منصات مكافحة الاحتيال FraudFraud prevention platforms

الاحتيال أن يدفع أحد بمال ليس له، أو أن يُخدع صاحب المال حتى يدفع بنفسه. وهذا الفرق بين الصورتين هو ما يجعل كشفه صعباً.

قد تبدو الدفعة السليمة والمخادعة متطابقتين في سجل النظام. ومنصات الاحتيال تبيع الإشارة والقرار والتدخل قبل خروج المال.

وش الفرق بين الاحتيال وغسل الأموال؟

وكثيرون يخلطون بينهما لأن الاثنين جريمة والاثنين يُراقَبان بأنظمة متشابهة. والفرق بينهما جوهري، ويقرّر كل شيء في تصميم المنتج.

فالاحتيال أن مالك أنت يضيع. أحدهم سرق بطاقتك أو خدعك فحوّلت له. والضحية أنت أو المتجر أو البنك.

وغسل الأموال أن مال غيرك يمرّ عبرك. فالمجرم يستخدم نظامك ليجعل ماله يبدو نظيفاً. ولا تخسر أنت ريالاً، بل تخسر رخصتك إن تكرّر.

ويترتب على هذا الفرق كل شيء آخر.

فالاحتيال له ضحية تشتكي في اليوم نفسه، فيقاس النجاح بالسرعة: أوقف الحركة قبل خروج المال. وغسل الأموال ليس له من يشتكي، فقد يمرّ شهوراً بلا أن يلاحظه أحد، ويقاس النجاح بجودة البلاغ لا بسرعته.

والاحتيال خسارة مباشرة في دفاترك، فتحسب كم تخسر مقابل كم تمنع، وتقبل نسبة خسارة معقولة لأن التشدد يطرد العملاء. وغسل الأموال لا يُحسب بهذه الطريقة، لأن الخسارة ليست مالاً بل عقوبة قد تصل إلى إغلاق النشاط.

فالنظامان يبدوان متشابهين على الشاشة، وأهدافهما ومقاييسهما مختلفة تماماً.

ابدأ بمن يسيطر على الحساب

ويحدث «الاستيلاء على الحساب» Account takeover حين يدخل المجرم إلى حساب عميل حقيقي. فقد يسرق كلمة المرور من رسالة تصيد. وقد يستولي على رقم الهاتف أو جلسة دخول محفوظة. ويظل الاسم والحساب والرصيد حقيقية، لكن الشخص الذي يصدر الأوامر تغير.

وتظهر علامات الخطر قبل التحويل أحياناً. فيدخل جهاز جديد من مكان بعيد، ثم يغير العميل المزعوم كلمة المرور ورقم الهاتف. وبعد دقائق يضيف مستفيداً ويرسل الحد الأقصى. ولا تثبت علامة واحدة السرقة، لكن تسلسلها يختلف عن رحلة العميل المعتادة.

وتبدأ الحماية من الدخول نفسه. فتمنع كلمات المرور المسربة والمحاولات السريعة، وتربط الجلسة بجهاز معروف، وتبلغ العميل بالتغييرات الحساسة. وتحتاج استعادة الحساب حماية أقوى من تسجيل الدخول، لأن المهاجم قد يتجاوز كل الضوابط عبر موظف الدعم.

ولا ينبغي للنظام الثقة بجلسة قديمة بعد حدث عالي الخطر. فإذا تغير رقم الهاتف أو أضيف جهاز، يمكن تجميد بعض الأفعال مدة قصيرة. وإذا أضيف مستفيد جديد، يمكن طلب إثبات أقوى قبل الدفع. ويعطي هذا الوقت للعميل فرصة ملاحظة التنبيه.

اختبار البطاقات هجوم بالحجم

ويُسمى تجريب أعداد كبيرة من بيانات البطاقات المسروقة «اختبار البطاقات». ولا يبحث المهاجم عن شراء كبير أولاً. فيرسل دفعات صغيرة إلى متجر ضعيف أو صفحة تبرع ليعرف أي بطاقة ما زالت صالحة. ثم يستخدم البطاقات الناجحة في عمليات أكبر.

وقد تبدو كل محاولة وحدها غير مؤذية. فالمبلغ خمسة ريالات، والتاجر حقيقي، والرفض شائع في التجارة. ولكن آلاف المحاولات من جهاز أو شبكة أو حسابات مترابطة تكشف الهجوم. ولذلك يحتاج الرصد رؤية مشتركة تتجاوز بطاقة واحدة.

