المحتال مش محتاج يخترق حسابك.. 6 حيل تسرق فلوسك عبر «إنستاباي»

"في ثوانٍ معدودة يمكن تحويل الأموال من حساب بنكي إلى آخر، أو دفع فاتورة، أو إرسال مبلغ إلى شخص آخر، دون الحاجة إلى الذهاب إلى فرع البنك. ومع الانتشار المتزايد لخدمات الدفع الرقمي، أصبحت التطبيقات المصرفية وخدمات التحويل اللحظي جزءًا من الحياة اليومية لملايين المستخدمين. لكن سهولة وسرعة المعاملات الرقمية دفعت في المقابل إلى ظهور محاولات احتيال تستهدف المستخدم نفسه، من خلال إقناعه بالكشف عن بيانات سرية أو تنفيذ خطوات تمنح المحتال فرصة للوصول إلى حسابه أو إجراء معاملات غير مصرح بها. وأوضح المهندس مصطفى أبوالسعود أنه في الماضي كان المهاجم الإلكتروني يستهدف الأجهزة والأنظمة، أما اليوم فهو يستهدف ثقة الإنسان أولًا، فمع تطور وسائل الحماية الرقمية، تطورت في المقابل أساليب المحتالين، الذين أصبحوا يعتمدون بشكل متزايد على خداع المستخدم نفسه ودفعه إلى الكشف عن بياناته طواعية. ويأتي تطبيق InstaPay في مقدمة الخدمات التي تستحق اهتمام المستخدمين، باعتباره تطبيقًا مرخصًا من البنك المركزي المصري لإتاحة التحويلات اللحظية بين الحسابات البنكية على مدار الساعة. ويوضح التطبيق رسميًا أن بيانات مثل رقم البطاقة، والرقم السري للبطاقة، ورمز التحقق لمرة واحدة «OTP»، والرقم السري الخاص بـInstaPay «IPN PIN» تعد بيانات حساسة يجب الحفاظ على سريتها. (Instapay) لماذا أصبح الاحتيال الرقمي أكثر خطورة؟ تكمن خطورة بعض محاولات الاحتيال في أنها لا تعتمد بالضرورة على اختراق التطبيق أو النظام المصرفي، وإنما على خداع المستخدم للحصول على المعلومات التي تسمح بالتصديق على المعاملة. ويحذر البنك المركزي المصري من محاولات تنتحل فيها جهات أو أشخاص صفة موظفي البنوك أو جهات رسمية، بهدف الحصول على البيانات الشخصية والمصرفية والاستيلاء على أموال العملاء. كما حذر من الرسائل النصية والبريد الإلكتروني والروابط غير الموثوقة والمكالمات الاحتيالية. (CBE) ولم تعد سرقة الأموال عبر الإنترنت تعتمد بالضرورة على اختراق الأجهزة أو السيطرة المباشرة على الحسابات البنكية والإلكترونية، ففي كثير من عمليات الاحتيال الحديثة لا يحتاج المحتال إلى اختراق حسابك تقنيًا أو استخدام أدوات وبرامج معقدة، بل يعتمد على أساليب نفسية واجتماعية لخداعك ودفعك إلى مشاركة معلوماتك وبياناتك الشخصية أو البنكية بنفسك، ثم استغلالها في سرقة أموالك. ومع الانتشار الواسع لخدمات الدفع الرقمي والتحويلات الفورية، أصبحت التطبيقات المصرفية وخدمات التحويل اللحظي جزءًا من الحياة اليومية لملايين المستخدمين، وهو ما جعل بيانات هذه الحسابات هدفًا لمحاولات احتيال تعتمد على استغلال ثقة المستخدم. هل المحتال لازم يخترق حسابك عشان يسرق فلوسك؟ الحقيقة: لا. في السابق، كانت بعض عمليات سرقة الأموال تتم من خلال اختراقات تقنية ينفذها مخترق محترف يمتلك أدوات وبرامج متقدمة، يستطيع من خلالها استهداف جهاز المستخدم أو الضحية، سواء كان كمبيوترًا أو هاتفًا محمولًا أو أي جهاز إلكتروني، ثم الوصول إلى حساباته وبياناته، وبالتالي سرقة أمواله. أما اليوم، فقد تغير المشهد بشكل كبير، فالكثير من عمليات الاحتيال الحديثة لا يحتاج فيها المحتال إلى اختراق حسابك تقنيًا، بل يعتمد على إقناعك بالكشف عن