هناك صنف من الرسائل النصية الاحتيالية تسقط أمامه كل النصائح المعتادة.
«تحقّق من رقم المُرسِل.» الرقم سليم. «انظر ما إذا كانت الرسالة واردة من رقم مجهول.» إنها لا تأتي من رقم مجهول. «قارنها بالرسائل السابقة من مصرفك.» إنها بالفعل أسفل الرسائل السابقة من مصرفك مباشرة، في المحادثة نفسها، بالترويسة نفسها، وباسم المُرسِل نفسه، وبالتنسيق نفسه.
لهذه الظاهرة اسم: انتحال هوية المُرسِل، أو spoofing. وهي ليست جديدة تقنيًا — فالثغرة قديمة قِدم الرسائل النصية التجارية — لكن تحويلها إلى صناعة على يد شبكات الاحتيال، مقترنًا بأتمتة سيناريوهات التلاعب عبر الذكاء الاصطناعي، جعل منها الوسيلة الأولى لعمليات النصب المصرفي عبر الهاتف في فرنسا.
وخلافًا لرسالة الطرد الوهمي أو تذكير الموعد الطبي المزيّف، لا يمكن كشف هذا النوع من الرسائل بالعين المجردة. لا بد من تغيير المنهج.
لماذا يستطيع محتال كتابة «CreditMutuel» في خانة المُرسِل
عندما ترسل إليك شركة رسالة نصية، فهي لا تستخدم عادةً رقم هاتف بل مُعرِّفًا أبجديًا رقميًا: «Ameli» أو «Colissimo» أو «SFR» أو «BNPPARIBAS». تقنيًا، يُسمى هذا الحقل Sender ID وهو مُعرَّف في معيار GSM منذ تسعينيات القرن الماضي.
المشكلة تختصر في جملة واحدة: هذا الحقل تصريحي.
لا يوجد في بروتوكول الرسائل القصيرة الأصلي أي آلية مصادقة تُضاهي ما نعرفه في البريد الإلكتروني (SPF، DKIM، DMARC). يملأ المُرسِل سلسلة من أحد عشر حرفًا كحد أقصى، وتنقلها الشبكة كما هي حتى شاشتك. لا شيء في المعيار يتحقق من أن الجهة التي تكتب «CAISSEEPARGNE» هي فعلًا Caisse d'Épargne.
لدى مشغّل فرنسي جاد وعبر مسار يُسمى «premium»، توجد ضوابط: فمجمّع خدمات A2P (Application-to-Person) يشترط تفويضًا، ويتحقق من هوية الآمر بالإرسال، ويسجّل الـ Sender ID. لكن الرسائل القصيرة شبكة عالمية مترابطة. يمكن حقن رسالة انطلاقًا من مشغّل أجنبي، عبر مسار «رمادي» يُشترى بثمن بخس، لتصل إلى فرنسا بمُعرِّف منتحَل. وهذا بالضبط ما تفعله منصات الاحتيال، المستضافة غالبًا خارج أوروبا والمُباعة باشتراك.
التفصيل الذي يجعل الانتحال مدمّرًا: تجميع المحادثات
حيث تصبح المسألة خطيرة فعلًا هو على مستوى الهاتف الذكي.
يجمّع كل من iOS وAndroid المحادثات حسب مُعرِّف المُرسِل، لا حسب المسار التقني ولا حسب شهادة رقمية. فإذا كتب إليك مصرفك من «MABANQUE» وحقن محتال رسالة بالسلسلة نفسها تمامًا، تهبط الرسالتان في المحادثة ذاتها.
عندئذٍ ترث الرسالة الاحتيالية كل رصيد الثقة المتراكم:
- تظهر أسفل رموز التحقق الحقيقية الخاصة بك؛
- تشترك في السجل المرئي لمراسلاتك المشروعة؛
- تستفيد من السياق («آه نعم، هذه فعلًا محادثة مصرفي»)؛
- تفلت من مرشّحات مكافحة الرسائل المزعجة القائمة على الأرقام المجهولة.
لا يمكن لأي يقظة بصرية أن تعوّض ذلك. الأمر بنيوي.
