كشفت Group-IB، المتخصصة في تطوير تقنيات الأمن السيبراني التنبؤية للتحقيق في الجرائم الرقمية ومنعها ومكافحتها، عن نتائج تحقيق جديد حول عمليات الاحتيال في المدفوعات بدول مجلس التعاون الخليجي. وأظهر التحقيق كيفية استغلال مجرمين إلكترونيين منظمين للبنية التحتية المشروعة للمدفوعات في مختلف أنحاء دول مجلس التعاون الخليجي.

وفي مخطط احتيالي جديد، يستخدم المحتالون بطاقات ائتمانية مسروقة لسداد فواتير وغرامات حكومية حقيقية نيابة عن أشخاص آخرين مقابل خصومات. ويحوّل هذا الأسلوب عمليات سداد الفواتير الاعتيادية سرا إلى وسيلة لتحويل الأموال المسروقة إلى سيولة، مع تجاوز أنظمة الحماية المصرفية.

وبين أكتوبر 2025 وأغسطس 2026، رصد فريق Fraud Protection التابع لـ Group-IB نحو 300 حادثة مرتبطة بهذه العمليات لدى عدد من البنوك الكبرى للأفراد. وفي عينة موثقة شملت 80 بطاقة مخترقة مرتبطة بثلاث مؤسسات حكومية، بلغت الخسائر المؤكدة 2.01 مليون دولار أمريكي. ويكشف هذا المخطط عن الأثر المالي الكبير الناجم عن إساءة استخدام البنية التحتية المشروعة للمدفوعات.

وتفرض القواعد المصرفية الصارمة في دول مجلس التعاون الخليجي حاليا استخدام نظام المصادقة ثلاثية الأبعاد 3D Secure (3DS)، وهو إجراء تحقق إضافي يؤكد عمليات الدفع الإلكتروني بالبطاقات من خلال رمز مرور لمرة واحدة أو الموافقة عبر تطبيق البنك. وقد أسهمت هذه الإجراءات في إيقاف أساليب احتيالية أساسية، مثل شحن المحافظ الرقمية، إلا أن المجرمين الإلكترونيين طوروا عمليات متعددة المراحل للتحايل عليها.

وفي هذه الحالة، لا يقوم المهاجمون باختراق إجراءات الأمان، بل يجتازونها بصورة صحيحة. فقد اجتازت جميع المعاملات الاحتيالية المؤكدة التي فحصتها Group-IB عملية المصادقة 3DS بنجاح. واستولى المحتالون على أرقام هواتف الضحايا وحساباتهم المصرفية، ثم قاموا بأنفسهم بالموافقة على طلبات التحقق الأمني، ما ترك أنظمة البنوك من دون مؤشرات واضحة على وجود احتيال.

وتتكون العملية من ثلاث طبقات رئيسية. تتمثل الأولى في التصيد الاحتيالي، الذي يشكل مرحلة الاستحواذ على بيانات الضحايا. ومن خلال إعلانات Google Search موثقة وموجهة جغرافيا إلى دول مجلس التعاون الخليجي، تم إنشاء أكثر من 400 مورد تصيد ضمن 10 أنماط تنكر، تحاكي بوابات حكومية وخدمات تأمين. ويقدم الضحايا بياناتهم الشخصية وأرقام بطاقاتهم، كما يوافقون على طلبات اتصالات تُستخدم لتفويض عمليات استبدال شرائح eSIM الاحتيالية.

أما الطبقة الثانية فتتمثل في الاستيلاء على الحسابات، وترتبط بمجموعة تطلق عليها Group-IB اسم Jordan Checker Group. وباستخدام رقم eSIM المختطف، يعترض المهاجمون رموز التحقق لمرة واحدة OTP ويخفون مواقعهم من خلال تقنيات انتحال نظام تحديد المواقع GPS. وبعد ذلك، يستولون على حسابات الخدمات المصرفية الإلكترونية، ويرفعون حدود التحويلات، ويوافقون على تحديات المصادقة 3DS عبر التطبيق. وأظهرت بيانات الرصد أن 90% من عمليات الاستيلاء هذه ارتبطت ببصمات أجهزة iOS جديدة، نشأت من مجموعة جغرافية محددة في الرمثا بالأردن.

وتتمثل الطبقة الثالثة في سوق تحويل المدفوعات إلى سيولة من خلال خصومات الفواتير، والذي تطلق عليه Group-IB اسم CIVIC DRAIN. ويعمل هذا السوق عبر قنوات متخصصة على Telegram. ويستقطب المحتالون أفرادا من الجمهور من خلال عرض سداد المخالفات المرورية وفواتير الخدمات والرسوم القانونية بخصومات تتراوح بين 50% و80%. ويسدد المجرمون الإلكترونيون القيمة الكاملة للفواتير عبر البوابات الحكومية الرسمية باستخدام بيانات البطاقات المسروقة، ثم يحصلون على المبالغ المخفضة من العملاء عبر العملات المشفرة أو التحويلات المصرفية المحلية.

