تحقيق في اختراق البريد الإلكتروني للشركة: ترتيب الساعة الأولى واستدعاء الحوالة

أربع ساعات لا أربعة أسابيع: لماذا يخسر التحقيق قبل أن يبدأ

هذا النوع من الاحتيال ليس هجومًا تقنيًا معقدًا بقدر ما هو هجوم على تسلسل الموافقات. المهاجم يعرف أن الشركة تحوّل لمورّدها الأول مبلغًا في نهاية كل شهر، وأن سقف التحويل اليومي يسمح بضعف المبلغ، وأن المحاسب يحصل على الموافقة في محادثة واحدة. فيدخل ليغيّر رقم حساب واحدًا، ثم ينتظر أيامًا حتى يعود الموضوع إلى مساره الطبيعي. والنتيجة أن الشركة تكتشف الحادثة متأخرة أسبوعًا أو أسبوعين، وتظن أن التأخير في التحويل هو المشكلة، بينما المشكلة أن الدليل الذي يثبت الاختراق كان موجودًا في ذلك الأسبوع، وبعضه بقي منه القليل.

الأرقام توضح حجم المشكلة لا حجم الخطر على شركتك. في تقرير مركز شكاوى جرائم الإنترنت الأميركي لعام 2024، بلغ عدد شكاوى هذا النوع 21,442 شكوى بقيمة 2,770,151,146 دولارًا، في حين أن مجموع الشكاوى كلها 859,532 شكوى بخسائر 16.6 مليار دولار. أي أن هذا النوع وحده، وهو سابع أكثر الجرائم إبلاغًا، كان ثاني أكبر بند خسائر في التقرير. والنشرة التي أصدرها المركز في سبتمبر 2024 جمعت 305,033 حادثة بين أكتوبر 2013 وديسمبر 2023 بخسائر مُعرَّضة بلغت 55.5 مليار دولار، وهي أرقام لا تُقاس بها شركتك، لكنها تقول شيئًا واحدًا: هذا ليس حادثًا فرديًا يعالج بحسن نية، بل نموذج عمل له إجراءات مضادة معروفة.

ولذلك فإن ساعة الاكتشاف ليست ساعة الحادثة. الحادثة وقعت قبلها بأسابيع، عندما أُنشئت القاعدة داخل صندوق البريد أو عندما مُنحت موافقة تطبيق خارجي قراءة البريد. والتأخير في الاكتشاف يستهلك ثلاثة أشياء في وقت واحد: نافذة الاستدعاء عند البنك، وصلاحية السجلات التي تثبت ما جرى، وثقة العملاء الذين سيصلهم بريد من نطاقك بعد ذلك. والتحقيق الناجح هو الذي يشتري الوقت في الثلاثة معًا، لا الذي يكتب تقريرًا أنيقًا بعد شهر.

أول قرار: اختراق حساب أم انتحال اسم؟ الفرق يحدد كل ورقة تكتبها

قبل أي اتصال، يجب أن تُصنَّف الحادثة في واحدة من ثلاث حالات، لأن كل حالة لها دليل مختلف وجهة إبلاغ مختلفة ومن يحمل الخسارة مختلف.

• حساب داخلي مخترق. الرسالة خرجت فعلًا من نطاقك، ويوجد في سجلاتك ما يثبت ذلك: جلسة دخول من عنوان غريب، وقاعدة أُنشئت، ورسالة في «المرسلة». هنا أنت الطرف الذي يملك الدليل، والبنك يستطيع أن يتحقق من أن الشركة نفسها لا تنفي إرسالها.
• انتحال نطاق خارجي. الرسالة لم تمرّ عبر خوادمك أبدًا. المهاجم سجّل نطاقًا يشبه نطاقك بحرف واحد، أو استخدم عنوانًا مجانيًا باسم عرض مطابق لاسم المدير المالي. لا يوجد في سجلاتك شيء، ولا يوجد حساب مخترق تُعالجه؛ المطلوب إثبات أن الرسالة ليست منك، وهذا يفعله رأس الرسالة لا كلامك.
• اختراق حساب شريك. البريد حقيقي، والمرسل حقيقي، والنطاق حقيقي، وصاحب الحساب ضحية أيضًا. هذه الحالة هي الأصعب في الإبلاغ والأسهل في التصديق، لأن كل شيء في الرسالة سليم إلا الرقم.

