«لا تُفصح عن هذا الرمز أبدًا»: كيف يدفعك المحتالون إلى إملاء رمز التحقق عبر الهاتف

«رمز التحقق: 748 219. لا تُفصح عن هذا الرمز لأي شخص، بمن في ذلك موظفو خدمة العملاء.»

أنت لم تطلب شيئًا. ومع ذلك فالرسالة واردة من مُرسِل تعرفه — اسم مصرفك، أو منصة تسوّق، أو خدمة دفع. تقرأها مرتين، ثم تهزّ كتفيك. وبعد خمس وعشرين ثانية يرنّ الهاتف.

على الطرف الآخر صوت هادئ، وضجيج خافت لمركز اتصالات في الخلفية، واسمك يُنطق بشكل صحيح. «مرحبًا، قسم الأمن. رصدنا محاولة دفع بقيمة 847 يورو من حسابك عبر جهاز غير معروف. لقد وصلك للتو رمز عبر رسالة نصية: إنه رمز الإلغاء. هل يمكنك إملاؤه عليّ كي أوقف العملية؟»

هذا الرمز لا يُلغي شيئًا. بل يُصرّح. والرسالة التي كانت تحذّرك قالت الحقيقة تمامًا — غير أنك كنت قد دخلت بالفعل في سيناريو كتبه شخص آخر.

رمز الاستخدام الواحد، آخر قفل قبل الفراغ

منذ دخول التوجيه الأوروبي الخاص بخدمات الدفع (DSP2) حيّز التنفيذ، وهو التوجيه الذي يفرض المصادقة القوية للعميل، باتت جميع العمليات الحساسة تقريبًا تمرّ عبر عامل ثانٍ: رمز يُرسَل برسالة نصية، أو إشعار يُصادَق عليه في التطبيق المصرفي، وأحيانًا بصمة إصبع.

هذا الرمز — ويُسمّى OTP، أي one-time password، كلمة مرور لمرة واحدة — أصبح الممرّ الإجباري لأي عملية احتيال. فالمحتال الذي يملك اسم المستخدم وكلمة المرور الخاصين بك، بعد حصوله عليهما من تسريب بيانات أو موقع مزيّف، لم يعد قادرًا على فعل شيء بمفرده. ينقصه أمر واحد: الأرقام الستة التي تصلك أنت وحدك.

من هنا جاء الانقلاب الكامل في الاستراتيجية الإجرامية. لم تعد المسألة اختراق نظام، بل إقناع إنسان بقراءة ستة أرقام بصوت مسموع. وهذا أقل كلفة إلى حد بعيد، وأكثر فعالية للأسف.

يلاحظ بنك فرنسا ومرصد أمن وسائل الدفع ذلك عامًا بعد عام: الاحتيال «بالتلاعب بالضحية» في تصاعد، بينما الاحتيال التقني البحت في تراجع. لم يعد المهاجم بحاجة إلى أن يكون خبير معلوماتية، بل إلى أن يكون ممثلًا — أو أن يملك روبوتًا يؤدي الدور نيابةً عنه.

«روبوتات OTP»: حين يتحول الاحتيال إلى اشتراك شهري

هذا هو التغيّر الحقيقي في العامين الأخيرين، وهو غير معروف كثيرًا لدى عامة الناس. لقد تحوّلت سرقة رموز التحقق إلى صناعة منظّمة على شكل خدمات جاهزة تُباع عبر قنوات مراسلة خاصة بأسعار شهرية.

المبدأ بسيط إلى حدّ يبعث على الإحباط. يملك المحتال بيانات دخولك (اشتراها ضمن حزمة بيانات مسروقة). يسجّل الدخول إلى حسابك، فيؤدي ذلك إلى إرسال الرسالة النصية الحقيقية تلقائيًا من الخدمة الحقيقية. وفي اللحظة نفسها، يُدخل رقمك في الروبوت ويختار سيناريو: «مصرف»، «توصيل طرود»، «منصة عملات مشفّرة»، «مشغّل اتصالات».

يتصل الروبوت برقمك، ويشغّل صوتًا اصطناعيًا — غالبًا ما يكون ممتازًا، بفرنسية بلا لكنة، مصحوبًا بأجواء صوتية لمركز اتصالات — ويطلب منك كتابة الرمز الذي وصلك للتو أو إملاءه. وما إن تفعل حتى يصل الرمز إلى المحتال في الوقت الفعلي، فيُدخله قبل انتهاء صلاحيته. العملية كلها تستغرق أقل من تسعين ثانية.