ونظرا لأن المدفوعات تذهب مباشرة إلى جهة حكومية موثوقة نيابة عن مواطن حقيقي، فإن أنظمة المراقبة المصرفية التي تعمل عبر قناة واحدة نادرا ما ترصد هذه العمليات. إذ تظهر هذه المعاملات بالنسبة إلى تلك الأنظمة كمدفوعات اعتيادية إلى جهات رسمية لتحصيل الفواتير، ما يؤدي إلى عدم اكتشاف التهديد الأوسع نطاقا.

وتمكنت Group-IB من كشف هذه الحملة من خلال منظومة Cyber Fraud Fusion (CFF)، التي تربط الرؤى والمعلومات بين أنظمة الويب والأجهزة المحمولة والأنظمة المالية. وتجمع المنظومة أربع قدرات رئيسية؛ إذ تتولى Digital Risk Protection (DRP) التعامل مع إزالة مواقع التصيد، بينما تعمل Threat Intelligence (TI) على رسم خريطة لأسواق Telegram ومسارات تحويل العملات المشفرة. كما تربط Fraud Protection طلبات المصادقة 3DS بالمخاطر الفعلية على الأجهزة المحمولة، مثل تغييرات eSIM وانتحال GPS، في حين تتولى Investigations تتبع التدفقات المالية. وأسهم الجمع بين هذه القدرات في كشف أنشطة تهديدات لم تتمكن أنظمة الحماية المنفصلة من رصدها.

كما حددت Group-IB مجموعة من الخطوات التشغيلية للحد من عمليات الاحتيال متعددة المراحل. وبالنسبة إلى المؤسسات المالية، توصي الشركة بالتعامل مع عمليات استعادة الحسابات التي تعتمد على الرقم السري للبطاقة ورمز OTP عبر الرسائل النصية باعتبارها عالية الخطورة. كما توصي بإعادة تقييم المدفوعات مرتفعة القيمة عبر 3DS إلى الجهات الحكومية لتحصيل الفواتير، عندما تتزامن مع تسجيل أجهزة جديدة أو تغييرات حديثة في eSIM أو زيادات في حدود التحويل.

وبالنسبة إلى فرق الكشف عن الاحتيال، توصي Group-IB بربط البيانات عبر القنوات المختلفة، بما يربط معلومات الويب والأجهزة المحمولة والمدفوعات بهوية واحدة. كما ينبغي للفرق التعامل مع البوابات الحكومية باعتبارها مسارات محتملة لتحويل الأموال المسروقة إلى سيولة عند ظهور مؤشرات نشطة على الاستيلاء على الحسابات.

أما الجهات الحكومية ومشغلو البوابات الإلكترونية، فتقترح الشركة إجراء فحوصات للمخاطر عند تكرار عمليات السداد بسرعة أو عند تنفيذ تسويات مرتفعة القيمة. كما توصي بإنشاء قنوات مخصصة لفرق الاستجابة لطوارئ الحاسوب CERTs والبنوك للإبلاغ عن عمليات سداد الفواتير الحكومية المشتبه في كونها احتيالية.

وبالنسبة إلى الجمهور، يعتمد هذا المخطط على الأشخاص الباحثين عن تسويات مخفضة للفواتير. وتوصي Group-IB بالوصول إلى الخدمات الحكومية وخدمات التأمين من خلال التطبيقات الرسمية أو الإشارات المرجعية المحفوظة فقط، وليس عبر نتائج البحث المدفوعة. فالإعلان المدفوع لا يمثل دليلا على الموثوقية. وقد يكون الخصم الكبير على فاتورة حكومية يتم سدادها عبر طرف ثالث غير معروف مؤشرا على عملية احتيال أو محاولة لاستدراج الأموال لغسلها، وقد تترتب عليه عواقب مالية أو قانونية.

وتوضح نتائج التحقيق كيف يمكن لعمليات الاحتيال في المدفوعات بدول مجلس التعاون الخليجي تجاوز إجراءات التحقق القياسية والظهور على أنها أنشطة اعتيادية. وتشير توصيات Group-IB إلى أن توفير رؤية مشتركة عبر مختلف القنوات يمثل نهجا عمليا لاكتشاف هذه العمليات والحد منها.

مقالات ذات صلة

عرض الكل