التصنيف يُقرأ من رأس الرسالة، لا من اسم المرسل الظاهر. افتح «عرض التفاصيل» أو صدّر الرسالة بصيغة EML، ثم اقرأ من الأعلى: نتيجة المصادقة (SPF وDKIM وDMARC) على النطاق الذي يدّعيه المرسل، وسلسلة الاستلام Received بترتيبها الزمني، وقيمة Return-Path، وقيمة Reply-To، ومعرّف الرسالة Message-ID. إن كانت المصادقة تمرّ بنطاقك أنت، فالحساب عندك مخترق ولو بدا العنوان غريبًا. وإن كان النطاق المُوقّع نطاقًا آخر يشبه نطاقك، فالرسالة انتحال خارجي ولو بدا الاسم مطابقًا. وإن مرّت المصادقة بنطاق المورّد الحقيقي، فالمورّد هو من يجب أن يتلقى الاتصال في اليوم نفسه، لأن كل عميل آخر لديه سيتلقى الرسالة نفسها.

الفرق ليس أكاديميًا. في الحالة الأولى تكتب إلى البنك: «حساب الموظف اخترق، وهذه سجلات الدخول، والشركة لم تأمر بالتحويل». في الثانية تكتب: «هذه الرسالة ليست من نطاقنا، وانظروا إلى نتيجة المصادقة فيها». البنك يقبل الثانية أسرع، لأنها قابلة للتحقق من طرف ثالث، بينما الأولى تحتاج منك أن تثبت نفيًا. وفي الحالتين، البيان المكتوب في أول ساعة يحدد ما إذا كان طلب الاستدعاء سيُفتح كبلاغ احتيال أم سيُغلق كمطالبة عميل غير راضٍ.

ترتيب الساعة الأولى: البنك قبل البريد، وقاعدة «لا تحذف شيئًا»

الغرائز في هذه اللحظة خاطئة بترتيبها لا بمضمونها. أول ما يفعله معظم الناس هو تغيير كلمة المرور، وهو صحيح لكنه ليس الأول، لأن تغيير كلمة المرور يحلّ الجلسة الحالية وقد يمحو أثرًا. الترتيب الذي يحفظ لك الحق والدليل معًا هو:

• الاتصال بالبنك أولًا. لا تنتظر أن تفرغ من قراءة البريد. اطلب «طلب استدعاء تحويل احتيالي» بهذه العبارة، لا «استفسار عن حوالة». وسجّل وقت الاتصال واسم الموظف والرقم المرجعي الذي أُعطي لك، لأنه سيصبح أول ختم زمني في الملف.
• تثبيت الأدلة بصيغة تُقرأ لا بصورة. صدّر الرسالة الاحتيالية كملف EML لا كصورة شاشة، وصدّر سجل التدقيق للفترة نفسها، وانزع صورة من القاعدة المشبوهة أو أوقفها بدل حذفها.
• إيقاف الجلسات لا مسحها. أنهِ الجلسات النشطة، وأزل أجهزة الوصول الموثوقة، وألغِ كلمات مرور التطبيقات، وأزل قواعد التوجيه الخارجي ووافق على إلغاء موافقات التطبيقات الخارجية. هذه الخطوات تُبطل الوصول ولا تُفقد السجل.
• رسالة واحدة إلى المورّد. بالهاتف على رقم من عقد لا من بريد، وبلا تفاصيل مالية. الغرض إثبات أن الفاتورة التي وصلتك ليست منه، وأن الرقم الذي حُوّل إليه ليس رقمه.
• لا تردّ على المرسل. لا برد ولا بأي رسالة تُعلمه بأنك كشفت الأمر. هذا يمنحه وقتًا لنقل المال، ويجعله يحذف ما يحتاجه التحقيق.

ما يجب أن يكون في يدك قبل أن تُكمل المكالمة الأولى ستة عناصر: المبلغ بالرقم، وتاريخ استحقاق التحويل، والحساب المرسل منه، وحساب المستفيد مع رمز البنك، والمرجع الذي منحه نظامك للعملية، والغرض المكتوب في الحوالة. في التحويلات الدولية يُضاف عنصر سابع هو المرجع الفريد لكل عملية عبر شبكة المراسلات المصرفية، وهو سلسلة من 36 خانة تُعرف اختصارًا بـUETR وتُدرج في الحوالة لتمكين تتبعها من طرف إلى طرف. من يملك هذا المرجع يستطيع أن يسأل عن مكان المال بالرقم، ومن لا يملكه يبقى يسأل «عن حوالة الأسبوع الماضي». وإذا كان الحساب شخصيًا معروف الهوية لا حسابًا مؤسسيًا، فإن ترتيب استعادة السيطرة يختلف قليلًا ويُفصّل في دليل استرجاع الحساب المخترق.

