بعد تحذير البنك المركزي المصري.. كيف يتم سرقة أموال العملاء من خلال InstaPay؟
مع الانتشار المتزايد لخدمات الدفع والتحويلات الرقمية، أصبحت تطبيقات الدفع الفوري مثل «إنستا باي» جزءًا أساسيًا من تعاملات ملايين المستخدمين، إلا أن سهولة وسرعة التحويلات جعلت الخدمة أيضًا هدفًا لمحاولات الاحتيال الإلكتروني، التي تعتمد في كثير من الأحيان على خداع العميل بدلًا من اختراق التطبيق نفسه.
وفي أحدث تحذيراته، نبّه البنك المركزي المصري إلى محاولات احتيال تستغل شهرة تطبيق «إنستا باي»، من خلال مكالمات هاتفية ينتحل خلالها المحتالون صفة موظفين بالتطبيق، بهدف استدراج العملاء والحصول على بياناتهم، إلى جانب إمكانية إرسال روابط إلكترونية مزيفة تدفع المستخدم إلى الضغط عليها وإدخال بياناته.
ويؤكد البنك المركزي أن بيانات العملاء البنكية والشخصية يجب أن تظل سرية، محذرًا من مشاركة بيانات البطاقات والأرقام السرية ورموز التحقق مع أي شخص يتواصل مع العميل هاتفيًا أو عبر الرسائل.
هل يستطيع المحتال سرقة الأموال بمجرد معرفة رقم الهاتف؟
الإجابة ببساطة: لا.
وهنا تكمن النقطة الأهم في فهم أساليب الاحتيال المرتبطة بـ«إنستا باي». فمجرد معرفة رقم الهاتف أو اسم العميل لا يمنح المحتال القدرة على الدخول إلى حسابه البنكي وتحويل أمواله.
وتوضح «إنستا باي» أن المعاملات المالية يتم تأمينها من خلال البنك، وأن التطبيق نفسه لا يمتلك إمكانية الوصول إلى البيانات البنكية السرية أو أرصدة العملاء. كما أن تنفيذ المعاملات يتطلب استخدام الرقم السري الخاص بشبكة المدفوعات اللحظية IPN PIN، وهو رقم مكون من 6 أرقام ويستخدم للتصديق على المعاملات.
وبالتالي، فإن السيناريو الأكثر خطورة يبدأ عندما ينجح المحتال في إقناع العميل بنفسه بتسليمه مفاتيح الدخول أو التصديق على العملية.
السيناريو الأول.. مكالمة هاتفية من «خدمة عملاء إنستا باي»
قد يتلقى العميل مكالمة من شخص يقدم نفسه باعتباره موظفًا في «إنستا باي» أو أحد البنوك، ويخبره مثلًا بوجود مشكلة في حسابه، أو محاولة تحويل غير معتادة، أو ضرورة تحديث بياناته.
ويبدأ المحتال في طلب معلومات تبدو في ظاهرها ضرورية لحل المشكلة، مثل بيانات البطاقة أو الرقم السري أو رمز التحقق الذي يصل إلى هاتف العميل.
المشكلة هنا أن المحتال لا يحتاج بالضرورة إلى اختراق أنظمة البنك؛ فهو يحاول إقناع العميل بالكشف عن البيانات التي تحمي حسابه.
والبنك المركزي المصري سبق أن أكد بوضوح أن الجهات المصرفية لا تطلب من العملاء مشاركة بياناتهم السرية عبر المكالمات أو الرسائل، وحذّر من المكالمات التي ينتحل أصحابها صفات موظفي البنوك أو البنك المركزي بهدف الاستيلاء على البيانات البنكية.
السيناريو الثاني.. الرابط المزيف
الطريقة الثانية تعتمد على إرسال رابط للعميل عبر رسالة نصية أو تطبيقات التواصل الاجتماعي أو البريد الإلكتروني.
وقد يبدو الرابط وكأنه تابع لـ«إنستا باي» أو أحد البنوك، ويطلب من المستخدم تسجيل الدخول أو تحديث بياناته أو تأكيد هويته.
