بداية سبتمبر. عاد الأطفال إلى المدرسة، وغيّر عقد التأمين الصحي التكميلي في الشركة شركةَ التأمين اعتبارًا من أول الشهر، ولديك ثلاث وصفات طبية يجب تجديدها قبل نهاية الأسبوع. يهتزّ الهاتف: «التأمين الصحي: بطاقة Vitale الخاصة بك على وشك الانتهاء. اطلب بطاقتك الجديدة قبل 15/09 لتجنّب تعليق تعويضاتك: [رابط]».
ليس لديك أي سبب لاعتبار الأمر غريبًا. أنت تعلم أن شيئًا ما يتغيّر في تغطيتك الصحية، لكنك لا تعرف بالضبط ما هو. وهذه المنطقة الرمادية تحديدًا هي ما يستغله المحتالون.
الاحتيال عبر رسائل صحية مزيفة ليس جديدًا، لكن له موسمية مخيفة: فهو ينفجر في سبتمبر ويناير، أي في اللحظتين اللتين يتلقّى فيهما الفرنسيون فعليًا مراسلات من شركة التأمين التكميلي أو من صاحب العمل أو من صندوق التأمين الصحي المحلي. الرسالة المزيفة لا تتسلّل في الصمت: بل تتسلّل وسط الضجيج.
لماذا يُعدّ القطاع الصحي أرضًا مثالية للصيد
تعتمد معظم حملات التصيّد عبر الرسائل النصية (smishing) على ثلاث ركائز: جهة يعرفها الجميع، ومبلغ مالي متواضع، ونتيجة مزعجة في حال عدم التحرّك. والقطاع الصحي يستوفي الشروط الثلاثة بسهولة مقلقة.
الجميع معنيّ. على عكس رسالة بنكية مزيفة — التي تُخطئ هدفها تسع مرات من أصل عشر لأنك لست عميلًا لدى البنك المذكور — فإن رسالة تتحدث عن التأمين الصحي تصيب 100% من المستقبِلين. لا يحتاج المحتالون حتى إلى معرفة ملفك الشخصي.
المصطلحات الإدارية غامضة. بطاقة Vitale، الدفع من طرف ثالث، الإرسال الإلكتروني للبيانات، التأمين التكميلي الإلزامي، المساهمة الجزافية، الأمراض طويلة الأمد… قلّة قليلة تتقن هذه الآليات فعلًا. وأمام رسالة تستخدم هذه الكلمات بشكل صحيح، فإن ردّ الفعل الطبيعي ليس الشكّ بل الإذعان.
النتيجة مخيفة من دون أن تكون كارثية. «سيتم تعليق تعويضاتك» ليست تهديدًا بمُحضِر قضائي. إنها مزعجة بما يكفي لتدفعك إلى حلّ المشكلة فورًا، وغير خطيرة بما يكفي لتجعلك تتصل بشريكك أو محاسبك قبل الضغط على الرابط.
أضف إلى ذلك أن التأمين الصحي، عبر Ameli، يرسل رسائل نصية حقيقية — لا سيما بخصوص مواعيد الفحوصات، أو تذكيرات التلقيح، أو إتاحة وثيقة ما. وبالتالي لا توجد لدى المستخدم قاعدة بسيطة من نوع «Ameli لا ترسل رسائل نصية أبدًا». الحدود ضبابية، والضبابية تصبّ دائمًا في مصلحة المهاجم.
السيناريوهات الأربعة التي ستصادفها هذا العام
1. «بطاقة Vitale الجديدة» المطلوب طلبها
هذا هو السيناريو المهيمن منذ الإعلان عن إطلاق بطاقة Vitale الرقمية ضمن تطبيق carte Vitale. تعلن الرسالة انتهاء صلاحية بطاقتك الفعلية، أو وجوب «الانتقال» إلى النسخة الرقمية، وتعرض عليك استمارة.
ما تطلبه الاستمارة، بالترتيب: الاسم، اللقب، تاريخ الميلاد، رقم الضمان الاجتماعي، العنوان البريدي، ثم — بعد ثلاث شاشات، حين تكون قد انخرطت بالفعل — دفع «رسوم ملف» تتراوح بين 1.50 و4.90 يورو. المبلغ تافه، وهذا كل المغزى: فهو يخدم هدفًا وحيدًا هو التقاط رقم بطاقتك المصرفية وتاريخ انتهائها ورمزها السرّي.