ما يقبله البنك دليلًا، وما يرفضه ولو كان صحيحًا

البنك لا يحقق في نيتك، بل في مسؤوليته. سؤاله الداخلي واحد: هل نفّذتُ تعليمًا صحيحًا من صاحب الحساب أم نفّذتُ تعليمًا لم يصدر منه؟ وكل ورقة تقدّمها إما تجيب على هذا السؤال أو تُضيف عملًا. ما يُقبل عادة:

• سجل التعليم من داخل النظام المصرفي: من أنشأ الحوالة، من أي جهاز، ومن أي عنوان شبكة، وفي أي توقيت. هذا سجل البنك لا سجلك، وهو أثقل من أي شهادة.
• الرسالة الاحتيالية كاملة برأسها: ملف EML أو MSG الأصلي، لا نص منسوخ ولا صورة مقصوصة، لأن الرأس هو ما يُثبت المسار والمصادقة والتوقيت.
• سجل صندوق البريد: دخول من موقع لم يسبق له، وقاعدة أُنشئت، وتوجيه إلى عنوان خارجي. هذا يحوّل «يبدو أن أحدهم كان في البريد» إلى حدث موثّق بتاريخ.
• رقم بلاغ رسمي: الشرطة أو وحدة الجرائم المعلوماتية. البنك لا يستطيع تجميد مال شخص آخر على أساس شكوى مدنية بين شركتين، ويستطيع ذلك على أساس بلاغ جزائي.
• طلب مكتوب موقّع من المفوض بالتوقيع مع ما يثبت صفته، ومكتوب فيه بوضوح: نطلب استدعاء الحوالة رقم كذا بتاريخ كذا، لا نطلب تعويضًا في هذه المرحلة.

وما يُرفض أو يُضعف موقفك: صور الشاشة المقصوصة التي لا يظهر فيها رأس الرسالة، والرسائل المُعاد توجيهها لأنها تفقد رأسها الأصلي، والوصف الشفهي بلا مستند، والتقرير المكتوب بعد أسبوعين بلا أثر معاصر يدعمه، والخطاب الذي يبدأ بمطالبة بالتعويض قبل أن يطلب استدعاء. الفرق بين الصياغتين ليس لفظيًا: الأولى تفتح إجراء احتيال عند البنك، والثانية تفتح شكوى عميل، ومسارهما الزمني وصلاحياتهما مختلفان تمامًا.

وهناك حد يجب أن يُقال صراحة: طلب الاستدعاء ليس أمرًا. أنت تطلب من مصرفك أن يطلب من مصرف المستفيد إعادة مال حُوّل بأمر صحيح ظاهريًا. ومصرف المستفيد يستطيع أن يرفض إذا كان المال قد خرج، أو إذا كان صاحب الحساب يعترض، أو إذا لم يجد سببًا نظاميًا للتجميد. ولهذا فإن العجلة ليست أسلوبًا في المطالبة، بل هي المادة التي يعمل بها الاستدعاء.

مسار الاستدعاء: كيف يتحرك الطلب على كل قضيب دفع، وأين يتوقف المال

في التحويلات الدولية، الممارسة المعيارية اليوم هي رسالة طلب إلغاء من نوع MT192، ويُفضّل أن تحمل في حقلها المخصص للتفاصيل الرمز /FRAD/ لتصنيفها كطلب احتيال لا كخطأ تشغيلي. ومع الانتقال إلى صيغة الرسائل المصرفية الحديثة، يقابل ذلك رسالتا camt.056 لطلب الاستدعاء وcamt.029 للرد عليه، وقد أعلنت شبكة المراسلات المصرفية أن الصيغة القديمة ستتوقف تدريجيًا مع إلزام بالانتقال قبل نوفمبر 2027. عمليًا، ما يهمك كضحية ليس رقم الرسالة بل ما تفعله في الطرف الآخر: المصرف المستلم يضع المال تحت الحجز إن كان ما زال في الحساب، ويطلب منك ما يبرر الحجز.

وهنا التفصيل الذي لا تجده في معظم المقالات العربية: الممارسة التي أقرّتها الشبكة لاسترداد العمليات المشتبه بها تمنح المصرف المستلم مهلة قصيرة، ثلاثة أيام عمل، لحجز المال مقابل تقديم بلاغ شرطة، ثم مهلة أطول، واحد وعشرين يوم عمل إضافية، ليبقى المال محجوزًا بانتظار تعهد بالتعويض أو حكم قضائي. أي أن البلاغ الرسمي ليس إجراءً موازيًا للاستدعاء، بل هو الشرط الذي يحوّل الحجز من ثلاثة أيام إلى أربعة وعشرين. ومن يؤجل البلاغ إلى ما بعد استلام رد البنك يخسر المال في اليوم الرابع.