المعلومات التي يحتاج إليها بنفسك. على سبيل المثال، قد تصلك رسالة نصية أو رسالة بريد إلكتروني تخبرك أن حسابك سيتوقف إذا لم تحدّث بياناتك فورًا من خلال رابط معين. وعندما تدخل على الرابط، تجد صفحة تشبه الموقع الحقيقي تمامًا، فتكتب بياناتك وحساباتك وكلمات مرورك بنفسك. هنا لم يخترقك المحتال تقنيًا، لكنه خدعك ببساطة عن طريق استغلال طبيعتك البشرية؛ العجلة والخوف والقلق من توقف الحساب، وهو ما جعلك تسلمه كل بياناتك ومعلوماتك بكامل إرادتك. ويؤكد المهندس مصطفى أبو السعود، خبير أمن المعلومات والتحول الرقمي، أن المهاجم الإلكتروني أصبح يستهدف ثقة الإنسان، مشيرًا إلى أن ارتفاع مستوى الوعي الرقمي يقلل من فرص نجاح المحتال مهما كانت أساليبه متطورة. من «اختراق الجهاز» إلى «اختراق ثقة المستخدم» تغيرت طبيعة الهجمات الإلكترونية بشكل واضح خلال السنوات الأخيرة؛ فبدلًا من الاعتماد فقط على اختراق الأنظمة والأجهزة، أصبح المحتال يبحث عن الحلقة الأضعف في منظومة الحماية، وهي المستخدم نفسه. وقد يحصل المحتال على جزء من المعلومات المتعلقة بالضحية من مصادر مختلفة، ثم يستخدمها لإضفاء مزيد من المصداقية على عملية الاحتيال، قبل أن يحاول الحصول على معلومات أكثر حساسية، مثل بيانات الدخول أو رموز التحقق أو المعلومات المرتبطة بالحسابات المالية. وهنا تكمن الخطورة؛ إذ قد يعتقد الضحية أنه يتعامل مع جهة موثوقة، بينما هو في الحقيقة يقدم للمحتال المعلومات التي يحتاج إليها بنفسه. ويعرف هذا الأسلوب باسم الهندسة الاجتماعية Social Engineering، حيث لا يكون الهدف الأساسي اختراق النظام، وإنما التأثير على الشخص نفسه ودفعه إلى اتخاذ القرار الخطأ. ويشير المهندس عمرو صبحي، خبير أمن المعلومات والتحول الرقمي، إلى أن المحتالين يعتمدون بشكل أساسي على الهندسة الاجتماعية، من خلال انتحال صفة جهات رسمية أو موظفين في مؤسسات موثوقة، بهدف الحصول على البيانات السرية من الضحية. أشهر الحيل التي يعتمد عليها المحتالون تتنوع طرق الاحتيال الإلكتروني، لكن العديد منها يعتمد على فكرة واحدة: إقناع الضحية بأن هناك سببًا يستدعي التصرف فورًا، سواء من خلال الخوف أو الاستعجال أو الطمع. ومن أبرز الأساليب التي يجب الحذر منها: 1- «أنا من البنك».. مكالمة تبدأ بالاطمئنان وتنتهي بطلب البيانات قد يتلقى العميل مكالمة هاتفية من شخص يقدم نفسه باعتباره موظفًا في البنك، ويخبره بوجود مشكلة في الحساب أو عملية تحويل تحتاج إلى التأكيد، ثم يبدأ في طلب معلومات شخصية أو مصرفية. وقد يستخدم المحتال أسلوبًا أكثر ضغطًا، فيخبر العميل بأن حسابه معرض للخطر أو أن هناك معاملة مشبوهة ويجب اتخاذ إجراء سريع. لكن الاستعجال هنا هو أحد أهم علامات الخطر. ويؤكد مصطفى أبو السعود أن أي شخص يدّعي أنه موظف بنك ويطلب بيانات تخص الحساب أو البطاقة، مثل رقم البطاقة أو تاريخ انتهائها أو الرقم السري أو بيانات الدخول، يمثل علامة واضحة على محاولة احتيال. وتكمن الخطورة في أن هذه المعلومات قد تبدو بسيطة أو عادية للضحية، لكنها قد تكون كافية للمحتال لاستخدام الحساب أو تنفيذ عمليات مالية باسم صاحبه. القاعدة الذهبية: لا تشارك أي بيانات بنكية أو شخصية عبر الهاتف أو الرسائل، حتى لو بدا المتصل محترفًا أو كان يعرف بعض معلوماتك. 