«ملفك لدى CAF موقوف»: عملية احتيال الرسائل النصية المزيفة باسم صندوق الإعانات العائلية

«CAF: ملفك رقم ALL-77204 موقوف بسبب نقص في البيانات المصرفية. حدِّث بياناتك المصرفية قبل 25/09 لتفادي انقطاع الصرف: http://caf-allocataire-maj.fr/rib»

الساعة 18:40، تعود من التسوق، وتظهر هذه الرسالة بين إشعارين. لم تطلب أي شيء من CAF هذا الشهر. لكنك غيّرت مصرفك في يوليو. أو غادرت ابنتك المنزل. أو تغيّر معامل الحصة العائلية بعد آخر تصريح بالموارد. في ملف أي مستفيد، هناك دائمًا تفصيل صغير ليس محدَّثًا تمامًا.

والأهم: إذا توقّف الصرف، فالأمر ليس مجرد إزعاج إداري. إنه إيجار الخامس من الشهر، ومصروف المطعم المدرسي، والوقود للذهاب إلى العمل. وعلى هذا التوتر بالذات تتكئ عملية الاحتيال.

لماذا أصبحت CAF هدفًا مفضّلًا

يصرف الصندوق الوطني للإعانات العائلية (CNAF) وشبكة صناديقه المحلية إعانات لنحو 13.7 مليون مستفيد في فرنسا. الإعانات العائلية، والمساعدة الشخصية على السكن، ومنحة النشاط، ودخل التضامن النشط (RSA)، وإعانة الدعم العائلي، وإعانة تعليم الطفل ذي الإعاقة: إنه أكبر سجل مستفيدين في البلاد بعد التأمين الصحي.

بالنسبة إلى محتال، هذه الكتلة تغيّر كل شيء. حين يرسل 100 ألف رسالة نصية عشوائيًا منتحلًا صفة مصرف إقليمي، قد يصل إلى 3% من العملاء الحقيقيين. أما حين ينتحل صفة CAF، فهو يصل إلى شريحة هائلة من السكان — وخصوصًا شريحة تحتاج، إحصائيًا، إلى ذلك المال حاجة فورية.

أضف إلى ذلك ثلاثة عناصر خاصة:

• مفردات إدارية مُربِكة. «تذكير بالحقوق»، «مبلغ غير مستحق»، «مبلغ زائد مقبوض»، «الحصة العائلية»، «التصريح الفصلي بالموارد»، «تسوية». من يعرف تلقائيًا ما الذي يؤدي إلى استرداد وما الذي يؤدي إلى مطالبة بالدفع؟
• مدفوعات محددة التاريخ ومنتظَرة. جدول دفعات CAF معلن: يتم الصرف عمومًا في الخامس من كل شهر. رسالة تصل في الثامن والعشرين أو في الثاني تتسلل تمامًا إلى قلق التحويل المرتقب.
• علاقة رقمية بشكل افتراضي. منذ تعميم حساب المستفيد على الإنترنت والتطبيق المحمول، باتت CAF تتواصل فعلًا عبر البريد الإلكتروني والإشعارات. فتنزلق الرسالة المزيفة داخل تدفّق شرعي.

ومن جهتها تنشر CNAF بانتظام تنبيهات على موقعها caf.fr وحساباتها الرسمية: وتذكّر بأنها لا تطلب أبدًا بيانات مصرفية كاملة، ولا رقم بطاقة، ولا كلمة مرور عبر رسالة نصية أو بريد إلكتروني.

السيناريوهات الأربعة المتداولة

1. تعليق الملف

الأكثر انتشارًا. رقم ملف يبدو معقولًا، وموعد نهائي بعد ثلاثة أو أربعة أيام، ورابط إلى صفحة تحاكي بدقة تصميم caf.fr. يُطلب منك رقم المستفيد وتاريخ ميلادك، ثم بيانات مصرفية «لتأكيدها» — وهي في الواقع لسرقتها، أو لاستبدالها ببيانات المحتال في جلسة حقيقية جرى اختطافها.

2. المبلغ الزائد الواجب إرجاعه

نسخة عدوانية: يُزعم أن CAF صرفت لك 428.30 يورو زيادة، وعليك تسوية الأمر عبر الإنترنت وإلا واجهت «تحصيلًا قضائيًا». المبلغ دائمًا دقيق، وغير مُدوَّر أبدًا. يتم الدفع بالبطاقة المصرفية على صفحة دفع مزيفة، وغالبًا ما يعقبها اتصال من «مصلحة التحصيل» لدفعك إلى المصادقة على عملية أكبر.