أما على القضبان المحلية فالصورة أضيق. أنظمة التحويل الفوري صُممت لتُنهي العملية في ثوانٍ، والاستدعاء فيها ليس حقًا بل طلب حسن نية يعتمد على ما إذا كان المال ما زال في حساب المستفيد. ولذلك فإن الرافعة الحقيقية في التحويل المحلي ليست الاستدعاء، بل التزام مصرف المستفيد بمعرفة عميله ومراقبة العمليات غير الاعتيادية: حساب استقبل مبلغًا كبيرًا أول مرة ثم حاول تحويله للخارج في الساعة نفسها هو إشارة غسل أموال قبل أن تكون نزاعًا مدنيًا. ولهذا فإن الخطاب الذي يقول للبنك «هذا الحساب المستفيد نمط استخدام مشبوه» يعمل أسرع من الخطاب الذي يقول «أرجوكم استرجعوا مالي».

والحد الزمني الأخير هو ما يسميه المحققون القفزة الثانية: المال يخرج من حساب المستفيد إلى حساب آخر خلال دقائق من وصوله. في هذه اللحظة ينتقل الأمر من مصرف إلى مصرف، ومن نظام مدني إلى نظام جزائي، ولا يعود المال بأثر رجعي بل بأمر قضائي على حساب لاحق. ولهذا فإن كل ساعة تُنفق في تحرير خطاب جميل هي ساعة يبني فيها الطرف الآخر طبقة أخرى.

ثلاثة أسباب ترفض بها البنوك: التفويض، والإهمال الجسيم، والتأخير

حتى لو أثبتّ أن الحساب اختُرق، فإن السؤال الثاني هو: من فوّض التحويل؟ في معظم الحالات يكون الجواب أن موظفًا في شركتك أنشأ الحوالة بنفسه، بناءً على رسالة قرأها. وهذا ليس دفاعًا جاهزًا للبنك فحسب، بل هو نقطة الضعف الحقيقية في الملف، لأن أنظمة المسؤولية بُنيت على التمييز بين عملية غير مصرّح بها وبين عملية صرّح بها صاحبها بعد أن خُدع.

الأول هو الإهمال الجسيم: القواعد التي تمنح تعويضًا عن العمليات غير المصرّح بها تستثنيه صراحة إذا ثبت احتيال العميل أو إهماله الجسيم. وفي الإمارات مثلًا، تُلزم معايير حماية المستهلك المؤسسة المالية بردّ المبالغ غير المصرّح بها خلال ثلاثين يومًا تقويميًا من الإبلاغ أو من انتهاء التحقيق أيهما أقصر، وينسحب هذا الالتزام إذا ثبت الاحتيال أو الإهمال الجسيم. والنظام لا يعرّف الإهمال الجسيم، وهذا بالضبط مكان المعركة: ترك بريد مدير مالي بلا تحقق بخطوتين، أو قبول تغيير رقم حساب من رسالة بلا اتصال تحقّق، أو تعطيل تنبيه الدخول من موقع جديد — كلها وقائع تُقرأ ضدك.

الثاني هو التأخير: في الإمارات كذلك، يجب أن يُتاح للمستهلك ثلاثون يوم عمل على الأقل للإبلاغ عن عملية غير مصرّح بها، وهو سقف لا يعني أن الانتظار بلا ثمن. والثالث هو التفويض المكتوب في العقد: شروط الحساب المؤسسي تُحمّل العميل عبء حماية وسائل الدخول وتُبرئ البنك من نتائج إفشائها. والنتيجة العملية أن الشركة لا تواجه البنك بوصفها «مستهلكًا» محميًا، بل بوصفها طرفًا في عقد، لأن تعريف المستهلك في أنظمة حماية العملاء يقتصر عادة على الشخص الطبيعي أو صاحب المؤسسة الفردية، ولا يشمل الشركة ذات الشخصية الاعتبارية.

وهذا لا يعني أن الشركة بلا موقف، بل يعني أن موقفها يُبنى على ثلاثة أعمدة أخرى: أن البنك لم يطبّق ضوابطه في مراقبة العمليات غير الاعتيادية، وأنه كان يستطيع التوقف بسؤال واحد، وأن رسالة الاحتيال كانت تحمل مؤشرات تزوير كان على نظامه أن يلتقطها. هذه حجج تُكتب في مرحلة لاحقة، لكن أساسها يُجمع في الساعة الأولى.