ويستطيع التاجر تحديد سرعة المحاولات وعدد البطاقات لكل جهاز. ويستطيع مقدم الدفع كشف نمط متكرر عبر تجار متعددين. ويستطيع البنك طلب تحقق إضافي أو رفض معاملة وفق الخطر. والمشترك أن كل طرف يرى جزءاً، وتتحسن الحماية حين تصل إشارات مناسبة بسرعة.

ولا تعالج الحماية بإيقاف كل مبلغ صغير. فقد يشتري عميل قهوة أو يدفع اشتراكاً مشروعاً. ولذلك تجمع القاعدة المبلغ مع السرعة وتنوع البطاقات وسمعة الجهاز ونتيجة التحقق. ويجب ألا تكون صفحة الدفع أداة مجانية لاختبار قوائم المجرمين.

حساب التمرير يملكه شخص حقيقي

ويُسمى الحساب الذي ينقل أموال الجريمة لغير صاحبه «حساب التمرير» Mule account. وقد يؤجر طالب حسابه مقابل مئتي ريال. وقد يستجيب باحث عن عمل لإعلان يطلب استقبال دفعات وتحويلها. وقد يفتح مجرم حسابات بهويات أشخاص جندهم لهذا الغرض.

ولا يبدو صاحب الحساب دائماً كمهاجم تقني. فهو يمر بفحص الهوية باسمه ويستخدم هاتفه الحقيقي. ولكن السلوك يكشف دوراً لا يناسب ملفه. فتدخل حوالات من ضحايا متعددين ثم تخرج سريعاً، ولا يبقى سوى عمولة صغيرة.

ويجب البحث عن شبكة لا عن حساب منفرد فقط. فقد تشترك حسابات في جهاز أو عنوان أو مستفيد أو نمط توقيت. وقد يرسل عشرون حساباً إلى محفظة واحدة قبل انتقال المال خارج البلاد. والمشترك أن الروابط تحول حركات مبعثرة إلى عملية منظمة.

ولا يكفي إغلاق الحساب بعد تفريغه. فيحتاج الفريق منع الحسابات المرتبطة الجديدة، ومراجعة رحلة التجنيد، ومشاركة البلاغات المطلوبة. ويحتاج أيضاً تجنب اتهام الضحية المجندة بلا تحليل، لأن بعض أصحاب الحسابات خُدعوا بينما شارك آخرون عمداً.

حين يأذن العميل بالخسارة

ويُسمى الاحتيال الذي يقنع العميل بإرسال المال بنفسه «احتيال الدفع المصرح به» أو APP scam. فقد ينتحل المجرم صفة موظف بنك ويزعم أن الحساب في خطر. وقد يرسل فاتورة مزورة باسم مورد معتاد. وقد يبني علاقة عاطفية طويلة قبل طلب التحويل.

وتنجح المصادقة في هذه الحالات كما صُممت. فالعميل الحقيقي يدخل من جهازه ويكتب الرمز ويؤكد المستفيد. ولذلك لا يكفي سؤال النظام هل كان الشخص مخولاً. ويلزمه أيضاً فحص السياق والوجهة والتغيير عن السلوك والضغط الذي قد يتعرض له العميل.

وقد يضيف التطبيق توقفاً ذا معنى قبل التحويل. فيعرض اسم المستفيد والمبلغ بوضوح، ويحذر عند عدم تطابق الاسم حيث تتوفر الخدمة. ويسأل عن غرض الدفع ويقدم تحذيراً يناسبه. ولا يفيد تحذير عام يظهر في كل مرة حتى يحفظ العميل مكان زر التجاوز.

ويستطيع موظف البنك سماع إشارات لا تراها القاعدة. فقد يقول العميل إن ضابطاً طلب منه إبقاء المكالمة مفتوحة. وقد يرفض شرح سبب تحويل مدخراته إلى حساب شخصي جديد لأنه وُجه إلى السرية. ولذلك يحتاج الموظف تدريباً وطريقاً سريعاً لإيقاف العملية ومراجعتها.

ولا ينبغي لوم العميل أن يحل محل تحسين الضوابط. فالمجرم يصمم قصة تستغل الخوف والثقة والاستعجال. وتملك الشركة بيانات عن حداثة المستفيد والجهاز والسرعة وشكاوى سابقة على الحساب المستقبل. ولذلك عليها استخدام ما تعرفه قبل أن يصبح التحويل نهائياً.

