حيلة انتحال هوية المرسل تجعل اسم البنك وحده غير كافٍ للتحقق
رسائل النصب باسم البنوك.. هل ظهور الرسالة ضمن رسائل البنك الحقيقية دليل على صحتها؟
قد تظهر رسالة احتيالية داخل المحادثة نفسها التي يحتفظ فيها الهاتف برسائل البنك الحقيقية، رغم أن البنك لم يرسلها، بسبب تقنية تُعرف بانتحال هوية مرسل الرسائل النصية. وتكشف وقائع وثقتها جهات رسمية دولية أن المحتالين لا يحتاجون دائمًا إلى إرسال الرسالة من رقم غريب أو باسم مختلف لاستدراج العملاء؛ فقد يستغلون اسم المرسل الظاهر لإكساب رسالة مزيفة قدرًا من المصداقية. وتضيف هذه الحيلة بُعدًا مختلفًا إلى تحذيرات البنك المركزي المصري بشأن رسائل النصب التي تستهدف البيانات المصرفية، إذ يصبح التحقق من مضمون الرسالة عبر القنوات الرسمية أهم من الاعتماد على اسم البنك أو مكان ظهور الرسالة داخل الهاتف.
كيف تظهر رسالة نصب وسط الرسائل الحقيقية للبنك؟
ترتبط هذه الحيلة بتقنية انتحال هوية المرسل، المعروفة باسم SMS Sender ID Spoofing، والتي يمكن استخدامها لإظهار رسالة نصية باسم جهة موثوقة بدلًا من الهوية الحقيقية لمصدرها.
وتكمن المشكلة في أن بعض أنظمة الرسائل تعتمد على هوية المرسل الظاهرة عند تجميع المحادثات، ما قد يؤدي في ظروف معينة إلى ظهور رسالة مزيفة داخل السجل نفسه الذي يحتوي على رسائل أصلية من البنك.
ووثقت هيئة المنافسة وحماية المستهلك الأسترالية في بيان رسمي صدر يوم 30 مارس 2023 حالات استخدم فيها المحتالون هذه الطريقة، ومن بينها واقعة تلقى خلالها أحد العملاء رسالة بشأن معاملة مصرفية مشبوهة، ظهرت داخل محادثة الرسائل الحقيقية للبنك.
وتضمنت الرسالة رقم هاتف طلب من العميل الاتصال به، ليجد نفسه أمام أشخاص ينتحلون صفة فريق مكافحة الاحتيال بالبنك، وانتهت الواقعة، وفق الهيئة، بخسارته 38 ألف دولار أسترالي.
وتوضح الواقعة أن ظهور رسالة جديدة بجوار رسائل مصرفية صحيحة سابقة لا يثبت وحده أن البنك أرسلها بالفعل. وهي حالة موثقة خارج مصر، ولا تعني بالضرورة ثبوت وقوع الحادثة نفسها لدى بنك مصري.
لماذا لا يكفي اسم البنك الظاهر على الهاتف؟
يوضح المركز الوطني للأمن السيبراني في المملكة المتحدة أن الأنظمة المستخدمة في إرسال الرسائل النصية والمكالمات لا توفر دائمًا وسيلة موثوقة للمستقبل للتأكد من الهوية الفعلية للمرسل.
ولهذا قد تبدو الرسالة واردة من مؤسسة معروفة، رغم أن مصدرها الحقيقي مختلف، كما يمكن للمحتالين تقليد أسماء الجهات الرسمية أو استخدام أسماء متشابهة يصعب التمييز بينها على شاشات الهواتف الصغيرة.
ولا تقتصر الخطورة على وجود رابط إلكتروني داخل الرسالة؛ فقد تتضمن رقمًا هاتفيًا يطلب من العميل الاتصال به بحجة إيقاف معاملة غير معروفة أو حماية الأموال من محاولة سحب مزعومة.
وفي هذه الحالة قد ينتقل الاحتيال من الرسالة المكتوبة إلى مكالمة هاتفية، يحاول خلالها الطرف الآخر الحصول على بيانات سرية أو إقناع العميل بتنفيذ تحويل مالي.
ويظل الفارق الأساسي بين الرسالة الحقيقية والمزيفة مرتبطًا بإمكانية التحقق من مضمونها بصورة مستقلة، وليس بمجرد ظهورها تحت اسم البنك المعروف.
كيف يتحقق عميل البنك من الرسالة دون استخدام بياناتها؟
تبدأ عملية التحقق من خارج الرسالة المشبوهة نفسها، باستخدام التطبيق المصرفي الرسمي الذي سبق تثبيته أو رقم خدمة العملاء المنشور على الموقع الرسمي للبنك أو المدون على البطاقة المصرفية.
فإذا تضمنت الرسالة ادعاءً بوجود خصم أو محاولة تحويل، فإن مراجعة المعاملات من خلال القناة المصرفية المعتمدة تساعد على تحديد ما إذا كانت هناك حركة فعلية تستدعي الإبلاغ.
ولا يُعد الاتصال برقم مكتوب داخل الرسالة وسيلة تحقق مستقلة، حتى إذا ظهرت الرسالة ضمن محادثة البنك الأصلية، لأن الرقم نفسه قد يكون جزءًا من محاولة الاستدراج.
ويؤكد البنك المركزي المصري في تعليماته لحماية البيانات المصرفية أن البنوك لا تطلب من العملاء تحديث بياناتهم السرية عبر المكالمات أو الرسائل، وأن الإجراءات المتعلقة بتحديث البيانات تتم داخل مقار البنوك أو من خلال تطبيقاتها الإلكترونية الآمنة وفق القنوات المعتمدة.
وتشمل البيانات الواجب الحفاظ على سريتها كلمات المرور والرقم السري للبطاقة ورمز الأمان CVV ورمز التحقق لمرة واحدة OTP.
أما إذا كانت الرسالة تطلب تحويل أموال إلى حساب آخر بدعوى حمايتها من عملية احتيال، فلا يمثل هذا الطلب إجراءً مصرفيًا موثوقًا لمجرد ظهور اسم البنك، ويستلزم الرجوع مباشرة إلى البنك قبل اتخاذ أي إجراء مالي.
متى يصبح الإبلاغ عن الرسالة ضروريًا؟
عند ظهور رسالة مشبوهة تنتحل اسم البنك، يظل التواصل مع البنك عبر قنواته الرسمية الوسيلة المناسبة للتحقق والإبلاغ عن المحاولة.
وتزداد أهمية الإبلاغ الفوري إذا سبق الإفصاح عن بيانات البطاقة أو كلمة المرور أو رمز التحقق، أو ظهرت معاملة لم ينفذها صاحب الحساب، حتى يتخذ البنك الإجراءات اللازمة لحماية الحساب أو إيقاف البطاقة عند الحاجة.
كما يفيد الاحتفاظ بنص الرسالة ورقم الاتصال الوارد فيها وتوقيت وصولها عند تقديم البلاغ، دون مشاركة بيانات مصرفية سرية مع أي جهة غير معتمدة.
وتكشف هذه الصورة من الاحتيال عن فارق مهم بين شكل الرسالة ومصدرها الحقيقي؛ فقد يكون الاسم صحيحًا، والمحادثة مألوفة، والرسائل السابقة أصلية، بينما تكون الرسالة الجديدة نفسها محاولة انتحال.