لكن الرابط قد يقود إلى صفحة مزيفة صممت لتبدو مشابهة للموقع أو الخدمة الحقيقية، بهدف جمع البيانات التي يدخلها العميل.
ولهذا شدد البنك المركزي على عدم الضغط على الروابط الإلكترونية المشبوهة أو الواردة من مصادر غير موثوقة، باعتبارها إحدى الوسائل المستخدمة في عمليات الاحتيال والاستيلاء على البيانات.
ما البيانات التي يبحث عنها المحتال؟
بحسب شروط وأحكام «إنستا باي»، هناك فرق بين البيانات العادية والبيانات السرية.
فالبيانات السرية تشمل البيانات المستخدمة في المصادقة على المعاملات أو ربط الحساب بالتطبيق، ومن بينها رقم البطاقة، الرقم السري للبطاقة، رمز التحقق لمرة واحدة OTP، والرقم السري IPN PIN، بالإضافة إلى بيانات الحساب والرصيد وكشف الحساب المختصر.
ولهذا فإن أخطر لحظة في عملية الاحتيال هي عندما ينجح المحتال في الحصول على واحدة أو أكثر من هذه البيانات، خصوصًا إذا استطاع إقناع العميل بإرسال رمز OTP أو الرقم السري الخاص بـIPN.
لماذا يعتبر OTP وIPN PIN خطيرين؟
لأنهما ليسا مجرد بيانات تعريفية للعميل، بل يرتبطان بعملية المصادقة والتصديق على العمليات.
وتوضح «إنستا باي» أن الرقم السري IPN PIN مكون من 6 أرقام، ويستخدم للتصديق على المعاملات، وتؤكد أنه معلومة سرية لا يجب مشاركتها مع الآخرين. كما تشير إلى أن البنك هو المسؤول عن تأمين البيانات الحساسة، وأن «إنستا باي» لا يستطيع تنفيذ معاملة مصرفية نيابة عن العميل دون التصديق عليها.
ومن هنا يمكن فهم أسلوب المحتال: لا يحاول بالضرورة كسر نظام الحماية، بل يحاول جعل العميل يتجاوز الحماية بنفسه.
وهل «إنستا باي» نفسه يستطيع الوصول إلى رصيد العميل؟
بحسب الأسئلة الشائعة الرسمية للتطبيق، لا يمتلك «إنستا باي» إمكانية الوصول إلى البيانات البنكية الحساسة أو رصيد العميل أو بيانات الحساب، بينما تتم حماية هذه البيانات من جانب البنك.
وتوضح المنصة أن رقم الحساب الفعلي يظل مسجلًا لدى البنك، بينما يستخدم التطبيق وسيلة تعريف مرجعية للحساب، كما أن البيانات الحساسة يتم تأمينها بين العميل والبنك.
وهذا يعني أن تحذير البنك المركزي لا يتعلق بوجود ثغرة معلنة في التطبيق، وإنما بخطر الهندسة الاجتماعية والتصيد الاحتيالي الذي يستهدف المستخدم.
كيف يمكن أن تصل عملية الاحتيال إلى تحويل الأموال؟
يمكن تصور العملية في عدة مراحل متتالية. يبدأ المحتال أولًا بجمع معلومات عن الضحية، مثل رقم الهاتف أو اسم البنك أو استخدام العميل لـ«إنستا باي». ثم يتواصل معه مدعيًا وجود مشكلة أو إجراء أمني مطلوب.
بعد ذلك يحاول الحصول على البيانات الحساسة، أو يدفع العميل إلى الدخول على رابط مزيف، أو يقنعه بمشاركة رمز يصل إلى هاتفه.
إذا تمكن المحتال من الحصول على بيانات المصادقة اللازمة، فقد يستطيع استخدامها في تنفيذ عمليات غير مصرح بها، بحسب البيانات التي نجح في الاستيلاء عليها وآلية المصادقة المطلوبة من البنك.