السيناريو النموذجي في 2026: الرسالة النصية ليست سوى الطُّعم
الخطأ هو الاعتقاد بأن هدف الرسالة هو دفعك للنقر على رابط. ففي حالات متزايدة، لا يوجد رابط على الإطلاق — وهو ما يُربك المرشّحات الآلية وتنبيهات الأمان.
النمط السائد هو التالي:
- رسالة التنبيه. «تم رصد محاولة دفع بقيمة 749 يورو لدى [متجر]. إذا لم تكن أنت من قام بهذه العملية، اتصل بالرقم 09 XX XX XX XX.» وتظهر داخل محادثة المصرف المشروعة.
- المكالمة. إما أن تتصل بالرقم المذكور، أو — في نسخة أكثر عدوانية — يتصل بك «مستشار» خلال الدقائق التالية، برقم معروض منتحَل هو الآخر (فالانتحال موجود أيضًا في الاتصال الصوتي).
- التلاعب. يعرف محدثك اسمك، وأحيانًا مشترياتك الأخيرة ووكالتك المصرفية. يبدو هادئًا ومحترفًا، بل ينصحك بعدم التسرّع. ويطلب منك «حجب» المعاملة الاحتيالية.
- الاستيلاء. يجعلك تصادق على عملية في تطبيقك المصرفي، أو تُملي رمزًا وردك عبر رسالة نصية، أو تُسجّل جهازًا جديدًا على حسابك. أنت من يأذن بالتحويل.
هذه هي عملية النصب المعروفة بـ«المستشار المصرفي المزيّف»، التي يوثّقها Banque de France وObservatoire de la sécurité des moyens de paiement عامًا بعد عام باعتبارها من الأكثر كلفة على الضحية الواحدة. الرسالة المنتحَلة ليست هي الاحتيال: إنها المفتاح الذي يفتح الباب.
القاعدة التي تحميك من 90% من هذه السيناريوهات تختصر في جملة: لن يطلب منك أي مصرف أبدًا المصادقة على عملية أو إلغاءها أو «حجبها» عبر إملاء رمز أو تأكيد إشعار أثناء مكالمة هاتفية. فالمصادقة لا تخدم سوى الإذن، ولا تُستخدم أبدًا للإلغاء.
ما الذي أرسته فرنسا (وحدوده)
خلافًا لفكرة شائعة، الموضوع ليس مُهمَلًا من المنظّم.
فقد أرسى قانون 30 مايو 2023 الرامي إلى مكافحة الاحتيال والتجاوزات في التسويق الهاتفي مبدأ آلية لمصادقة الأرقام. ثم نشرت Arcep الإطار المرجعي التقني المعروف بـMAN (آلية مصادقة الأرقام)، الذي دخل حيّز التطبيق على مراحل منذ أكتوبر 2024 بالنسبة للأرقام الثابتة، ثم لأرقام الهاتف المحمول.
المبدأ: على المشغّل الفرنسي التحقق من أن مكالمة أو رسالة تُعرض برقم فرنسي صادرة فعلًا عن مستخدم شرعي لهذا الرقم. وإلا وجب قطع حركة المرور. والنتائج ملموسة على المكالمات الاحتيالية التي تعرض أرقامًا جغرافية فرنسية مزيفة.
لكن يجب التحلي بالصدق حيال ما لا تعالجه هذه المنظومة:
| الحالة | مشمولة بـ MAN؟ |
|---|---|
| مكالمة تعرض رقم 01/09 فرنسي مزيف | نعم، تُصفّى إلى حد بعيد |
| مكالمة تعرض رقم محمول فرنسي مزيف | نعم، منذ توسيع المنظومة |
| رسالة نصية بـرقم فرنسي مزيف | جزئيًا |
| رسالة نصية بـSender ID أبجدي رقمي منتحَل | لا، خارج النطاق المباشر |
| رسالة نصية محقونة من الخارج بمُعرِّف علامة تجارية | يتوقف على مرشّحات مشغّل الوصول |
بالتوازي، طوّرت Fédération française des télécoms والمشغّلون قوائم للمُعرِّفات الأبجدية الرقمية المحمية: تسجّل العلامة التجارية الـ Sender ID الخاص بها، فيحجب المشغّلون الرسائل الأجنبية التي تحاول انتحاله. هذا النظام يعمل — لكنه يقوم على تطوّع الشركات ولا يغطي آلاف العلامات غير المسجّلة، ولا الصيغ الكتابية المتغيّرة («MA-BANQUE»، «MABANQUE1»).
