الرقم السري يمر بمراحل تشفير وتحقق مصرفي قبل الموافقة على السحب.
سر الـ4 أرقام في ماكينة ATM.. كيف يتحقق البنك قبل خروج الفلوس؟
الرقم السري الذي يُكتب على لوحة مفاتيح ماكينة ATM لا ينتقل إلى برنامج تشغيلها الرئيسي في صورته المكشوفة، إذ تتولى وحدة إلكترونية آمنة استقبال الأرقام وتشفيرها قبل إرسال طلب التحقق عبر الأنظمة المصرفية. وتكشف معايير أمن بطاقات الدفع أن الماكينة لا تعتمد على مجرد مقارنة أربعة أرقام لإخراج الأموال، بل تمر العملية بمراحل منفصلة تشمل حماية الرقم السري، والتحقق من بيانات البطاقة، والحصول على موافقة البنك على السحب. والأهم أن صحة الرقم السري وحدها لا تضمن خروج النقود، لأن تنفيذ العملية يتوقف أيضًا على الرصيد المتاح وحدود الاستخدام وحالة البطاقة، قبل أن يبدأ نظام توزيع الأوراق النقدية داخل الماكينة عمله.
كيف تحمي ماكينة ATM الرقم السري عند إدخاله؟
تبدأ العملية عند إدخال البطاقة البنكية في ماكينة الصراف الآلي، حيث يقرأ الجهاز البيانات اللازمة للتعرف على البطاقة، ثم يطلب إدخال الرقم السري PIN، الذي يتكون عادة من أربعة أرقام في البطاقات المصرفية المستخدمة بمصر.
لكن لوحة الأرقام ليست مجرد مجموعة أزرار متصلة ببرنامج الماكينة، بل تحتوي على مكوّن أمني متخصص يُعرف باسم Encrypting PIN Pad، واختصاره EPP، وهو المسؤول عن استقبال الرقم السري وإجراء عمليات التشفير اللازمة لحمايته.
ووفقًا لمجلس معايير أمن صناعة بطاقات الدفع PCI، صُممت هذه الوحدات لتوفير بيئة آمنة لإدخال الأرقام السرية، مع وسائل لحماية مكوناتها الداخلية ومقاومة العبث بها أو كشف البيانات الحساسة.
وتكمن النقطة المهمة في أن الرقم السري يكون معروفًا للمكوّن الأمني المختص أثناء معالجته، لكنه لا يحتاج إلى الظهور مكشوفًا أمام البرنامج الرئيسي الذي يدير شاشة الماكينة وبقية وظائفها.
وبالتالي، فإن القول إن الماكينة لا تعرف الرقم السري إطلاقًا ليس دقيقًا تقنيًا؛ فالحماية تعتمد على عزل معالجة الأرقام داخل مكوّن آمن، وليس على عدم استقبالها من الأساس.
من الذي يتحقق من الرقم السري ويوافق على السحب؟
بعد إدخال الرقم السري، تبدأ مرحلة التحقق المصرفي. ففي عمليات السحب التي تعتمد على التحقق الإلكتروني، تنتقل بيانات العملية عبر أنظمة المعالجة المعتمدة، بينما يظل الرقم السري محميًا بالتشفير وفق القواعد الأمنية المطبقة.
وتوضح إرشادات شركة Visa أن التحقق الإلكتروني من الرقم السري يتم بمعرفة البنك مصدر البطاقة أو الجهة المختصة التي تعمل نيابة عنه، باستخدام وحدات أمنية متخصصة تسمى Hardware Security Modules، واختصارها HSM.
وتتولى هذه الوحدات تنفيذ عمليات التحقق المشفرة داخل بيئة محمية، دون الحاجة إلى إظهار الرقم السري لموظف البنك أو التعامل معه باعتباره نصًا مكشوفًا داخل أنظمة التشغيل العادية.
وفي مصر، يوضح البنك المركزي المصري أن شركة بنوك مصر للتقدم التكنولوجي تدير الربط بين شبكات ماكينات الصراف الآلي التابعة للبنوك المختلفة، ما يسمح بتنفيذ المعاملات المصرفية من ماكينات لا تتبع بالضرورة البنك الذي أصدر البطاقة.
ويعني ذلك أن استخدام بطاقة صادرة من بنك على ماكينة تابعة لبنك آخر قد يتطلب مرور طلب العملية عبر شبكة الربط المصرفية للوصول إلى الجهة المسؤولة عن التحقق والموافقة.