أين يعيش المهاجم فعلًا: القواعد والتوجيه والوكلاء وموافقات التطبيقات

معظم عمليات هذا النوع لا تحتاج إلى برمجية خبيثة على جهازك. تكفي كلمة مرور أُعيد استخدامها في موقع آخر تعرّض للتسريب، أو صفحة دخول مزيفة التقطت الجلسة، أو موافقة على تطبيق قرأ البريد. وبعد الدخول لا يبقى المهاجم في صندوق الوارد؛ يبني ما يجعله غير مرئي:

• قاعدة تُخفي الرسائل بدل حذفها. قاعدة تنقل كل رسالة من عنوان معيّن إلى مجلد مطوي، وقاعدة تحذف كل تنبيه يخص تحويلًا. الصندوق يبدو نظيفًا، والبريد يمرّ.
• توجيه خارجي. نسخة صامتة من كل رسالة إلى عنوان خارجي. وهذا أخطر بند لأنه يستمر بعد تغيير كلمة المرور إن لم يُبحث عنه صراحة.
• وصول نيابة. منح صندوق البريد لطرف آخر يفتحه دون أن يعرف صاحبه، ويمنح المهاجم مرونة كاملة في قراءة الردود.
• موافقة تطبيق. إذن دائم لتطبيق خارجي بقراءة البريد أو تعديله، ويبقى نافذًا بعد كل تغيير لكلمات المرور.
• عنوان إرسال إضافي أو نطاق مستعار. يسمح للمهاجم بالكتابة باسم يشبه اسمًا داخليًا معروفًا داخل نطاقك أنت.

وهذه البنود الخمسة هي ما يجب أن يُفحص قبل أن يُقال إن الاحتواء انتهى، لأن تغيير كلمة المرور يعالج الدخول ولا يعالج ما بُني بعد الدخول. والفحص نفسه هو ما يُنتج الدليل: كل قاعدة لها تاريخ إنشاء، وكل موافقة لها تاريخ منح وسجل وصول، وكل توجيه له عنوان مستقبِل. هذه التواريخ هي الجواب على السؤال الذي يسأله البنك والمحامي والمحقق: متى بدأ الوصول، وماذا قرأ صاحبه.

قراءة السجل: الأحداث التي تكفي، وسقف الاحتفاظ بها

لا تحتاج إلى محلل سجلات لتثبت الاختراق؛ تحتاج إلى خمسة أنواع من الأحداث بتواريخها. أولها محاولات الدخول ونجاحها، بما فيها عنوان الشبكة والبلد والجهاز ونتيجة التحقق الإضافي. وثانيها إنشاء القواعد وتعديلها وحذفها، وهذا هو الحدث الأهم لأنه يربط الاختراق بالرسالة الاحتيالية. وثالثها سجل التوجيه والوكلاء والأذونات. ورابعها عمليات البحث داخل البريد في الفترة المشبوهة، لأن المسار الذي بحث عنه المهاجم يدلّ على ما كان يبحث عنه. وخامسها الرسائل التي أُرسلت من الحساب فعليًا في تلك النافذة، لأنها تثبت أن النطاق استُخدم لا أن اسمه انتُحل.

والمشكلة أن هذه السجلات لها سقف، والسقف أقصر مما يتصوره معظم المدراء. في خدمات البريد المؤسسية الشائعة، يحتفظ سجل التدقيق القياسي مئة وثمانين يومًا افتراضيًا، وكان تسعون يومًا قبل أكتوبر 2023، ويصل إلى سنة في الاشتراكات الأعلى، بينما تُحتفظ سجلات الدخول والتدقيق في خدمة الهوية بسبعة أيام في الاشتراك المجاني وثلاثين يومًا في الاشتراك المدفوع. وفي بيئة عمل سحابية أخرى، يُحتفظ بسجل أحداث البريد ثلاثين يومًا فقط، وبقية سجلات المسؤول ستة أشهر، ولا يستطيع المسؤول تمديد المدة ولا حذف السجل. النتيجة أن الشركة التي تنتظر أسبوعين قبل أن تفتح السجل قد تجد أن ما تحتاجه قد انتهى، وأن استمرار النزاع شهرًا آخر يعني أن ما جمعته بالأمس هو كل ما سيبقى.

ولهذا فإن أول عمل بعد التصدير ليس التحليل بل الحفظ: انقل ما صدّرته إلى وسيط للقراءة فقط، وثبّت بصمة تحقّق له، وسجّل من صدّره ومتى وبأي صلاحية. والملف الذي لا يُعرف من أنتجه ولا متى يُشكَّك فيه ولو كان صحيحًا.

نطاق التعرض: ما قُرئ، وما عُدّل، وما خرج بهدوء

بعد إثبات أن أحدهم كان داخل البريد، يأتي سؤال الضرر، وهو سؤال يُجاب عنه بالأسابيع لا بالساعات. ثلاثة أنواع من الأثر تُخلط عادة في جملة واحدة: ما قُرئ، وما عُدّل، وما خرج. الأول يحدد سرية المعلومات، والثاني يحدد مصداقية مستنداتك، والثالث يحدد التزاماتك النظامية تجاه الغير.