3. المنحة الاستثنائية

المرآة الإيجابية: يُقال إن لك الحق في «مكمّل تضامن» أو «مساعدة استثنائية للدخول المدرسي» بقيمة 180 يورو، ينبغي المطالبة بها قبل انتهاء المهلة. ولتحصيلها، عليك… إدخال بطاقتك المصرفية، بزعم «التحقق من هوية صاحب البطاقة». تزدهر هذه النسخة في فترة الدخول المدرسي وفي ديسمبر.

4. المستشار المزيف الذي يعاود الاتصال

الأخطر. الرسالة النصية تكتفي ببذر الشك؛ ثم يتصل بك شخص حقيقي من رقم يظهر كرقم صندوقك المحلي (انتحال رقم المتصل، وهو أمر تقني بسيط للغاية). إنه يعرف مسبقًا اسمك ومدينتك — أحيانًا من تسريب بيانات سابق. يطلب منك قراءة رمز وصلك عبر رسالة نصية «لتوثيق المكالمة». وهذا الرمز يصادق في الحقيقة على عملية دفع، أو تغيير بيانات، أو إضافة جهاز إلى حسابك المصرفي على الإنترنت.

ويؤكد مصرف فرنسا (Banque de France)، في التقرير السنوي لمرصد أمن وسائل الدفع، التزايد المستمر لهذه عمليات النصب بالتلاعب النفسي: لم تعد التقنية هي التي تخترق الحماية، بل الضحية نفسها هي التي تفتح الباب بحسن نيّة.

الإشارات التي لا تخطئ

هناك مؤشرات موثوقة، وأخرى خادعة. لنبدأ بتصحيح فكرة شائعة: الإملاء لم يعد معيارًا. فمولّدات النصوص الحالية تنتج رسائل خالية من الأخطاء. بل إن بعض الرسائل المزيفة مصاغة أفضل من الحقيقية.

إليك ما يبقى صالحًا:

العنصر	رسالة CAF الحقيقية	رسالة احتيالية
الرابط	يحيل إلى caf.fr أو إلى التطبيق؛ وغالبًا لا يوجد رابط إطلاقًا	caf-allocataire.xyz، caf-regularisation.com، caf.fr.secure-maj.net
الطلب	تدعوك إلى الاطلاع على فضائك الشخصي	تطلب بيانات مصرفية، بطاقة، كلمة مرور، وثيقة هوية
الاستعجال	مهل إدارية طويلة، ورسائل تذكير بريدية	24 إلى 72 ساعة، وتهديد بالتعليق
الدفع	CAF لا تتلقى أبدًا دفعًا بالبطاقة عبر رابط في رسالة نصية	صفحة دفع ببطاقة مصرفية فورًا
المرسِل	اسم قصير («CAF») أو رقم رسمي	رقم محمول يبدأ بـ 06/07، أو بادئة أجنبية، أو اسم منتحَل

أهم نقطة هي النطاق الفرعي. فـcaf.fr.verification-dossier.com لا يعود إلى CAF: النطاق الحقيقي هو دائمًا ما يسبق مباشرة النقطة الأخيرة قبل أول /. هنا، إنه verification-dossier.com. هذا أنجع فخ في التصيّد عبر الرسائل النصية كلّه، لأن شاشة الهاتف تقتطع العنوان وتعرض تحديدًا الجزء المطمئن.

تفصيل عملي: قراءة عنوان إلكتروني كامل على شاشة متصدّعة أو على شاشة مقاس 5 بوصات بحجم خط صغير جدًا أمر شبه مستحيل. يروي كثير من الضحايا أنهم «رأوا caf.fr» دون أن يروا ما بعدها. استبدال زجاج مكسور أو تركيب زجاج واقٍ مقوّى ليس إجراءً من إجراءات الأمن السيبراني، لكن وجود شاشة مقروءة شرط أساسي للتحقق من رابط قبل لمسه.