للتذكير: بطاقة Vitale ليس لها أي تاريخ انتهاء صلاحية وإصدارها مجاني تمامًا. أي طلب دفع مرتبط ببطاقة Vitale هو، بحكم التعريف، عملية احتيال.
2. التعويض المزيف من التأمين التكميلي
«تأمينك الصحي التكميلي: تعويض بقيمة 47.82 يورو في انتظارك. أدخل بيانات حسابك المصرفي لاستلامه.» المبلغ بخانتين عشريتين تفصيل إخراجي فعّال بشكل لافت: فهو يوحي بحساب حقيقي ناتج عن كشف فعلي.
هنا لا يطلب المحتال مالًا — بل يَعِد به. هذا الانقلاب يعطّل جزءًا كبيرًا من اليقظة. وبيانات الحساب المصرفي المجمَّعة تُستخدم لاحقًا إما في اقتطاعات احتيالية، أو في تغذية ملفات انتحال الهوية، أو لإعادة بيعها.
3. «تحديث الدفع من طرف ثالث»
نسخة أكثر تقنية، تُرسل غالبًا مع بداية السنة الدراسية حين تتغيّر العقود الجماعية. تدعوك الرسالة إلى «إعادة تفعيل الإرسال الإلكتروني بين تأمينك التكميلي وصندوقك». والموقع المستهدف يقلّد فضاء المنخرطين ويطلب بيانات دخولك إلى حساب التأمين التكميلي.
لهذه البيانات قيمة خاصة: فضاء المنخرِط يحتوي على تاريخك العلاجي، والمستفيدين المرتبطين بك، وبيانات حسابك المصرفي، وأحيانًا معلومات صاحب عملك. إنه ملف هوية كامل، أغنى بكثير من مجرد رقم بطاقة مصرفية.
4. الفحص المزيف أو الاستدعاء المزيف
أندر لكنه في تزايد: رسالة نصية تعلن عن فحص منظّم للكشف المبكر (سرطان القولون والمستقيم، سرطان الثدي) مع رابط لـ«تأكيد مشاركتك». يستغل هذا الأسلوب كون Santé publique France والتأمين الصحي ينفّذان فعلًا حملات من هذا النوع. الغاية واحدة: جمع بيانات صحية شخصية، تُباع أو تُستخدم في عمليات احتيال لاحقة موجّهة.
كيف تكشف الرسالة المزيفة في عشر ثوانٍ
ثمة بعض العلامات الموثوقة، شرط أن تعرف أين تنظر. ردّ الفعل الأول ليس أبدًا قراءة النص: بل النظر إلى وجهة الرابط.
| ما تراه | ما يعنيه |
|---|---|
| رابط مختصر (bit.ly, tinyurl, cutt.ly) | لا تستخدم أي جهة عمومية أدوات اختصار الروابط |
نطاق من نوع ameli-remboursement.info | النطاق الحقيقي هو ameli.fr، لا غير |
.ameli.fr.securite-xyz.com | اسم النطاق الحقيقي هو ما يسبق النقطة الأخيرة: هنا securite-xyz.com |
| مُرسِل برقم يبدأ بـ 06 أو 07 | الجهات الرسمية تستخدم اسم مُرسِل أو رقمًا قصيرًا |
| طلب دفع، ولو بيورو واحد | لا يُدفع أي إجراء إداري صحي عبر رسالة نصية |
النقطة الثالثة في الجدول هي الأهم والأقل شهرة. يبني المحتالون عناوين تحتوي على الاسم الحقيقي للجهة لخداع العين. القاعدة الآلية: اقرأ اسم النطاق من اليمين إلى اليسار، انطلاقًا من .fr أو .com. وما يوجد قبلها مباشرة هو المالك الحقيقي للموقع.
على شاشة صغيرة، تكون هذه القراءة مرهقة، وهذا مقصود. كثير من المستخدمين الذين يتلقون رسائل إدارية يوميًا ينتهي بهم الأمر إلى الاطلاع على هذه المراسلات من جهاز لوحي بشاشة كبيرة، حيث يبقى العنوان الكامل مقروءًا من دون إجهاد العينين — تفصيل بسيط يجنّب جزءًا كبيرًا من أخطاء السهو.