ثلاث تفاصيل تجعل هذه المنظومة شديدة الخطورة:

• التزامن مثالي. تصل الرسالة الشرعية والمكالمة بالترتيب الصحيح، بفارق ثوانٍ قليلة. والدماغ يربط الحدثين تلقائيًا.
• الرسالة النصية أصلية. إنها واردة فعلًا من مصرفك، من المُرسِل الصحيح، بالصياغة الصحيحة. لا شيء يمكن كشفه، ولا رابط مشبوه يمكن تفحّصه: فلا وجود لأي رابط إطلاقًا.
• الرقم الظاهر منتحَل. بفضل تقنية spoofing، تبدو المكالمة صادرة عن الرقم المطبوع على ظهر بطاقتك المصرفية.

بعبارة أخرى، كل ردود الفعل التي تُلقَّن لنا منذ عشر سنوات — تحقّق من الرابط، تحقّق من المُرسِل، تحقّق من الرقم — تُبطَل دفعةً واحدة.

السيناريوهات الخمسة الأكثر تكرارًا

1. موظف «الأمن» المزيّف

الكلاسيكي. يُزعم أنه جرى رصد عملية دفع مشبوهة، ولا بد من إلغائها. ويُقال إن الرمز يُستخدم لـ«الحجب» أو «الرفض» أو «التأمين». لكن المصرف لا يطلب أبدًا رمزًا لإلغاء شيء ما: الإلغاء يتم من جانبه، دون تدخّل منك.

2. تأكيد التسليم

يُقال إن طردًا محتجز، أو إن موعدًا ينبغي تأكيده. ويُزعم أن الرمز يُستخدم لـ«التحقق من العنوان». أما في الواقع فهو غالبًا يُصادق على إنشاء حساب أو على تسجيل بطاقة مصرفية في محفظة إلكترونية.

3. البيع بين الأفراد

أنت تعرض سلعة للبيع. يرسل إليك المشتري رمزًا «للتأكد من أنك لست روبوتًا» قبل أن يأتي. إنه في الحقيقة رمز تسجيل في خدمة طرف ثالث، مرتبط برقمك — وسيُستخدم لاحقًا لتدبير عمليات احتيال أخرى باسمك.

4. خدمة العملاء المزيفة لمشغّل الاتصالات

يُعرض عليك خصم، أو بادرة تجارية، أو ترقية باقة. والرمز المطلوب هو في الواقع الرمز الذي يصرّح بنقل خطك إلى شريحة SIM أخرى. وهذه النسخة تؤدي مباشرة إلى الاستيلاء الكامل على رقمك.

5. «إعادة تفعيل» حساب مجمَّد

حساب بريد إلكتروني، أو منصة إعلانات مبوّبة، أو خدمة دفع عبر الهاتف: يُبلَّغ عن حجب، ثم «يساعدونك» على رفعه. والرمز يرفع الحجب فعلًا — عن وصول المحتال.

لماذا يقع أشخاص حذرون في الفخ رغم ذلك

علينا التخلّص من فكرة أن هذه الحيل تستهدف فقط من لا يجيدون التعامل مع التقنية. فالسيناريوهات تستغل آليات إدراكية كونية، موثّقة توثيقًا دقيقًا.

الاستعجال يُلغي التحقق. مبلغ كبير، حساب في خطر، مهلة دقيقتين: ينتقل الدماغ إلى وضع رد الفعل. وتُظهر الدراسات حول اتخاذ القرار تحت الضغط تراجعًا واضحًا في القدرة على تصوّر فرضيات بديلة.

الاتساق يطمئن أكثر من الأصالة. تصلك رسالة نصية، ثم يتصلون بك بشأن هذه الرسالة: العنصران يؤكد كل منهما الآخر. يُسمّى ذلك وهم التطابق. غير أن كليهما صادر عن المصدر نفسه — فالمحتال هو ببساطة من أطلق العنصر الأول.