ما تفعله CAF فعلًا — وما لا تفعله أبدًا

لتمييز المزيف، عليك معرفة الحقيقي. إليك بعض المعالم المستمدة من طريقة عمل شبكة CAF الرسمية:

• تصل إشعارات الحقوق والقرارات المهمة إلى فضاء «Mon compte» على caf.fr، أما الأكثر رسمية منها فتصل بالبريد العادي.
• يُبلَّغ عن المبلغ غير المستحق (الزائد المقبوض) برسالة بريدية، مع بيان طرق ومهل الطعن، ويُسترد عبر الاقتطاع من الإعانات اللاحقة أو بأمر دفع يُرسل إلى الصندوق. لا يتم ذلك أبدًا بالبطاقة المصرفية عبر رابط ورد في رسالة نصية.
• يتم تغيير البيانات المصرفية من الفضاء الشخصي بعد المصادقة، أو عبر FranceConnect. ولا تتصل بك CAF هاتفيًا لتمليها عليك.
• لا تطلب CAF أبدًا كلمة مرورك، ولا الرمز ذا الاستعمال الواحد الذي يرسله مصرفك.
• المكالمات الصادرة من مستشار موجودة فعلًا، لكن المستشار لا يفرض أبدًا عملية مالية في اللحظة نفسها.

عند الشك، الطريقة الصحيحة الوحيدة هي تجاهل الرسالة والعودة عبر قناة تتحكم فيها: تطبيق CAF المثبَّت من المتجر الرسمي لهاتفك، أو عنوان caf.fr المكتوب يدويًا، أو الرقم 3230 — الرقم الوطني للخدمة العامة، غير المكلِّف.

من يقع في الفخ فعلًا

نتخيل عادةً ضحايا مسنّين قليلي الإلمام بالرقميات. لكن بيانات المنصات العامة تروي شيئًا آخر. فالمستهدَفون برسائل الهيئات الاجتماعية المزيفة هم غالبًا أشخاص نشطون، آباء شباب، في وضع عمل هشّ أو حضانة مشتركة، أي تحديدًا من تتغيّر ملفاتهم كثيرًا ومن لا تترك ميزانيتهم الشهرية أي هامش.

وتتكرر ثلاثة عوامل مفاقمة في الشهادات:

1. تعدّد المهام. تُقرأ الرسالة في الحافلة، بين طفلين، عند صندوق المحاسبة في متجر. الانتباه المتاح لا يتعدى بضع ثوانٍ.
2. الخجل المسبق. كثيرون يخشون أنهم «أخطأوا في التصريح». هذا الشعور الغامض بالذنب يدفع إلى التسوية سريعًا وبتكتّم، دون الحديث عن الأمر.
3. اعتياد الشبّاك الرقمي. حين تمرّ العلاقة كلها عبر شاشة، فإن شاشة إضافية لا تثير أي إنذار.

هناك ردّ فعل مضاد بسيط جدًا وفعّال جدًا: منع نفسك من اتخاذ أي قرار مالي خلال الدقائق الخمس التي تلي رسالة غير متوقعة. خمس دقائق تكفي ليهدأ الخوف ويظهر التناقض.

حماية هاتفك دون أن تصبح خبيرًا

لا أداة تغني عن اليقظة، لكن بعض الإعدادات تقلّص بوضوح مساحة التعرّض.

تفعيل تصفية المرسِلين المجهولين. على iPhone: الإعدادات ← التطبيقات ← الرسائل ← «تصفية المرسلين غير المعروفين». على Android، يوفّر تطبيق Messages من Google حماية من الرسائل المزعجة يمكن تفعيلها في الإعدادات. عندها تُعزل الرسائل المشبوهة في تبويب منفصل، ما يكسر عنصر المفاجأة.

لا تفتح أبدًا رابطًا من الإشعار. اعتد إغلاق الرسالة، وفتح التطبيق الرسمي، والبحث عن المعلومة فيه. إذا كانت الرسالة حقيقية، فالمعلومة موجودة هناك.

تأمين المصادقة على المدفوعات. تتيح معظم المصارف وضع سقف للمدفوعات عبر الإنترنت واشتراط مصادقة بيومترية داخل التطبيق. إنه الحاجز الأخير حين ينهار كل ما عداه.

حفظ نسخة مما يهم. مفتاح USB للهاتف الذكي أو قرص صلب خارجي صغير يتيح الاحتفاظ دون اتصال بوثائق ملف المستفيد (الشهادات، المستندات المثبتة، البيانات المصرفية) دون الاعتماد على حساب قد يتعرض للاختراق.