وتوضح شروط «إنستا باي» أن المعاملات المالية يتم تنفيذها من خلال البنوك أعضاء شبكة المدفوعات اللحظية، وأن التطبيق لا يستطيع الوصول إلى البيانات السرية أو تنفيذ المعاملات دون أدوات التصديق المعتمدة.
الاحتيال لا يتوقف عند التحويلات
خطورة الاستيلاء على البيانات البنكية لا تقتصر على تحويل الأموال عبر «إنستا باي» فقط. فالبيانات البنكية المسروقة قد تُستخدم في محاولات احتيال أخرى، أو للوصول إلى خدمات مالية، أو تنفيذ معاملات غير مصرح بها، ولذلك يتعامل البنك المركزي مع أرقام البطاقات والرقم السري ورموز التحقق والبيانات الشخصية باعتبارها معلومات يجب الحفاظ على سريتها.
كما أن شبكة المدفوعات اللحظية نفسها تربط عددًا كبيرًا من البنوك المصرية وتتيح التحويلات الفورية بين الحسابات البنكية، وهو ما يفسر أهمية حماية أدوات التصديق المرتبطة بها.
ماذا تفعل إذا شككت في تعرض حسابك للاحتيال؟
القاعدة الأولى هي عدم الانتظار.
إذا أدرك العميل أنه كشف بياناته السرية أو لاحظ معاملة لا يعرفها، فعليه التواصل فورًا مع البنك الذي يوجد لديه الحساب، وطلب اتخاذ الإجراءات اللازمة لحماية الحساب وخدمات الدفع.
ويؤكد البنك المركزي أنه في حالة محاولات الاحتيال أو سرقة الحسابات أو فقدان البطاقات، يجب التوجه فورًا إلى أقرب فرع للبنك أو الاتصال بمركز خدمة العملاء الخاص به، بما يسمح للبنك باتخاذ الإجراءات اللازمة بمجرد الإخطار.
ويمكن للعميل أيضًا طلب تعليق خدمات شبكة المدفوعات اللحظية من خلال البنك، وفقًا لقواعد الخدمة، على أن يتم تعليق الخدمة بعد تنفيذ البنك للطلب.
وماذا لو تم خصم الأموال بالفعل؟
في هذه الحالة، يجب التواصل مع البنك فورًا وتقديم شكوى رسمية تتضمن تفاصيل العملية. ووفقًا للبنك المركزي المصري، يجب أن يحصل العميل عند تقديم شكوى للبنك على رقم مرجعي خلال مدة لا تتجاوز يومي عمل، ويلتزم البنك بالرد على الشكوى خلال 15 يوم عمل، مع وجود آلية لتصعيد الشكوى إلى البنك المركزي في الحالات التي يحددها الإطار المعمول به.
7 قواعد تحمي أموالك على «إنستا باي»
ولمنع الوقوع في هذا النوع من الاحتيال، يجب التعامل مع البيانات المصرفية باعتبارها مفتاح الحساب وليس مجرد معلومات شخصية.
لا تشارك IPN PIN مع أي شخص.
لا تشارك OTP حتى لو أخبرك المتصل أنه موظف بنك أو «إنستا باي».
لا ترسل رقم البطاقة أو الرقم السري للبطاقة عبر الهاتف أو الرسائل.
لا تضغط على روابط تطلب تحديث بياناتك البنكية إلا بعد التأكد من مصدرها.
إذا تلقيت مكالمة مشبوهة، أغلق الهاتف واتصل أنت بالبنك من رقم خدمة العملاء الرسمي.
راجع معاملات حسابك بصورة مستمرة.
إذا كشفت بياناتك لشخص بالخطأ، لا تنتظر ظهور عملية سرقة؛ تواصل فورًا مع البنك.
التعليقات
لا يوجد تعليقات بعد كن اول من يعلق.
عبَّر عن رأيك
إحرص أن يكون تعليقك موضوعيّاً ومفيداً، حافظ على سُمعتكَ الرقميَّة واحترم الكاتب والأعضاء والقُرّاء.