يفرض إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي (ساما) على المؤسسات المالية تطبيق قواعد رصد احتيال مدى ساما تغطي أنماطاً محددة من الاحتيال في معاملات الدفع المحلية. لكن معظم البنوك والشركات المالية التقنية تكتشف أن القواعد التقليدية القائمة على العتبات الثابتة لا تلتقط هذه الأنماط حتى تظهر في تقرير الخسائر الشهري.
المشكلة ليست في غياب نظام المراقبة، بل في أن القواعد المعيارية المُعدّة مسبقاً لا تعكس السلوك الفعلي للمحتالين في بيئة مدى المحلية. فالمحتال لا يقرأ دليل الإعدادات الافتراضية لنظام مراقبة الاحتيال، ولا يلتزم بحدود المبالغ أو الأعداد التي تفترضها القواعد الجاهزة.
في هذا المقال، نحدد خمسة أنماط احتيال رئيسية في معاملات مدى يتطلب إطار ساما مراقبتها، ونوضح القواعد والإشارات والعتبات السلوكية التي ترصد كل نمط فعلياً — قبل أن يتحول إلى خسارة مثبتة.
النمط الأول: معاملات البطاقة غير الحاضرة عبر مدى
معاملات البطاقة غير الحاضرة (Card-Not-Present) في بيئة مدى تحدث عندما يستخدم المحتال بيانات بطاقة مسروقة أو مسربة لإجراء عمليات شراء عبر الإنترنت أو التطبيقات. يتطلب إطار ساما لمكافحة الاحتيال من المؤسسات المالية مراقبة هذا النمط بشكل خاص لأن غياب البطاقة الفعلية يزيد من صعوبة التحقق من هوية حاملها.
القواعد التقليدية تعتمد على عتبات مثل "أكثر من خمس معاملات غير حاضرة في ساعة واحدة" أو "مبلغ إجمالي يتجاوز 5,000 ريال يومياً". لكن المحتالين المحترفين يعرفون هذه الحدود ويبقون تحتها.
القواعد التي ترصد هذا النمط فعلياً تجمع بين:
- تغيير مفاجئ في نسبة المعاملات غير الحاضرة: بطاقة كانت تُستخدم 100% في نقاط البيع الفعلية، ثم فجأة 80% من معاملاتها أصبحت عبر الإنترنت.
- تعدد التجار في فترة قصيرة: ثلاث معاملات غير حاضرة لدى ثلاثة تجار مختلفين خلال عشر دقائق — سلوك لا يتوافق مع نمط التسوق الطبيعي.
- عدم تطابق الموقع الجغرافي: آخر معاملة حاضرة كانت في الرياض قبل ساعة، والآن معاملة غير حاضرة من عنوان IP في دولة أخرى.
- فشل محاولات التحقق: محاولات متعددة لإدخال رمز CVV أو كلمة المرور لمرة واحدة (OTP) قبل نجاح المعاملة.
هذه الإشارات مجتمعة ترفع درجة الخطر بشكل يستدعي التدخل — حتى لو كانت كل معاملة منفردة تحت العتبات المعيارية.
النمط الثاني: الاستيلاء على الحساب عبر القنوات الرقمية
الاستيلاء على الحساب (Account Takeover) يحدث عندما يحصل المحتال على بيانات اعتماد العميل — اسم المستخدم وكلمة المرور ورمز التحقق — ويسيطر على الحساب المصرفي أو المحفظة الرقمية. يتطلب إطار ساما من المؤسسات مراقبة هذا النمط لأنه يسبق عادةً تحويلات مالية كبيرة أو تغييرات في بيانات الاتصال تمنع العميل الحقيقي من استعادة السيطرة.
القواعد التقليدية تركز على "عدد محاولات تسجيل الدخول الفاشلة" أو "تسجيل دخول من جهاز جديد". لكن المحتالين المتقدمين يستخدمون بيانات اعتماد صحيحة مسروقة عبر التصيد الاحتيالي، فلا توجد محاولات فاشلة.
الإشارات التي ترصد الاستيلاء الفعلي تشمل:
- تسلسل الأنشطة غير الطبيعي: تسجيل دخول، ثم فوراً تغيير رقم الجوال المسجل، ثم إضافة مستفيد جديد، ثم تحويل كبير — كل ذلك في أقل من خمس دقائق. العميل الحقيقي لا يتصرف بهذه السرعة.
- تغيير في بصمة الجهاز: تسجيل الدخول من جهاز بنظام تشغيل أو متصفح أو دقة شاشة مختلفة عن الأجهزة المعتادة للعميل.
- نشاط خارج الساعات المعتادة: عميل لم يسجل دخولاً أبداً بعد منتصف الليل، والآن نشاط مكثف في الساعة الثالثة فجراً.
- موقع جغرافي غير متسق: تسجيل دخول من مدينة تبعد 800 كيلومتر عن آخر موقع للعميل، خلال ساعة واحدة — مستحيل فيزيائياً.