الفخّ الخاص بكبار السن ومن يرافقونهم
يجمع كبار السن ثلاثة عوامل هشاشة في هذا الموضوع تحديدًا: فهم يستخدمون النظام الصحي بكثافة فعلية، ويتلقّون بالفعل كثيرًا من المراسلات من صندوقهم ومن تأمينهم التكميلي، وقد نشأوا على ثقافة الاستجابة للإدارات.
المشكلة ليست السذاجة. المتقاعد الذي يتلقى ثلاثة كشوف تعويض شهريًا لا يملك أي سبب بنيوي لاعتبار رسالة رابعة مشبوهة. إنه يطبّق روتينًا مشروعًا على رسالة غير مشروعة.
بعض الترتيبات العملية لأحد الأقارب المسنّين:
- وضع قاعدة واحدة ومطلقة: «لا نضغط على أي رابط يصل عبر رسالة نصية، أبدًا، مهما كان المُرسِل». القاعدة بلا استثناء أنجع بما لا يُقاس من قائمة معايير يجب تقييمها.
- تثبيت تطبيق carte Vitale أو تطبيق Ameli الرسمي معًا، من متجر التطبيقات، وشرح أن كل شيء يمرّ من هناك من الآن فصاعدًا.
- تدوين رقم الصندوق على وسيط ورقي، بجانب الهاتف. دفتر ملاحظات بأحرف كبيرة موضوع قرب الجهاز يحلّ نصف الحالات: فبدل الضغط على الرابط، يتصل الشخص هاتفيًا.
- التأكد من وضوح الجهاز. كثير من أخطاء القراءة سببها شاشة داكنة جدًا أو عرض صغير جدًا. نظارة قراءة مكبّرة موضوعة قرب الهاتف قد تكون أحيانًا أنفع من برنامج مضاد للفيروسات.
- الاتفاق على «رأي ثانٍ» منهجي: كل رسالة تتحدث عن المال أو الصحة تستوجب اتصالًا بالمرافق قبل أي إجراء. من دون لوم، ومن دون أحكام، كردّ فعل مشترك.
الهدف ليس تحويل قريب إلى خبير في الأمن السيبراني، بل تقليص عدد القرارات التي يضطر لاتخاذها وحده، تحت الضغط، على شاشة من ست بوصات.
ما تساويه هذه البيانات فعليًا
نستهين كثيرًا بقيمة رقم الضمان الاجتماعي. فعلى عكس كلمة المرور، لا يمكن تغييره. وعلى عكس البطاقة المصرفية، لا يمكن إيقافه. إنه يرافقك مدى الحياة ويشفّر جنسك وسنة وشهر ميلادك ومحافظة ولادتك.
مقترنًا باسمك وعنوانك وتاريخ ميلادك، فإنه يتيح:
- فتح ملفات لدى جهات تتحقّق من الهوية بشكل رديء؛
- إضفاء مصداقية على هجوم لاحق — فالمحتال الذي يعاود الاتصال بك ذاكرًا رقم ضمانك الاجتماعي يصبح فورًا «رسميًا» في نظرك؛
- تغذية حملات احتيال أكثر استهدافًا بكثير، حيث لم تعد الرسالة تقول «عزيزنا العميل» بل تذكر اسمك ومدينتك وصندوق انتسابك.
هذه هي النقطة العمياء لدى كثير من الضحايا: يظنّون أنهم «لم يخسروا شيئًا» لأن أي مبلغ لم يُقتطع. في الواقع، لقد سلّموا المادة الخام للاحتيال التالي، ذاك الذي سيصل بعد ثلاثة أو ستة أشهر، والذي سيكون هذه المرة مقنعًا تمامًا.
القنوات الصحيحة، مرة واحدة وإلى الأبد
أفضل دفاع ضد رسالة مزيفة ليس إتقان كشفها: بل معرفة الطريق الحقيقي عن ظهر قلب، حتى لا تحتاج أبدًا إلى تقييم رسالة نصية.