السلطة تنزع سلاح الاعتراض. صوت هادئ، ومفردات مهنية («إيقاف»، «رفض عملية»، «المستوى الثاني»)، ورقم معروف. مقاطعة شخص يبدو أنه يساعدك تتطلب جهدًا اجتماعيًا حقيقيًا.

صيغة التحذير يُلتف عليها. عبارة «لا تُفصح عن هذا الرمز لأي شخص» يقدّمها المحتال بوصفها تعليمة تخصّ المكالمات الأخرى: «بالطبع، من حقك أن تكون حذرًا. ولهذا السبب بالذات أنا من يتصل بك من الرقم الرسمي.» هكذا يُمتص الشك ويُقلب ويُحوَّل إلى دليل على الجدية.

القاعدة الوحيدة الكافية لإفشال كل شيء

يمكنك أن تنسى قوائم النصائح العشر. جملة واحدة تحميك من كل هذه السيناريوهات:

الرمز الذي يصل عبر رسالة نصية لا يُملى أبدًا، ولا يُكتب أبدًا على لوحة مفاتيح الهاتف، ولا يُعاد إرساله أبدًا. يُدخَل منك وحدك، على شاشة، في تطبيق أو موقع فتحته بنفسك.

لا استثناء على الإطلاق. لا لموظف مصرفي، ولا لشرطي، ولا لفنّي، ولا لعامل توصيل، ولا لمشترٍ. لا جهة مهنية شرعية بحاجة إلى هذا الرمز، لأن لا جهة مهنية شرعية تتصرف نيابةً عنك في حسابك.

ونتيجة لا تقل أهمية: الرمز الذي يصل دون سبب هو إشارة إنذار، لا خطأ. فإذا وصل دون أن تفعل شيئًا، فهذا يعني أن شخصًا ما يملك بالفعل بيانات دخولك ويحاول الولوج. ورد الفعل الصحيح ليس تجاهل الرسالة، بل تغيير كلمة مرور الخدمة المعنية فورًا، من داخل التطبيق الرسمي.

استعادة زمام الأمور: خطوات عملية

أغلق الخط، ثم عاود الاتصال بنفسك

هذه أنجع خطوة، وأصعبها تنفيذًا. تُغلق الخط، وتنتظر دقيقة كاملة (بعض المحتالين يبقون الخط مفتوحًا)، ثم تطلب بنفسك الرقم المدوّن على ظهر بطاقتك المصرفية أو في التطبيق. فإن كان الحادث حقيقيًا، فسيظل قائمًا بعد خمس دقائق.

أما من يتلقون كثيرًا من المكالمات المزعجة، فإن هاتفًا أرضيًا بخاصية تصفية المكالمات — يحجب الأرقام غير المسجّلة أو يفرض رسالة تمهيدية — يزيل جانبًا كبيرًا من الضجيج. إنه استثمار متواضع لأحد الوالدين المسنّين الذي لا يجرؤ على إنهاء مكالمة مع محدّث مهذب.

الابتعاد عن الرسائل النصية في المصادقة كلما أمكن

تبقى الرسالة النصية أضعف عوامل المصادقة: فهي قابلة للاعتراض عبر الاستيلاء على الخط، ومقروءة على الشاشة المقفلة، وعرضة للتلاعب الموصوف هنا. وحين توفّر الخدمة الخيار، فضّل تطبيق مصادقة (تأكيد داخل التطبيق المصرفي، أو مولّد رموز)، أو — للحسابات الأكثر حساسية — مفتاح أمان مادي بمعيار FIDO2، الذي يتميّز بأنه لا يعرض شيئًا يمكن إملاؤه على مجهول.

إقفال معاينة الرسائل

بشكل افتراضي، تعرض هواتف كثيرة محتوى الرسائل النصية على الشاشة المقفلة. ورمز مرئي دون فتح القفل هو رمز مكشوف لكل من تقع عيناه على الجهاز — في قطار، أو مكتب مفتوح، أو قاعة انتظار. الإعداد موجود ضمن الإشعارات: اختر «إخفاء المحتوى». ويكمّل فلتر خصوصية لشاشة الهاتف الذكي هذا الإجراء بفائدة لمن يتصفحون هواتفهم في وسائل النقل.