تهيئة الأمور للأقارب الأقل إلمامًا. بالنسبة إلى أحد الوالدين المسنّين أو شخص غير معتاد على الرقميات، فإن هاتفًا محمولًا بأزرار كبيرة، بلا متصفّح إنترنت، يلغي ببساطة خطر النقر على رابط ملغوم. كثير من العائلات تختار ذلك وتجد فيه راحة كبيرة.

ولمن يريد أن يفهم بدل أن يتحمّل، فإن دليلًا عمليًا للأمن السيبراني موجهًا لعامة الناس بالفرنسية — وهناك عدة كتب من هذا النوع، بينها ما كتبه محققون سابقون — أشدّ أثرًا من تطبيق حماية إضافي يُثبَّت ثم يُنسى.

إذا نقرت على الرابط: الخطوات الواجبة، بالترتيب

أكثر ردود الفعل كلفةً هو الانتظار. إليك التسلسل الذي يجب اتباعه.

1. اقطع الاتصال. أغلق الصفحة، لا تدخل أي بيانات أخرى، ولا تردّ على أي مكالمة محتملة من «مصلحة مكافحة الاحتيال».
2. اتصل بمصرفك فورًا، عبر الرقم المدوّن على ظهر بطاقتك. اطلب إيقاف البطاقة ومراقبة الحساب. وإذا كان تحويل قد غادر حسابك، اطلب صراحةً إجراء استرجاع الأموال.
3. أبلغ عن الرسالة على الرقم 33700، وهو النظام الوطني للإبلاغ عن الرسائل والمكالمات المزعجة: أعِد توجيه الرسالة إلى 33700، ثم أرسل رقم المرسِل عندما يُطلب منك ذلك. الخدمة مجانية وتساهم في حجب الحملات الجارية.
4. قدّم شكوى. في حالة الاحتيال المصرفي، تتيح منصة Perceval (عبر service-public.fr) الإبلاغ عن الاستعمال الاحتيالي لبطاقتك. أما بالنسبة إلى نصب إلكتروني أوسع، فيتيح نظام THESEE تقديم شكوى عبر الإنترنت.
5. أبلغ CAF عبر فضائك الشخصي أو على الرقم 3230، للتأكد من عدم تسجيل أي تغيير في البيانات المصرفية على ملفك.
6. أبلغ عن الموقع الاحتيالي على Phishing Initiative وCybermalveillance.gouv.fr، الذي يرافق الضحايا مجانًا ويوجّههم نحو الإجراءات المناسبة.
7. غيّر كلمات مرورك إذا أدخلت معرّفًا تستخدمه في مواقع أخرى. مدير كلمات المرور، حتى المجاني منه، يجنّبك فخ كلمة المرور الواحدة المستخدمة في عشرة مواقع.

للتذكير: في القانون الفرنسي، تُلزم المادة L133-18 من قانون النقد والمال المصرف بردّ قيمة أي عملية دفع غير مصرّح بها، إلا في حالة الإهمال الجسيم من العميل. وقد قضت محكمة النقض الفرنسية مرارًا بأن الإدلاء ببيانات إثر رسالة احتيالية متقنة لا يثبت تلقائيًا وجود هذا الإهمال الجسيم. فلا تتخلَّ عن طلب التعويض بحجة أن «الخطأ خطؤك».

الحديث عن المال هو بحد ذاته حماية

ما يمنح احتيال CAF قوته ليس أسلوبه التقني — فهو بدائي. بل الصمت الذي يفرضه. لا أحد يروي بسهولة أنه خاف من فقدان مساعدة السكن، أو أنه صدّق أنه مدين بـ428 يورو لهيئة اجتماعية.

أفضل مضاد للفيروسات هنا هو جملة تُقال بصوت عالٍ: «وصلتني رسالة غريبة من CAF، هل وصلتك واحدة مثلها؟» داخل البيت، أو العائلة، أو جمعية الحي، غالبًا ما يكون هذا السؤال هو ما يوقف الاحتيال في الحال.

وإذا أردت تحذير عدد من أقاربك سريعًا بأن حملة احتيال تنتشر، فرسالة بسيطة تكفي — وهذه على الأقل لن تتضمن رابطًا ملغومًا.