حذر البنك المركزي المصري وتطبيق إنستاباي من أسلوب احتيالي يستهدف عملاء البنوك عبر انتحال صفة موظفي خدمة العملاء وإرسال روابط مزيفة، بهدف الحصول على بياناتهم المصرفية أو دفعهم إلى تنفيذ معاملات مالية دون إدراك حقيقتها.
وتأتي التحذيرات في ظل تزايد محاولات الاحتيال الإلكتروني التي تعتمد على الهندسة الاجتماعية، إذ يبدأ المحتال بالتواصل مع الضحية هاتفياً، ثم يستخدم معلومات أو ادعاءات تبدو مرتبطة بحسابها البنكي لإقناعها بوجود مشكلة عاجلة تتطلب التدخل الفوري.
وكان الإعلامي محمد علي خير قد كشف علناً عن تعرضه لمحاولة نصب بالأسلوب نفسه، موضحاً تفاصيل الاتصال الذي تلقاه، ما ساهم في إعادة التحذير من هذه الطريقة التي تستهدف مستخدمي الخدمات المصرفية الرقمية.
كيف تبدأ حيلة «الموظف الوهمي»؟
تعتمد الطريقة الجديدة على سلسلة من الخطوات المتتابعة، ويحرص المحتال خلالها على خلق شعور بالخوف والاستعجال لدى الضحية حتى لا تتاح لها فرصة التحقق من حقيقة الاتصال.
1. اتصال من موظف وهمي
يتلقى المستخدم مكالمة هاتفية من شخص يدعي أنه موظف في خدمة عملاء إنستاباي أو موظف لدى البنك الذي يتعامل معه.
ويحاول المتصل استخدام أسلوب رسمي وإعطاء معلومات عامة عن الحساب لإقناع الضحية بأن الاتصال حقيقي، قبل الانتقال إلى الحديث عن وجود مشكلة تحتاج إلى تدخل سريع.
2. ادعاء تجميد الحساب
يخبر المحتال المستخدم بأن حسابه على إنستاباي أو حسابه البنكي معرض للتجميد أو الإيقاف، وقد يدعي أن السبب يعود إلى عطل فني أو عدم تحديث البيانات.
ويهدف هذا الأسلوب إلى دفع الضحية للتصرف بسرعة خوفاً من فقدان القدرة على استخدام حسابها أو إجراء التحويلات المالية.
3. إرسال رابط مزيف
بعد إقناع المستخدم بوجود مشكلة، قد يطلب منه المحتال الضغط على رابط يتم إرساله عبر واتساب أو رسالة نصية، مدعياً أن الرابط مخصص لتحديث البيانات أو إعادة تفعيل الحساب.
وقد تبدو الصفحة التي يفتحها الرابط مشابهة لصفحات الخدمات المصرفية الحقيقية، في محاولة للحصول على بيانات الدخول أو المعلومات السرية الخاصة بالمستخدم.
4. طلب بيانات سرية
قد يحاول المحتال بعد ذلك الحصول على رموز أو بيانات لا ينبغي مشاركتها مع أي شخص، مثل رمز التحقق لمرة واحدة OTP أو الرقم السري الخاص بتطبيق إنستاباي IPN PIN.
وهنا تكمن خطورة المكالمة، لأن مشاركة هذه البيانات يمكن أن تمكن المحتال من استكمال عملية احتيالية أو الوصول إلى معلومات مالية حساسة.
أخطر جزء في الحيلة.. طلب دفع يبدو كأنه خدمة
لا تقتصر محاولات الاحتيال على سرقة البيانات مباشرة، إذ قد يحاول المحتال في بعض الحالات استغلال خاصية Request to Pay أو «طلب الدفع».
وفي هذا السيناريو، يمكن إرسال طلب دفع إلى الضحية وإقناعها بأنه إجراء ضروري لتحديث الحساب أو حل المشكلة المزعومة.
وبمجرد موافقة المستخدم على طلب الدفع دون مراجعة تفاصيل العملية، قد يتم تنفيذ تحويل مالي لصالح الطرف الذي أرسل الطلب.
ولهذا فإن ظهور طلب دفع داخل التطبيق لا يعني تلقائياً أنه إجراء صادر عن البنك أو إنستاباي، وإنما يجب على المستخدم مراجعة اسم المستفيد وقيمة العملية والغرض منها قبل الموافقة عليها.
كيف تحمي أموالك من الاحتيال؟
وضعت البنوك المصرية مجموعة من الإرشادات التي تساعد العملاء على تجنب الوقوع في محاولات الاحتيال الإلكتروني، ويمكن تلخيص أهمها في عدة قواعد أساسية.
لا تستجب لمكالمات تحديث البيانات
لا ينبغي للمستخدم تنفيذ تعليمات لتحديث بياناته المصرفية عبر مكالمة هاتفية من شخص مجهول يدعي أنه موظف في البنك أو إنستاباي.