ما قُرئ يُبنى من سجل البحث والوصول: الرسائل التي فُتحت من الجلسة المشبوهة، والمجلدات التي دخلها الحساب، والملفات التي نُزّلت من التخزين السحابي المرتبط. وما عُدّل يُبنى من سجل التغيير في التقويم والمستندات المشتركة: موعد تغيّر، أو ملف حُذف، أو رقم حساب في مستند أُبدل. وأما ما خرج بهدوء فليس حدثًا واحدًا بل ثلاثة: توجيه خارجي يستمر لأشهر، وموافقة تطبيق تقرأ كل رسالة جديدة، ورسالة أُرسلت من الحساب إلى قائمة جهات اتصال لا تعرف عددها.

العملي هنا هو تقسيم العمل على محورين: من ناحية الأثر، اسأل «أي مستند خارجي يعتمد على بريدي؟». ومن ناحية البيانات، اسأل «أي رسالة تحمل بيانات شخصية أو مالية أو تعاقدية؟». الجواب الثاني هو ما يحدد التزاماتك بالإبلاغ عن تسرب البيانات في الأنظمة التي تُلزم الجهة المتأثرة بإخطار الجهة الرقابية والأفراد، وهو التزام له مهلة بالساعات لا بالأسابيع. والجواب الأول هو ما يحدد عدد الاتصالات التي ستجريها هذا الشهر مع عملاء ومورّدين يجب أن يعرفوا أن رسالة وصلتهم من نطاقك ليست منك.

الاحتواء بلا إتلاف: الترتيب الذي يفرق بين تحقيق ومحو

الاحتواء الخاطئ يستهلك آخر نسخة من الدليل. أربعة أخطاء تتكرر: حذف القاعدة بدل تعطيلها، وإعادة تصفير الجهاز قبل أخذ صورة من سجلات المتصفح والجلسات، وحذف الرسائل الاحتيالية من صندوق الموظف «حتى لا يضغط عليها أحد»، وحذف الحساب نفسه لأن الموظف غادر. كل واحد من هذه الأخطاء يحوّل حادثة موثّقة إلى رواية.

الترتيب الصحيح يبدأ بالتصدير ثم بالعزل: صدّر سجلات البريد والدخول للفترة الممتدة من أقدم أثر مشتبه به إلى اليوم، ثم افصل الحساب عن الوصول الخارجي مع إبقائه قابلًا للفحص، ثم أنهِ الجلسات وأزل الأجهزة الموثوقة وكلمات مرور التطبيقات، ثم أزل التوجيه والوكلاء والأذونات، ثم بدّل كلمات المرور على جهاز نظيف، ثم افحص بقية الحسابات بحثًا عن القاعدة نفسها لأن المهاجم يكرر ما نجح. وإذا كان الحساب هو نقطة الوصول إلى أنظمة أخرى، فإن الاحتواء يشمل إبطال تلك الجلسات أيضًا، لا البريد فقط.

والجزء الذي يُنسى هو التحقق بعد الاحتواء. القاعدة التي أُعيد إنشاؤها بعد ثلاثة أيام تعني أن المهاجم ما زال يملك طريقًا آخر: كلمة مرور تطبيق لم تُلغَ، أو موافقة تطبيق لم تُسحب، أو وكيل لم يُزل، أو بريد استرداد يعود إليه. والاختبار العملي هو إعادة قراءة السجلات بعد الاحتواء بأربع وعشرين ساعة والبحث عن أي دخول من شبكة لم تظهر قبل ذلك الحين. وللترتيب الكامل على مستوى المؤسسة، من تصنيف الحادثة إلى إغلاق الملف ومراجعته، خطة الاستجابة للحوادث السيبرانية.

الضحية الثانية: عملاؤك ومورّدوك بعد أن صار نطاقك موثوقًا

الخسارة لا تتوقف عند الحوالة. بعد أن يصبح النطاق مصدرًا لرسائل مقنعة، تبدأ موجة ثانية: عميل يُطلب منه تغيير حساب التحصيل، ومورّد يُبلَّغ بتعديل بيانات الدفع، وموظف يُطلب منه تحويل مستحقات. وهذه الموجة أخطر من الأولى لأنها تصيب أطرافًا لا يعرفون أنك تعرضت لحادثة، ولأن كل واحد منهم سيقول لاحقًا إنه تصرف بناءً على بريدك.

ولهذا فإن أول اتصال صادر منك بعد الاحتواء يجب أن يكون تحذيرًا لا اعتذارًا: رسالة واحدة واضحة إلى قائمة عملائك ومورّديك تقول إن نطاقك تعرّض لحادثة في تاريخ محدد، وإن أي طلب لتغيير بيانات دفع في تلك الفترة يُعد ملغى حتى تتأكد منه بالهاتف، وإن أرقام الحساب المعتمدة هي كذا فقط. ويُستحسن أن تكون هذه الرسالة موقّعة باسم معروف وأن تُنشر أيضًا على صفحة في موقعك، لأن المُحصّل الذي سيقرأها بعد شهر سيحتاج مرجعًا يجدها فيه.