بعبارة أخرى: الوضع يتحسّن، لكنه لم يُحسم.
منهجية التحقق الفعّالة، في ثلاث خطوات
بما أن الفحص البصري عديم الجدوى، لا بد من الانتقال إلى منطق التحقق خارج القناة. المبدأ بسيط: لا تصادق أبدًا على معلومة داخل القناة التي جاءت بها.
1. علّق الفعل، لا التفكير
كل هذه السيناريوهات تقوم على استعجال مصطنع. المبلغ مرتفع، والمهلة قصيرة، والمحدث يخلق توترًا. والإجراء المضاد آلي: لا شيء مصرفي يُقرَّر خلال خمس دقائق. فما من عملية احتيالية يرصدها مصرف تستوجب تدخلك الفوري عبر الهاتف؛ فإجراءات الاعتراض موجودة وتعمل لاحقًا.
2. أغلق الخط واتصل أنت بنفسك
الرقم الذي يجب طلبه ليس أبدًا الرقم الوارد في الرسالة ولا المعروض على الشاشة. إنه الرقم المدوّن على ظهر بطاقتك المصرفية أو في تطبيقك الرسمي. نقطة مهمة كثيرًا ما تُغفل: على الخطوط الثابتة القديمة، كان بإمكان المحتال إبقاء الخط مفتوحًا لمحاكاة معاودة الاتصال. على الهاتف المحمول يكاد هذا الخطر ينعدم، لكن انتظر مع ذلك بضع ثوانٍ قبل الطلب.
بالنسبة لمن يديرون عدة حسابات أو عدة بطاقات، يبقى الاحتفاظ بأرقام الاعتراض مدوّنة خارج الهاتف الحل الأمتن: دفتر أرقام هاتفية بسيط موضوع قرب المكتب، أو بطاقة مغلّفة في المحفظة، خير من ملاحظة ضائعة في هاتف ذكي قد يُسرق أو يُخترق.
3. تحقّق داخل التطبيق، لا عبر رابط أبدًا
افتح تطبيقك المصرفي من الأيقونة، لا من الرسالة النصية. فإن وُجدت عملية مشبوهة، ستكون ظاهرة فيه. وإن لم يظهر شيء، فالرسالة مزيفة. هذا التحقق يستغرق عشرين ثانية ويُبطل الغالبية الساحقة من المحاولات.
تقليص مساحة الهجوم مسبقًا
يعمل الانتحال بفعالية أكبر كلما عرف المحتال عنك أكثر. فرسالة «بطاقتك المنتهية بـ4412» ليست سحرًا: هذه البيانات تنتشر بعد تسريبات قواعد بيانات العملاء. وبعض الإجراءات تحدّ من التعرّض.
افصل رقمك الأساسي. استخدام خط ثانٍ — بطاقة مدفوعة مسبقًا أو eSIM ثانوية — للتسجيلات التجارية وعمليات التوصيل والإعلانات المبوّبة يقلّص بشدة حجم الرسائل الاحتيالية الموجّهة إلى خطك المصرفي. وقد أصبحت الهواتف بشريحتين شائعة وتجعل العملية غير مكلفة.
انقل المصادقة خارج الرسائل النصية. يظل الرمز أحادي الاستخدام عبر SMS الحلقة الأضعف: فهو قابل للاعتراض، وللنقل عبر التلاعب، ومعرّض لاختطاف الشريحة (SIM swapping). وحين تتيح الخدمة ذلك، فإن تطبيق مصادقة ثنائية العامل، بل مفتاح أمان مادي FIDO2 للحسابات الأكثر حساسية (البريد الرئيسي، مدير كلمات المرور)، يغيّر مستوى الحماية تمامًا. فمفتاح مادي لا يمكن إملاؤه هاتفيًا لمستشار مزيّف.