القرار بين خسارتين

ويُسمى إيقاف عملية مشروعة «إنذاراً كاذباً». وهو ليس رقماً تقنياً بلا تكلفة. فقد يُمنع مسافر من دفع فندق، أو يتأخر متجر عن دفع مورد، أو يفقد عميل ثقته بعد مطالبته بالتحقق خمس مرات.

ولا يصح تحسين خسائر الاحتيال وحدها. فقاعدة ترفض كل عملية تمنع الاحتيال وتدمر المنتج. ولا يصح تحسين الموافقة وحدها، لأن تمرير كل شيء يرفع الخسائر. ولذلك تقاس قيمة المال المسروق والعمليات المشروعة الموقوفة معاً.

ويحتاج القياس أكثر من نسبة واحدة. فينظر الفريق إلى الخسارة لكل ألف عملية، ونسبة العملاء المتضررين، ودقة التنبيهات، وزمن حل الحالة، وتخلي العملاء. ويفصل بين عملية أوقفت ثم سُمح بها وعملية ظلت مرفوضة. فالأولى احتكاك، والثانية نتيجة قد تخسر العميل.

ويختلف ثمن الخطأ بحسب اللحظة. فطلب إثبات إضافي قبل إضافة مستفيد جديد أقل ضرراً من حظر بطاقة كاملة عند متجر معتاد. وتأخير تحويل مدخرات إلى وجهة جديدة قد يكون مقبولاً أكثر من تأخير راتب شهري معروف. ولذلك تضع السياسة حدوداً بحسب الخطر والأثر.

التوثيق التصاعدي في اللحظة الخطرة

ويُسمى طلب إثبات أقوى عند ارتفاع الخطر «التوثيق التصاعدي» Step-up authentication. ولا يعني جعل كل حركة شاقة. فيدخل العميل المعتاد بالطريقة المعتادة، ثم يواجه خطوة إضافية حين يتغير الجهاز أو المستفيد أو المبلغ أو السلوك.

وقد تطلب الخطوة موافقة داخل تطبيق موثوق تعرض تفاصيل العملية. وقد تستخدم تحققاً حيوياً أو اتصالاً بشرياً لحالة كبيرة. ولا يفيد إرسال رمز إلى رقم هاتف غُير قبل دقيقة، لأن المهاجم قد سيطر على القناة نفسها. ويجب أن يكون الإثبات مستقلاً عن سبب الخطر قدر الإمكان.

ويحتاج النظام مساراً بعد الفشل. فإذا لم يكمل العميل الخطوة، لا يكررها بلا نهاية ولا ينفذ العملية خفية. فيوقف الطلب ويبلغ العميل ويوفر استعادة آمنة. ويسجل سبب التصعيد ونتيجته كي يتعلم الفريق من الحالات.

التحويل الفوري يضغط القرار

وتضيق فرصة التدخل في مسارات الدفع الفورية. فحين تصل الأموال وتصبح متاحة للمستفيد، قد تنتقل خلال ثوان إلى حساب آخر. وقد تساعد اتصالات الاسترداد والتجميد اللاحقة في بعض الحالات، لكنها لا تعيد كل مبلغ. ولذلك يكون المنع قبل التنفيذ هو الضابط الوحيد المضمون.

ويجب أن تعمل إشارات الجهاز والسلوك والمستفيد والسرعة قبل إرسال الأمر النهائي. فلا يكفي نموذج يحسب الخطر بعد خمس دقائق. ويحتاج القرار وقتاً قصيراً وحدوداً واضحة وخيار تصعيد. ويحتاج أيضاً مقاومة تعطل خدمة المخاطر كي لا يتحول العطل إلى سماح شامل.

ولا تبقى شبكة الاحتيال ثابتة. فتجرب حدوداً صغيرة، وتقرأ رسائل الرفض، وتنقل الهجوم إلى قناة أضعف خلال أيام. ولذلك تغذي الشكاوى والاستردادات والتحقيقات النماذج والقواعد. ويختبر الفريق التغيير على خسائر الاحتيال والإنذارات الكاذبة قبل تعميمه.

ويصبح الرصد قدرة تشغيلية حين يصل القرار إلى المنتج في الوقت المناسب. فتُمنع الجلسة المسروقة، وتُبطأ محاولة البطاقات، وتُكتشف شبكة التمرير، ويحصل العميل المخدوع على توقف مفهوم. ولا يصنع ذلك نموذج واحد، بل حلقة تربط الإشارة والقرار والتدخل والنتيجة.