حماية الخط نفسه

ما دامت الرسالة النصية تصل إلى شريحة SIM الخاصة بك، فإن الشريحة تصبح هدفًا. احتياطان اثنان: تفعيل رمز PIN للشريحة (وهو معطّل افتراضيًا لدى كثير من المستخدمين)، ومطالبة المشغّل بقفل خاصية نقل الرقم، وهو خيار يمنع تحويل الخط دون تحقق مشدّد. ومن يفصلون بين استخداماتهم سيقدّرون هاتفًا بشريحتين SIM، يتيح تخصيص رقم للخدمات المصرفية وحدها، لا يُعطى أبدًا في الإعلانات ولا في الاستمارات.

دوّن القاعدة على وسيط ملموس

يبدو الأمر ساذجًا، لكنه في الواقع الأكثر نجاعة مع الأشخاص المعرّضين للخطر. بطاقة مطبوعة توضع قرب الهاتف الأرضي بثلاثة أسطر: «لا أُملي رمزًا أبدًا. أُغلق الخط. أتصل بمصرفي بنفسي.» وتوزّع عدة جمعيات وقائية هذا النوع من المذكّرات. كما أن دليلًا عمليًا حول الأمن السيبراني في الحياة اليومية، متروكًا على الطاولة المنخفضة، يفعل لليقظة العائلية أكثر مما يفعله خطاب طويل.

إذا كنت قد أعطيت الرمز

لا داعي للخجل — فهذه السيناريوهات يصممها محترفون هذه مهنتهم بدوام كامل. في المقابل، هناك حالة استعجال.

المهلة	الإجراء
فورًا	الاتصال بخدمة الإيقاف في المصرف (الرقم على ظهر البطاقة) وطلب حجب البطاقة والوصول الإلكتروني
خلال ساعة	تغيير كلمة مرور الخدمة المعنية وكلمة مرور البريد الإلكتروني المرتبط بها، من جهاز آخر إن أمكن
خلال 24 ساعة	الإبلاغ عبر المنصة الرسمية للتبليغ عن عمليات الاحتيال وتقديم شكوى لدى مركز الشرطة أو الدرك
خلال 13 شهرًا	الاعتراض كتابةً لدى المصرف على العمليات غير المصرّح بها

بعض المعلومات المفيدة:

• الرقم 3018 (المكالمة والخدمة مجانيتان) يرافق ضحايا العنف الرقمي؛ أما Info Escroqueries على الرقم 0 805 805 817 فيقدّم إرشادات حول الإجراءات.
• تُبلَّغ الرسائل النصية الاحتيالية إلى الرقم 33700، وهي خدمة مشتركة بين المشغّلين الفرنسيين.
• موقع cybermalveillance.gouv.fr، وهو منظومة المساعدة الوطنية، يوفّر بطاقات إرشادية ودليلًا بمقدّمي الخدمات المعتمدين.
• ينصّ القانون النقدي والمالي على ردّ مبالغ عمليات الدفع غير المصرّح بها، إلا في حالة الإهمال الجسيم من العميل. ومفهوم الإهمال الجسيم يُقدَّر حالة بحالة: فكون الشخص ضحية تلاعب متقن، مع انتحال رقم المصرف، سبق أن رجّحته محكمة النقض لصالح العميل. احتفظ بكل شيء: لقطات الشاشة، أوقات المكالمات، الرقم الظاهر، محتوى الرسائل النصية.

ما الذي تنذر به هذه الحيلة مستقبلًا

يعيش رمز الاستخدام الواحد عبر الرسائل النصية سنواته الأخيرة كمعيار أمني. فسلطات الإشراف المصرفي الأوروبية تشجّع بالفعل على الانتقال إلى أساليب تربط المصادقة بالجهاز وبالعملية نفسها — تأكيد داخل التطبيق يعرض المبلغ والمستفيد، وهو أصعب بكثير على التحويل عبر الهاتف.

وإلى أن يحدث ذلك، فإن الثغرة لا تكمن في الهاتف ولا في الشبكة: إنها تكمن في المحادثة. المحتال لا يسرق الرمز، بل يحصل عليه. وهذا يعني أن قرارًا واحدًا — الرفض بأدب، وإغلاق الخط، ومعاودة الاتصال بنفسك — يكفي لإفشال سلسلة هجوم كاملة، بما فيها الروبوتات الصوتية.

الرسالة التي تحذّرك على حق. المكالمة التي تليها هي التي تكذب.