وهناك أثر داخلي لا يُقاس بالمال: الطلب الذي سيعود إلى الموظفين بأن يتوقفوا عن التصديق. الطريقة الوحيدة لحماية هذا الأثر هي إجراء تحقق واحد يصبح عادة: أي تغيير في بيانات دفع يُؤكَّد بمكالمة على رقم من عقد لا من بريد. الشركات التي تنجو من الموجة الثانية هي التي تجعل هذا الإجراء شرطًا إلزاميًا لا نصيحة، ولا تربطه بحسن تقدير الموظف في لحظة ضغط.

الإبلاغ الرسمي: السعودية والإمارات ومصر — من، وبماذا، ومتى

الإبلاغ ليس إجراءً واحدًا، بل أربعة مسارات متوازية: مصرفي، وجزائي، ورقابي، وحماية بيانات. والخطأ الشائع أن يُنتظر رد البنك قبل فتح الثلاثة الأخرى، بينما البنك نفسه يحتاج البلاغ ليمدّ الحجز.

السعودية. يُفتح البلاغ الجزائي عبر منصة الشرطة أو النيابة العامة بحسب الاختصاص، وتُبلَّغ الحوادث السيبرانية للجهات الوطنية عبر مركز الهيئة الوطنية للأمن السيبراني على الرقم الموحّد 936 وعبر بريدها الرسمي is@nca.gov.sa، مع الالتزام بضوابط الهيئة. وللحوادث التي تمس بيانات شخصية، تُلزم اللائحة التنفيذية لنظام حماية البيانات الشخصية الجهة المسؤولة بإخطار الجهة المختصة عند وقوع تسرب يضر بأصحاب البيانات، وبمهلة قصيرة تُقاس بالساعات لا بالأيام، وتُحدد في اللائحة باثنتين وسبعين ساعة من العلم بالحادثة. وإلى جانب ذلك، فإن قواعد حماية العملاء الماليين لدى البنك المركزي السعودي تتضمن مبدأ الحماية من الاحتيال وسوء الاستخدام، وتُلزم المؤسسات المالية بتوفير قناة إبلاغ عن الاحتيال على مدار الساعة، وتقرر تعويض العميل عن الخسارة المباشرة الناتجة عن اختراق القنوات الإلكترونية أو ضعف أمنها، وتحدد مدة قصيرة لمعالجة مطالبات مدى. وهذه القواعد مكتوبة للعميل الفردي، والشركة تقرأها كمعيار سلوك لا كحق مباشر، وهو ما يجعل ملفك أقوى حين يُقرأ سجل البنك على ضوء ما يعتبره المنظم سلوكًا معقولًا.

الإمارات. البلاغ الجزائي يُقدَّم عبر منصات الشرطة الرقمية، والشكوى المصرفية تُقدَّم للبنك أولًا ثم تُصعَّد إلى وحدة حماية المستهلك في المصرف المركزي ثم إلى «سندك» إذا لم تُحل. ومعايير حماية المستهلك تمنح ثلاثين يوم عمل للإبلاغ عن العملية غير المصرّح بها، وتُلزم بالرد الكتابي على الشكوى خلال يومي عمل وبالرد النهائي المسبب خلال ثلاثين يوم عمل، وتُلزم بإبلاغ العميل خلال يومي عمل من استلام المال المعاد من مصرف مراسل. وتسري هذه الحقوق على المستهلك بمعناه المحدد في نظام حماية المستهلك، وهو الشخص الطبيعي أو صاحب المؤسسة الفردية، ولذلك فإن الشركة ذات الشخصية الاعتبارية تستخدمها كمرجع سلوك وتستند في مطالبتها إلى عقد الحساب. وللبيانات الشخصية، يُلزم قانون حماية البيانات الشخصية الجهة بالتبليغ عن أي اختراق يمس البيانات عند العلم به، وبالمدى الذي تحدده أحكامه التنفيذية.

مصر. الشكوى تبدأ عند البنك، الذي يجب أن يمنحك رقمًا مرجعيًا خلال يومي عمل، وأن يرد خلال خمسة عشر يوم عمل، وبعدها يجوز التصعيد إلى وحدة حماية حقوق العملاء بالبنك المركزي المصري. والبلاغ الجزائي يُقدَّم إلى النيابة العامة أو إلى إدارة مباحث الإنترنت بوزارة الداخلية، ورقم مكافحة جرائم المعلومات هو 108. أما حوادث الأمن السيبراني في القطاع المالي فللقطاع مركز استجابة خاص لدى البنك المركزي، وهو مسار المؤسسة لا مسار العميل. ويُضاف إلى ذلك نظام مكافحة جرائم تقنية المعلومات الذي يُلزم مقدمي الخدمة بالاحتفاظ بسجلاتهم مدة لا تقل عن مئة وثمانين يومًا، وهي مدة تُحدد سقف ما تستطيع طلبه لاحقًا من مزودك.