بخصوص كل ما يتعلق بالتأمين الصحي، هناك مدخل واحد: موقع ameli.fr أو تطبيق Ameli، يُفتحان من مفضّلاتك أو من متجر التطبيقات في هاتفك. لا من رابط وارد أبدًا. والرقم 36 46 يتيح التواصل مع مستشار لتبديد أي شك.
بخصوص تأمينك الصحي التكميلي، الرقم مدوّن على بطاقة الدفع من طرف ثالث، تلك الموجودة في محفظتك. إنها مصدر المعلومة الوحيد الذي لا يستطيع أحد تزويره عن بُعد.
بخصوص بطاقة Vitale، احفظ ثلاث حقائق تكفي لاستبعاد 100% من عمليات الاحتيال من هذا النوع:
- لا تنتهي صلاحيتها.
- إنها مجانية.
- تُطلب من حسابك على Ameli أو من الصيدلية، لا عبر رابط.
للإبلاغ، أعد توجيه الرسالة النصية إلى 33700، وهي خدمة رسمية يديرها المشغّلون الفرنسيون بالتنسيق مع السلطات. ستتلقى ردًا آليًا يطلب منك رقم المُرسِل: أرسِله. الإبلاغ مجاني ويغذّي قوائم الحظر. كما يقترح موقع Cybermalveillance.gouv.fr مسار مساعدة إذا كنت قد أرسلت معلومات بالفعل.
إذا كنت قد ملأت الاستمارة بالفعل
لا داعي للذعر، بل للمنهجية، وبهذا الترتيب.
إذا كنت قد أعطيت بيانات حسابك المصرفي: اتصل فورًا ببنكك لإيقاف البطاقة، أو استخدم خاصية حظر البطاقة في تطبيقك المصرفي — فهي غالبًا أسرع من مكالمة هاتفية. ثم راقب الاقتطاعات الصغيرة بقيمة بضعة سنتات، فهي غالبًا اختبارات تسبق عملية أكبر.
إذا كنت قد أعطيت بيانات دخولك إلى التأمين التكميلي أو إلى Ameli: غيّر كلمة المرور من الموقع الرسمي، وغيّرها في كل مكان أعدت استخدامها فيه. وإذا لم تكن تملك أي فكرة عن هذه القائمة، فهذه هي اللحظة المناسبة لاعتماد مدير كلمات مرور، أو على الأقل دفتر رموز سرية محفوظ في درج — حلّ عتيق الطراز، لكنه أفضل بما لا يُقاس من ثلاث كلمات مرور متطابقة.
إذا لم تكن قد أعطيت سوى بيانات هويتك: لا شيء «يُصلَح» تقنيًا، لكن ضع الأمر في حسبانك خلال الأشهر التالية. اعتبر مشبوهة كل مكالمة أو رسالة تذكر بياناتك بدقة وتطلب منك إجراءً ما. فالمحتال المطّلع جيدًا ليس محاورًا شرعيًا.
في كل الأحوال: قدّم شكوى، عبر الإنترنت أو في مركز الشرطة. حتى لو لم يُفضِ الملف إلى نتيجة فردية، فإنه يغذّي الإحصاءات التي تطلق التحقيقات الجماعية. كما سيطلبه منك بنكك من أجل أي تعويض.
ردّ الفعل الحقيقي، ذاك الذي لا يكلّف شيئًا
يختصره سطر واحد: لا نعالج أبدًا مسألة صحية انطلاقًا من رسالة نصية.
ليست مسألة يقظة ولا خبرة تقنية. إنها مسألة قناة. الرسالة التي تصلك على هاتفك ليست مصدر معلومة، بل إشعارًا — في أفضل الأحوال، تذكيرًا بالتحقق في مكان آخر. ويوم يترسّخ هذا الردّ التلقائي، لن يعود لجودة الرسالة المزيفة أي أهمية: سواء كانت فجّة أو مقلَّدة بإتقان، ستنتهي في المكان نفسه، مُعاد توجيهها إلى 33700 ثم محذوفة.
أما البقية — الأخطاء الإملائية، والشعارات، والصياغات الغريبة — فهي مؤشرات مفيدة، لكنها مؤشرات يصحّحها المحتالون عامًا بعد عام. أما القناة، فلن تتغيّر.
