البنك التزاماً بالتدخل عندما يكون هناك خوف حقيقي من الاحتيال، ولكن سقف إثبات الإهمال في حالات الموافقة الصريحة هو مسألة قانونية ذات ثقل كبير وتعتمد النتيجة على ظروف الحالة.

2. مسؤولية الموظف

في كثير من الحالات، تُطرح مسألة ما إذا كان بالإمكان فرض المسؤولية على الموظف الذي قام بالتحويل. النهج السائد في قانون العمل هو حماية الموظفين من الأخطاء التي ارتكبت بحسن نية أثناء العمل. لا يستطيع صاحب العمل عادةً خصم مبالغ مالية من راتب الموظف بسبب الإهمال، إلا إذا ثبت أن الموظف تصرف بسوء نية أو بإهمال جسيم. في حالات الاحتيال التي تعرض فيها الموظف للخداع، غالباً ما يُنظر إليه كضحية أخرى للحالة.

التعامل مع شركة التأمين

خلال المعالجة القانونية لمثل هذه الحالات، يتم فحص وثائق التأمين الخاصة بالشركة، مثل تأمين "المسؤولية المهنية" أو "مخاطر السايبر". قد تدعي شركات التأمين أحياناً أن هذا خطأ بشري وليس حادث سايبر مغطى في البوليصة. توجد بوالص تتضمن بنداً صريحاً لـ "احتيال الهندسة الاجتماعية" (Social Engineering Fraud). تعتمد القدرة على الحصول على تعويض بشكل كبير على الصياغة الدقيقة للبوليصة والظروف التكنولوجية لانتحال الشخصية.

ما الذي يمكن القيام به لحظة الاكتشاف؟ (إجراءات محتملة)

في حالة الاشتباه بوقوع احتيال، قد تكون كل ثانية ذات أهمية:

1. التوجه إلى البنك المحوّل

يمكن محاولة طلب إلغاء (Recall) للتحويل. إذا لم يمر المال بعد عبر سلسلة البنوك الوسيطة، فهناك فرصة معينة لإيقافه.

2. إبلاغ السلطات

تقديم شكوى في الشرطة خطوة ضرورية للتعامل أمام البنوك وشركات التأمين.

3. التواصل مع البنك المستلم في الخارج

في حالات معينة، قد يؤدي التوجه المباشر إلى قسم الامتثال في البنك المستلم في الخارج والتحذير من احتيال إلى تجميد مؤقت للحساب.

4. التوثيق

من المهم الاحتفاظ بالبريد الإلكتروني، والـ Headers الخاصة به، وأي معلومات رقمية أخرى يمكن أن تُستخدم للتحقيق أو لإجراء قانوني.

طرق الوقاية الموصى بها

لتقليل مخاطر التعرض لهذه العمليات الاحتيالية، يُوصى باعتماد إجراءات واضحة في المؤسسة:

• إجراء "التأكيد الصوتي": تحديد قاعدة مفادها أن أي تحويل يتجاوز مبلغاً معيناً، أو تغيير في بيانات الحساب، يتطلب تأكيداً هاتفياً في مكالمة عائدة إلى الرقم المعروف لصاحب الطلب.
• التوقيع المزدوج: تحديد شرط يتطلب موافقة اثنين من المخولين بالتوقيع لأي تحويل بنكي.
• تحديد البريد الإلكتروني الخارجي: ضبط نظام البريد الإلكتروني بحيث ينبه إلى الرسائل التي تصل من خارج المؤسسة.
• التدريب والممارسة: رفع الوعي بين الموظفين حول أنواع الاحتيال وإجراء تدريبات دورية.

ملخص ونظرة قانونية

يوضح احتيال المدير التنفيذي كيف يستخدم التلاعب النفسي التكنولوجيا لتحقيق نتائج جنائية. في الإجراءات القانونية في هذا المجال، تُطرح غالباً مسألة "المساهمة في الخطأ". تفحص المحاكم ما إذا كانت الشركة قد اتخذت مستوى معقولاً من الحذر وما إذا كانت الجهات المالية قد تصرفت وفقاً للمعايير المتوقعة منها.

في كثير من الحالات، يعد استرداد الأموال بالكامل تحدياً كبيراً، خاصة في عمليات الاحتيال الدولية. أفضل حماية هي مزيج من الإجراءات التنظيمية الصارمة، والتأمين المناسب، والوعي المستمر. في الفصل التالي، سنواصل فحص الساحة التجارية ونركز على تهديدات إضافية لأنظمة البريد والمدفوعات الخاصة بالشركات.

علامات تحذير (Red Flags)

• إلحاح متطرف: ضغط للقيام بعمل ما بشكل فوري.
• طلب السرية: أمر بعدم مشاركة جهات أخرى في الشركة.
• تجاوز الإجراءات: توجه مباشر يتخطى التسلسل الإداري المتبع.
• عنوان بريد إلكتروني مع تغيير طفيف: تغييرات صغيرة يصعب ملاحظتها في عنوان المرسل.
• توقيت خاص: توجه يحدث عندما يكون المدير خارج المكتب أو في الخارج.

ماذا تفعل فوراً؟

1. إيقاف العملية: عدم الرد على البريد الإلكتروني المشبوه.
2. تأكيد صوتي: إجراء اتصال هاتفي مبادر به مع المدير على الرقم المعروف.
3. إبلاغ داخلي: تحديث جهات الأمن، وتكنولوجيا المعلومات (IT)، والمالية في المؤسسة.

جانب قانوني

من الناحية القانونية، يمكن فحص واجب العناية للمؤسسة المالية والتغطية التأمينية للشركة. في حالات معينة، يمكن دراسة مزيج من الإجراءات القانونية أمام البنك وأمام شركة التأمين لاستنفاد الإمكانيات لاسترداد الضرر، وفقاً للظروف المحددة للحالة.