2- رابط مزيف.. والضحية تدخل بياناتها بنفسها قد تصل للمستخدم رسالة تخبره بوجود مشكلة في حسابه، أو تطلب منه تحديث بياناته، أو تدعوه للاستفادة من خدمة أو مكافأة، وتتضمن رابطًا إلكترونيًا. المشكلة أن الرابط قد يقود إلى صفحة مزيفة تبدو مشابهة لصفحة جهة رسمية، فيقوم المستخدم بإدخال بياناته دون أن يدرك أنه أمام محاولة تصيد إلكتروني. وقد تأتي هذه الرسائل عبر SMS أو WhatsApp أو البريد الإلكتروني أو غيرها من تطبيقات المراسلة. ويزداد الخطر عندما يطمئن المستخدم إلى الرسالة لمجرد أنها جاءت من رقم معروف أو ظهرت باسم وصورة جهة تبدو رسمية. لكن وجود اسم الجهة أو شعارها لا يعني بالضرورة أن الرسالة صادرة عنها. ويحذر خبراء أمن المعلومات من التركيز على شكل الرسالة أو اسم المرسل فقط، مع ضرورة مراجعة الرابط نفسه، إذ قد يكون اسم الجهة صحيحًا بينما يكون الرابط مختلفًا تمامًا عن الموقع الرسمي. والقاعدة هنا بسيطة: لا تضغط على رابط غير متوقع، ولا تدخل بياناتك البنكية في صفحة وصلت إليك من رسالة مجهولة. 3- «ابعتلي الـOTP».. أخطر طلب يجب رفضه تعد رموز التحقق لمرة واحدة «OTP» من أكثر البيانات حساسية، ولذلك يجب التعامل معها بحذر شديد. فإذا حصل المحتال على كلمة المرور، لكنه لم يحصل على رمز التحقق، فقد تظل أمامه عقبة إضافية. لذلك يحاول أحيانًا خداع الضحية لإعطائه الرمز فور وصوله إلى الهاتف. وقد يدعي المتصل أن رمز الـOTP مطلوب لتأمين الحساب أو إلغاء عملية أو تأكيد هوية العميل. لكن الإجابة على السؤال: هل يمكن لموظف البنك أن يطلب منك رمز التحقق OTP؟ الإجابة القاطعة: لا. ويؤكد عمرو صبحي أن الحفاظ على سرية الـPIN والـOTP «خط أحمر» لا يجب تجاوزه، موضحًا أن هذه الأكواد يجب التعامل معها باعتبارها مفاتيح شخصية لا يطلع عليها أحد، مهما كانت المبررات أو الضغوط. وينطبق الأمر نفسه على الرقم السري الخاص بتطبيقات الدفع أو البطاقات البنكية. وبالنسبة إلى InstaPay، فإن الـOTP والـIPN PIN من البيانات الحساسة التي يجب الحفاظ على سريتها، ويُستخدم الـIPN PIN، وهو رقم سري مكون من 6 أرقام، للمصادقة والتصديق على التعليمات والمعاملات. لذلك، أي شخص يطلب منك OTP أو IPN PIN عبر الهاتف أو الرسائل لا ينبغي أن يحصل عليه. 4- «كسبت جائزة».. عندما يستخدم المحتال الطمع بدلًا من الخوف لا يعتمد المحتال دائمًا على تخويف الضحية. في بعض الحالات تبدأ المحاولة برسالة تحمل خبرًا سعيدًا: جائزة، مكافأة، استرداد مبلغ أو عرض مالي استثنائي. وبمجرد جذب انتباه المستخدم، قد يُطلب منه الضغط على رابط أو تقديم بيانات أو تنفيذ خطوة بحجة استلام الأموال. وقد يتلقى المستخدم رسالة تفيد بأنه فاز بجائزة مالية أو هاتف محمول، ثم يُطلب منه تقديم بيانات بنكية أو أكواد تحويل أو دفع مبلغ مقدم للحصول عليها. لكن الجوائز الحقيقية لا تشترط إرسال بيانات سرية أو أكواد مصادقة عبر رسائل واتساب أو روابط مشبوهة. وفي بعض الحالات، تكون الجائزة نفسها مجرد وسيلة لجذب الضحية إلى عملية الاحتيال. 