ولا تقتصر الموافقة على صحة الرقم السري؛ إذ تشمل مراجعة إمكانية استخدام البطاقة، والرصيد المتاح أو الحد الائتماني بحسب نوعها، والحدود المقررة للسحب وأي قيود أخرى تنطبق على العملية.
كيف تتحول موافقة البنك إلى أموال تخرج من الماكينة؟
بمجرد الموافقة على السحب، تنتقل العملية من مرحلة التحقق الإلكتروني إلى مرحلة تنفيذ صرف النقود داخل ماكينة ATM.
وتحتوي الماكينات على خزائن مخصصة للأوراق النقدية، تتصل بوحدة ميكانيكية مسؤولة عن سحب الأوراق وتجميع المبلغ المطلوب، ثم نقله إلى فتحة خروج الأموال.
وتوضح المواصفات الفنية المنشورة لشركة Hyosung، المتخصصة في تصنيع أجهزة الصراف الآلي، أن بعض طرازات الماكينات تحتوي على عدة خزائن للفئات النقدية، وأنظمة لتجميع الأوراق وتقديمها للعميل، إلى جانب آليات لاستبعاد الأوراق التي لا يمكن صرفها بصورة سليمة.
وتختلف الإمكانات التفصيلية من طراز إلى آخر، لكن المبدأ الأساسي هو أن الماكينة لا تبدأ تنفيذ صرف النقود لمجرد كتابة الرقم السري الصحيح، وإنما بعد استكمال إجراءات الموافقة اللازمة.
وقد تظهر رسالة برفض السحب رغم صحة الرقم، إذا كان المبلغ المطلوب يتجاوز الرصيد أو الحد المسموح، أو تعذر تنفيذ المعاملة بسبب مشكلة فنية أو عدم توافر النقدية المناسبة داخل الجهاز.
وفي بعض الحالات، قد تحصل الماكينة على الموافقة المصرفية ثم تتعطل مرحلة صرف الأوراق النقدية، ما يؤدي إلى عدم استلام الأموال رغم ظهور خصم بالحساب.
ويوضح البنك التجاري الدولي CIB ضمن إرشاداته الخاصة بماكينات الصراف الآلي أن تعذر خروج النقود قد يستدعي مراجعة العملية، مع إتاحة الإبلاغ عن المشكلة من خلال خدمة العملاء باستخدام بيانات الماكينة والمعاملة.
هل تشفير الرقم السري يمنع سرقته تمامًا؟
رغم وجود أنظمة التشفير، فإن حماية الرقم السري داخل ماكينة ATM لا تعني استحالة تعرضه للسرقة، لأن بعض محاولات الاحتيال تستهدف التقاط الأرقام أثناء إدخالها، وقبل وصولها إلى المكوّن الأمني الأصلي.
وقد يستخدم المحتالون كاميرات خفية أو لوحات مفاتيح مزيفة توضع فوق المكونات الحقيقية لمحاولة تسجيل الأرقام التي يضغط عليها العميل، وهو خطر مختلف عن محاولة اختراق عملية التشفير المصرفي نفسها.
ولهذا يشدد البنك التجاري الدولي على ضرورة تغطية لوحة المفاتيح عند إدخال الرقم السري، وفحص الماكينة بحثًا عن أي أجزاء غير مألوفة، وعدم قبول مساعدة أشخاص مجهولين أثناء تنفيذ المعاملة.
كما يؤكد بنك مصر ضرورة عدم الإفصاح عن الرقم السري للبطاقة أو رموز التحقق لأي طرف يطلبها، حتى عند الادعاء بوجود مشكلة تتعلق بالحساب أو البطاقة البنكية.
وعند الاشتباه في كشف الرقم السري أو تعرض البطاقة للتلاعب، يكون التواصل مع البنك مصدر البطاقة عبر قنواته الرسمية هو الإجراء المناسب لتأمينها، مع طلب تغيير الرقم أو إيقاف البطاقة وفق طبيعة الحالة.
وتوضح هذه المنظومة أن عملية السحب من ماكينة ATM تعتمد على ثلاث وظائف مختلفة: حماية الرقم السري والتحقق منه، ثم الموافقة المصرفية على المعاملة، وأخيرًا تنفيذ صرف النقدية. ولا يغني نجاح إحدى هذه المراحل عن استكمال بقية الإجراءات قبل تسليم الأموال.