وعند الشك في هوية المتصل، يمكن إنهاء المكالمة والتواصل مع البنك من خلال قنوات الاتصال الرسمية للتحقق من وجود أي مشكلة في الحساب.
لا تشارك OTP أو IPN PIN
يجب الحفاظ على سرية OTP، وهو رمز التحقق لمرة واحدة، وكذلك IPN PIN الخاص بخدمة إنستاباي.
ولا ينبغي إعطاء هذه البيانات لأي شخص عبر الهاتف أو الرسائل، حتى إذا قدم نفسه باعتباره موظفاً في البنك أو خدمة العملاء.
كما أن معرفة اسم العميل أو رقم هاتفه أو بعض البيانات المتعلقة بحسابه لا تثبت أن الشخص المتصل موظف حقيقي.
لا تضغط على الروابط المجهولة
يجب تجنب الضغط على الروابط التي تصل عبر رسائل نصية أو تطبيقات المحادثة إذا كانت تدعي أنها مخصصة لتحديث الحساب أو إعادة تفعيل إنستاباي.
وفي حالة الحاجة إلى استخدام الخدمة، الأفضل الدخول إلى التطبيق الرسمي مباشرة بدلاً من استخدام رابط أرسله شخص آخر.
لا تنفذ طلب دفع غير معروف
إذا ظهر للمستخدم طلب دفع لم يكن يتوقعه، فلا ينبغي الموافقة عليه قبل التأكد من هوية المستفيد وسبب طلب المبلغ.
ويجب التعامل مع طلبات الدفع باعتبارها معاملات مالية حقيقية، وليس مجرد إجراء لتحديث البيانات أو اختبار الحساب.
تجاهل تهديدات إيقاف الحساب
استخدام عبارات مثل «حسابك سيتوقف فوراً» أو «يجب تنفيذ الإجراء خلال دقائق» من أساليب الضغط التي قد يستخدمها المحتال لدفع الضحية إلى اتخاذ قرار سريع.
وفي حالة تلقي مثل هذه المكالمة، يمكن إنهاؤها والتواصل مباشرة مع البنك عبر قنواته الرسمية للتحقق من حالة الحساب.
ماذا تفعل إذا ضغطت على الرابط أو شاركت بياناتك؟
إذا ضغط المستخدم على رابط مشبوه أو شارك بيانات مصرفية حساسة، فمن المهم التحرك سريعاً وعدم انتظار ظهور عملية مالية غير مصرح بها.
وتشمل الخطوات التي يمكن اتخاذها:
- التواصل فوراً مع البنك من خلال قنواته الرسمية.
- إبلاغ البنك بتفاصيل الواقعة والبيانات التي تمت مشاركتها.
- طلب اتخاذ الإجراءات اللازمة لتأمين الحساب إذا كان ذلك مطلوباً.
- الاحتفاظ بالرسائل والمكالمات ولقطات الشاشة وأي بيانات مرتبطة بمحاولة الاحتيال.
- عدم التواصل مرة أخرى مع الشخص الذي أرسل الرابط أو طلب البيانات.
- متابعة الحساب والمعاملات المصرفية لاكتشاف أي عملية غير مصرح بها.
وفي حالة تنفيذ معاملة مالية بالفعل، ينبغي إبلاغ البنك في أسرع وقت ممكن وتقديم تفاصيل العملية والرقم المرجعي لها، حتى يمكن التعامل معها وفق الإجراءات المصرفية المعمول بها.
كيف تميز موظف البنك الحقيقي من المحتال؟
لا ينبغي الاعتماد على رقم الهاتف أو اسم المتصل وحدهما للتأكد من هويته، لأن المحتال قد يستخدم أساليب تجعل الاتصال يبدو رسمياً.
والقاعدة الأهم هي أن البيانات السرية تظل سرية، ولا ينبغي تقديم كلمات المرور أو رموز التحقق أو الرقم السري الخاص بالخدمة لأي متصل.
وإذا أخبرك شخص بوجود مشكلة في حسابك وطلب منك الضغط على رابط أو تنفيذ تحويل أو مشاركة رمز سري، فمن الأفضل إنهاء الاتصال والتواصل بنفسك مع البنك من خلال وسيلة اتصال رسمية.
رسالة مهمة لمستخدمي إنستاباي
مع انتشار الخدمات المصرفية الرقمية وزيادة الاعتماد على التحويلات اللحظية، أصبحت حماية البيانات مسؤولية مشتركة بين المؤسسات المالية والمستخدمين.
ولا يحتاج العميل إلى مشاركة بياناته السرية مع أي شخص لحل مشكلة مزعومة في الحساب. كما أن الخوف من إيقاف الحساب أو تعطيل الخدمة لا ينبغي أن يدفع المستخدم إلى اتخاذ قرارات مالية سريعة.
وتظل أفضل وسيلة للتعامل مع أي اتصال مشبوه هي إنهاء المكالمة والتحقق من البنك مباشرة عبر قنواته الرسمية، وعدم الضغط على روابط مجهولة أو الموافقة على طلبات دفع غير متوقعة.