5- انتحال صفة خدمة عملاء InstaPay قد يستغل المحتال اسم خدمة معروفة لإقناع المستخدم بأنه يتحدث مع جهة رسمية. لكن وجود اسم InstaPay أو شعار بنك في رسالة أو حساب على مواقع التواصل الاجتماعي لا يعني أن الشخص الذي يتواصل معك يمثل هذه الجهة بالفعل. وتزداد خطورة هذا النوع من الاحتيال عندما يمتلك المتصل معلومات حقيقية عن الضحية. ويحذر عمرو صبحي من أن بعض الأشخاص تلقوا بالفعل مكالمات من أشخاص يدعون أنهم تابعون لـInstaPay، وكان هؤلاء المحتالون يمتلكون بيانات تبدو كافية لطمأنة الضحية، مثل الاسم بالكامل ورقم البطاقة الشخصية والعنوان وبعض المعلومات الأخرى. ورغم معرفة المحتال بهذه التفاصيل، فإن ذلك لا يعني أنه جهة رسمية. وهنا تكمن إحدى أخطر صور الهندسة الاجتماعية: أن يمتلك المحتال معلومات حقيقية عنك، ثم يستخدمها لإقناعك بأنه شخص موثوق. والإجابة الأهم في هذه الحالة: لا تعطِ أي بيانات عبر الهاتف، وقم بقطع الاتصال فورًا. وفي حالة وجود مشكلة تتعلق بالتسجيل أو إحدى المعاملات، يتم الرجوع إلى القنوات الرسمية للخدمة أو البنك الذي يتعامل معه العميل، وعدم الاعتماد على أي رقم أو رابط يرسله المتصل. 6- المعلومات المنشورة على السوشيال ميديا.. «خيوط» يجمعها المحتال قد لا تبدو بعض المعلومات التي ينشرها الشخص على مواقع التواصل الاجتماعي خطيرة بمفردها، لكن تجميع عدة معلومات معًا يمكن أن يساعد المحتال في بناء قصة تبدو حقيقية. اسم الشخص، جهة عمله، رقم هاتفه أو بعض تفاصيل حياته قد تستخدم لجعل المكالمة الاحتيالية أكثر إقناعًا. وقد يستخدم المحتال هذه المعلومات ليظهر للضحية وكأنه يعرفه بالفعل أو لديه ملف كامل عنه، ما يزيد من فرص تصديقه. ويؤكد خبراء أمن المعلومات أن الهدف في هذه الحالات لا يكون اختراق النظام، وإنما التأثير على الشخص نفسه ودفعه إلى اتخاذ القرار الخطأ. إزاي تعرف إن الرسالة محاولة احتيال؟ الرسائل التي يرسلها المحتال غالبًا ما يكون هدفها التأثير على مشاعرك وقراراتك من خلال الخوف أو الاستعجال أو الطمع أو الثقة الزائدة، حتى يدفعك إلى الضغط على رابط أو مشاركة معلومة أو تنفيذ خطوة دون تفكير. لذلك، أصبحت معرفة علامات الرسالة الاحتيالية جزءًا مهمًا من الوعي الرقمي. ومن أبرز العلامات التحذيرية: * وجود تهديد أو استعجال غير مبرر. * طلب بيانات سرية أو بنكية. * إرسال رابط غريب لا يشبه الموقع الرسمي. * وجود أخطاء لغوية أو صياغة غير معتادة. * الوعد بجائزة أو مكافأة غير متوقعة. * مطالبتك بتحميل ملف أو تطبيق من مصدر غير معروف. * طلب تنفيذ تحويل أو تأكيد عملية خلال فترة زمنية قصيرة. وجود علامة أو أكثر من هذه العلامات يعني أن الرسالة قد تكون محاولة احتيال، وفي هذه الحالة يجب التوقف فورًا، وعدم الضغط على أي رابط أو تحميل أي ملف أو مشاركة أي بيانات، ثم التحقق من المصدر الرسمي فقط. لماذا ينجح الاحتيال رغم تطور وسائل الحماية؟ حتى أقوى أنظمة الحماية الرقمية لا تستطيع منع المستخدم من مشاركة بياناته بنفسه إذا تمكن المحتال من إقناعه بذلك. ولهذا أصبحت الثقافة والوعي الرقمي جزءًا أساسيًا من الحماية، إلى جانب كلمات المرور القوية، والمصادقة متعددة العوامل، وتحديث الأجهزة والتطبيقات. فالاحتيال لا يستهدف دائمًا الجهاز، وإنما قد يستهدف المشاعر أيضًا؛ الخوف من فقدان الأموال، والرغبة في الحصول على مكسب سريع، والقلق من إيقاف الحساب، كلها مشاعر يمكن للمحتال استغلالها لصالحه. ويقول مصطفى أبو السعود إن المحتال أصبح يستهدف «ثقة الإنسان أولًا»، موضحًا أن ارتفاع مستوى الوعي الرقمي يقلل من فرص نجاح المحتال مهما كانت أساليبه متطورة. هل يستطيع InstaPay سحب الأموال من الحساب دون موافقة العميل؟ يوضح التطبيق رسميًا أن المعاملات المالية لا يتم تنفيذها بالنيابة عن العميل دون موافقته، وأن استخدام IPN PIN يمثل جزءًا من عملية التصديق على المعاملات. وهنا تظهر أهمية حماية بيانات المصادقة؛ فالمشكلة في كثير من محاولات الاحتيال ليست أن التطبيق «يعطي» المحتال بيانات العميل، وإنما أن المستخدم قد يُخدع لتقديم بيانات أو رموز يفترض أن تظل سرية. ولهذا فإن حماية الـOTP والـIPN PIN لا تقل أهمية عن حماية كلمة المرور نفسها. قواعد ذهبية لحماية حساباتك البنكية و«InstaPay» يقول عمرو صبحي إن القاعدة الأهم هي عدم إعطاء كلمة السر أو الكود الذي يصلك في رسالة إلى أي شخص يتصل بك هاتفيًا. ويضيف أن الإجابة الوحيدة عند طلب الرقم السري أو كود المصادقة الثنائية OTP هي غلق الهاتف. ويمكن تلخيص أهم قواعد الحماية في عدة خطوات بسيطة: * لا تشارك OTP مع أي شخص. * لا تشارك IPN PIN مع أي شخص. * لا تعطي رقم البطاقة أو الرقم السري أو CVV لشخص يتصل بك بشكل غير متوقع. * لا تضغط على الروابط المجهولة أو غير المتوقعة. * لا تعتمد على اسم المتصل أو صورته لإثبات هويته. * إذا أخبرك شخص بوجود مشكلة في حسابك، أنهِ المكالمة واتصل بالبنك من الرقم الرسمي. * تحقق من «اسم المستفيد» قبل تأكيد أي عملية تحويل. * تابع إشعارات معاملاتك باستمرار. * قلل من نشر البيانات الشخصية التي يمكن استخدامها في محاولات انتحال الهوية. * فعّل خيارات الأمان البيومترية مثل البصمة أو التعرف على الوجه متى كانت متاحة. * احرص على تحديث التطبيق ونظام التشغيل باستمرار. ماذا تفعل إذا وقعت بالفعل في الفخ؟ إذا شارك المستخدم بالفعل بيانات سرية، أو اكتشف معاملة لم ينفذها، فإن السرعة في الإبلاغ مهمة للغاية. والقاعدة الذهبية هنا هي التوقف الفوري؛ فلا تدخل في نقاشات مع المرسل أو المتصل، ولا تضغط على أي روابط، وقم بقطع التواصل تمامًا. وللتأكد من الأمر، اتصل بالبنك مباشرة عبر الأرقام الرسمية المدونة على موقعه الإلكتروني أو الموجودة على ظهر البطاقة البنكية، وتجاهل تمامًا أي أرقام يتم إرسالها إليك في الرسائل. كما يجب إبلاغ البنك فورًا في حال مشاركة بيانات حساسة أو اكتشاف معاملة غير مصرح بها، حتى يتمكن من اتخاذ الإجراءات اللازمة بعد الإخطار. الخلاصة.. المحتال لا يحتاج إلى اختراق حسابك في عالم المدفوعات الرقمية، قد يتخيل المستخدم أن الخطر الأكبر هو قدرة المحتال على اختراق التطبيق أو النظام المصرفي، لكن عددًا من أساليب الاحتيال يعتمد على طريقة أبسط: إقناع صاحب الحساب نفسه بتقديم مفتاح الوصول أو المصادقة على عملية دون أن يدرك خطورتها. ولهذا فإن أهم قاعدة لحماية حسابات InstaPay والخدمات المصرفية الرقمية هي: بيانات المصادقة سرية، والـOTP والـIPN PIN لا يُعطيان لأي شخص، مهما كانت صفته أو السبب الذي يذكره. فالمحتال قد يمتلك اسمك، ورقم بطاقتك، وعنوانك، وربما معلومات أخرى عنك، لكن امتلاكه لهذه البيانات لا يجعله موظفًا في البنك أو ممثلًا رسميًا لـInstaPay. وإذا كانت المكالمة تضغط عليك لاتخاذ قرار سريع، أو تطلب منك رمزًا سريًا، أو تدفعك إلى فتح رابط غير متوقع، فالأفضل أن تتوقف لحظة واحدة.. وتتحقق قبل أن تضغط أو ترسل أو تقول أي شيء. فالمحتال قد لا يحتاج إلى اختراق حسابك.. إذا استطاع إقناعك بأن تفتح له الباب بنفسك.