في المسارات الأربعة، ما يُكتب في البلاغ هو نفسه في كل مكان: تاريخ أول أثر، وتاريخ التحويل، والمبلغ، وحساب المستفيد، والرسالة الاحتيالية كمرفق، وسجل الدخول المشبوه كمرفق، وطلب صريح بحجز الأموال. والبلاغ الذي يترك خانة «المبلغ» فارغة يُعاد إليك.

التأمين والمسارات المدنية: الشبكة التي تُهمل بعد البنك

بعد أن يرفض البنك أو يتأخر، يتوقف معظم الناس، والحال أن هناك مسارين آخرين يعملان بالتوازي. الأول بوليصة التأمين على الجريمة الإلكترونية أو على الاحتيال، وهي تحتوي في الغالب شرطًا واحدًا يقتل المطالبة: الإخطار الفوري عند العلم بالحادثة. الشركة التي تبلغ وسيطها بعد شهرين لأنها كانت «تنتظر نتيجة البنك» تُسقط غطاءها بيدها، لا لأن الحادثة غير مشمولة. والثاني هو المسار المدني: دعوى على صاحب الحساب المستفيد بدعوى الإثراء بلا سبب أو المسؤولية التقصيرية، وهي دعوى لا تُعيد المال عادة من المحتال بل من صاحب الحساب الذي قبله وحوّله، وهذا هو الطريق الذي يسلكه المحامون في ملفات الاحتيال عبر الحدود.

وفي كلتا الحالتين، فإن المستند الذي يحكم النتيجة هو نفسه: تسلسل زمني واحد يجمع كل ما جرى بالساعة، من أول أثر في سجل البريد إلى آخر رد من البنك، مع المراجع الرسمية لكل خطوة. الملف الذي لا يعرف فيه المحقق ترتيب الأحداث لا يستطيع أن يبني عليه دعوى ولا مطالبة.

قائمة الشهر الأول، وما لا يستطيع أي تحقيق فعله

ما يمنع التكرار ليس سياسة مكتوبة، بل خمسة إجراءات قابلة للقياس:

• تحقق بخطوتين على كل صندوق بريد بلا استثناء، وبطريقة مقاومة للتصيّد لا برمز يُقرأ من رسالة.
• مراجعة ربع سنوية للتوجيه الخارجي والوكلاء والأذونات وموافقات التطبيقات، بكشف يُطبع ويُوقّع.
• قاعدة واحدة لا تُخالف: أي تغيير في بيانات دفع يُؤكَّد بمكالمة على رقم من عقد، وبموظف ثانٍ للاعتماد.
• سقف تحويل يومي وحدود مبالغ تُفرض في النظام المصرفي لا في تعليمات داخلية.
• تصدير دوري لسجلات البريد والدخول إلى مخزن خارجي، لأن سقف الاحتفاظ الأصلي أقصر من عمر أي نزاع.
• فحص مستقل بعد الإصلاح: من يريد أن يعرف أن الطريق الذي استخدمه المهاجم أُغلق فعلًا يستعين بـشركة اختبار اختراق أخلاقي، لأن الاعتماد على رأي الفريق نفسه الذي فشل في المرة الأولى ليس اختبارًا.

وأما ما لا يستطيع التحقيق فعله، فيجب أن يُقال بصراحة. لا يستطيع أن يعيد مالًا خرج من حساب مستفيد وأُفرغ. ولا يستطيع أن يجعل البنك مسؤولًا بقرار منك. ولا يستطيع أن يمحو الأثر التجاري لحادثة صارت معروفة لعملائك. ولا يستطيع أن يحوّل موظفًا قرأ رسالة مزيفة إلى طرف بريء تمامًا في نظر عقد الحساب، لأن السؤال الذي سيبقى هو: هل كان في مكانه إجراء تحقّق واحد كان سيمنع الحوالة؟

ولهذا فإن أفضل نتيجة يمكن أن يقدمها التحقيق ليست استرداد المال، بل ثلاثة أشياء تُبنى في الوقت نفسه: ملف يمنحك أقوى موقف ممكن أمام البنك والمحامي والتأمين، ومعرفة دقيقة بما قرأه المهاجم حتى تعرف ما يجب أن تُصلحه، وسلسلة إجراءات تجعل الحادثة الثانية أصعب. والمال الذي يُسترد في هذه الملفات يُسترد عادة في الأيام الأولى، لا في الأشهر التالية، ولهذا فإن ترتيب الساعة الأولى هو أهم قرار في الدليل كله.

أسئلة شائعة