تجنّب إعادة استخدام كلمات المرور. يصبح سيناريو المستشار المزيّف أكثر إقناعًا بكثير عندما يكون المحتال قد نفذ فعلًا إلى حساب تجاري. ومدير كلمات المرور، حتى في نسخه المجانية، يقطع هذه السلسلة. ولمن يفضّلون الورق، يبقى دفتر كلمات مرور مقفل يُحفظ في المنزل أفضل بكثير من ورقة لاصقة تحت لوحة المفاتيح.
بلّغ دائمًا. الرقم 33700 هو الخدمة الوطنية للإبلاغ عن الرسائل والمكالمات غير المرغوب فيها، ويديره المشغّلون الفرنسيون. أعد توجيه الرسالة إلى 33700، ثم أجب برقم المُرسِل إن طُلب منك ذلك. الخدمة مجانية وهي ما يغذّي قوائم الحجب. وبالإضافة إلى ذلك، توجّه منصة Cybermalveillance.gouv.fr نحو الإجراءات اللازمة، فيما تتيح Perceval، على service-public.fr، الإبلاغ عن الاستخدام الاحتيالي لبطاقة مصرفية.
هل يغيّر RCS قواعد اللعبة؟
هذا هو الخبر السار الحقيقي في هذه المرحلة. فـRCS (Rich Communication Services)، خليفة الرسائل القصيرة الذي نشره المشغّلون وأصبح مدعومًا من iOS وAndroid على السواء، يدمج مفهومًا غائبًا عن SMS: المُرسِل المُوثَّق.
في إطار RCS Business Messaging، على الشركة أن تُصادق على هويتها لدى مجمّع معتمد. عندئذٍ تصل الرسالة بشعار واسم موثَّق وشارة تحقق يعرضها تطبيق المراسلة. كما عزّز Google Messages في 2025 و2026 كشفه الآلي لعمليات الاحتيال، مع تصنيف للرسائل المشبوهة يجري محليًا على الجهاز.
غير أن هناك تحفّظين:
- التعايش يخلق منطقة رمادية. فما دامت الرسائل القصيرة التقليدية موجودة كخيار احتياطي، يمكن للمحتال استهداف هذه القناة غير المُوثَّقة تحديدًا. الرسالة غير الموثَّقة ليست احتيالية بالضرورة — فكثير من الشركات الصغيرة والمتوسطة لم تنتقل بعد — لكن الرسالة الموثَّقة تمثّل ضمانة متينة.
- الشارة تحمي الهوية، لا المحتوى. فقد ترسل علامة تجارية شرعية حملة تسويقية عدوانية؛ وعلى العكس، ينبغي منذ الآن اعتبار غياب الشارة عن رسالة ذات مظهر مصرفي إشارة إنذار قائمة بذاتها.
العادة الواجب اكتسابها بسيطة إذن: في أي رسالة ذات رهان مالي، ابحث عن الشارة. فإن لم تكن موجودة، طبّق إجراء التحقق خارج القناة دون استثناء.
ما ينبغي تذكّره
- خانة المُرسِل في الرسالة النصية تصريحية: يمكن انتحالها، فتصطفّ الرسالة الاحتيالية عندئذٍ داخل محادثة مصرفك المشروعة.
- الفحص البصري لا يفيد في هذه الحالة تحديدًا. وحده التحقق خارج القناة يحمي.
- المنظومة الفرنسية لمصادقة الأرقام (الإطار المرجعي MAN الصادر عن Arcep) قلّصت بقوة المكالمات المنتحِلة لأرقام فرنسية، لكنها لا تغطي المُعرِّفات الأبجدية الرقمية.
- لا يطلب أي مصرف المصادقة على أي شيء أو إملاءه أو تأكيده أثناء مكالمة.
- يشكّل RCS بمُرسِله المُوثَّق أول رد بنيوي على المشكلة؛ لكن اعتماده الكامل سيستغرق وقتًا إضافيًا.
صُمّمت الرسائل القصيرة عام 1992 كقناة خدمة تقنية بين المهندسين. وبعد أربعة وثلاثين عامًا، صارت بوابة الدخول إلى حساباتنا المصرفية — دون أن تحصل يومًا على آليات المصادقة المقابلة. وما دامت هذه الفجوة قائمة، تبقى أفضل حماية ردّ فعل إنساني بحت: الخروج من القناة للتحقق.