- محاولات فورية لرفع حدود التحويل: طلب زيادة الحد اليومي للتحويلات مباشرة بعد تسجيل الدخول.
هذه الإشارات السلوكية أقوى من أي عتبة رقمية ثابتة، لأنها تقارن النشاط الحالي بالنمط التاريخي للعميل نفسه.
النمط الثالث: حسابات البغال والتحويلات المتسلسلة
حسابات البغال (Mule Accounts) هي حسابات يفتحها أو يستخدمها المحتالون لتمرير الأموال المسروقة عبر سلسلة من التحويلات السريعة قبل سحبها نقداً أو تحويلها خارج النظام المصرفي. يتطلب إطار ساما من المؤسسات تحديد هذه الحسابات لأنها تُستخدم في غسل عائدات الاحتيال وتعقيد تتبع الأموال.
القواعد التقليدية تبحث عن "حساب جديد يستقبل تحويلات كبيرة فوراً". لكن المحتالين الآن يستخدمون حسابات قديمة خاملة أو يقسّمون المبالغ إلى تحويلات صغيرة.
الإشارات الفعالة لرصد حسابات البغال:
- نمط الاستقبال ثم الإرسال الفوري: الحساب يستقبل تحويلاً، وخلال دقائق يُرسل المبلغ كاملاً أو معظمه إلى حساب آخر — دون أي نشاط شراء أو سحب نقدي طبيعي.
- تحويلات متسلسلة بين حسابات غير مرتبطة: المبلغ ينتقل من حساب A إلى B إلى C إلى D خلال ساعة واحدة، وكل حساب في بنك مختلف أو لعميل لا توجد علاقة واضحة بينه وبين الآخرين.
- تغيير مفاجئ في سلوك حساب خامل: حساب لم يستقبل أي تحويل وارد لمدة ستة أشهر، ثم فجأة يستقبل عشرة تحويلات في يوم واحد من مصادر متعددة.
- عدم تناسب المبالغ مع ملف العميل: حساب لطالب جامعي يستقبل تحويلات يومية بمبالغ تتجاوز 20,000 ريال دون مصدر دخل واضح.
- سحب نقدي فوري بعد التحويل: استقبال تحويل ثم سحب المبلغ كاملاً نقداً من صراف آلي خلال نصف ساعة.
رصد هذا النمط يتطلب تحليل الرسم البياني للمعاملات (Transaction Graph) وليس فقط النظر إلى كل حساب بمعزل عن الآخر.
النمط الرابع: الاحتيال بالدفع المأذون عبر الهندسة الاجتماعية
الاحتيال بالدفع المأذون (Authorized Push Payment Fraud) يحدث عندما يخدع المحتال العميل ليقوم بنفسه بتحويل الأموال طوعاً — عادةً عبر الهندسة الاجتماعية مثل انتحال صفة موظف البنك أو ادعاء حالة طوارئ عائلية. المعاملة تبدو شرعية تماماً لأن العميل نفسه أذن بها، لكنه فعل ذلك تحت تأثير الخداع.
هذا النمط هو الأصعب في الرصد لأن جميع عوامل التحقق التقليدية (الجهاز الصحيح، كلمة المرور الصحيحة، رمز OTP صحيح) موجودة. لكن إطار ساما يتطلب من المؤسسات بذل جهود معقولة لحماية العملاء حتى من قراراتهم الخاطئة الناتجة عن الخداع.
الإشارات التي ترصد هذا النمط:
- تحويل كبير إلى مستفيد جديد دون تاريخ سابق: العميل يضيف مستفيداً جديداً ويحول إليه مبلغاً كبيراً في نفس الجلسة — سلوك نادر في المعاملات الشرعية.
- تحويل يستنزف الرصيد بالكامل: تحويل مبلغ يساوي 95% أو أكثر من رصيد الحساب — خاصة إذا كان الحساب يحتوي على مدخرات طويلة الأجل.
- نشاط غير عادي قبل التحويل مباشرة: محاولات متعددة لتسجيل الدخول، أو استفسارات عن الرصيد، أو اتصالات بخدمة العملاء للسؤال عن كيفية إضافة مستفيد — كلها في نفس الساعة قبل التحويل.
- تحويل خارج النمط الزمني المعتاد: عميل لم يجرِ أي تحويل أبداً في عطلة نهاية الأسبوع، والآن يحول مبلغاً كبيراً يوم جمعة في المساء.
- تكرار من المستفيد نفسه: الحساب المستفيد استقبل تحويلات من عشرة عملاء مختلفين خلال أسبوع، وكلهم أضافوه كمستفيد جديد — إشارة على أنه حساب بغل يُستخدم في حملة احتيال منظمة.
بعض المؤسسات تضيف تأخيراً قصيراً (Cooling-off Period) قبل تنفيذ التحويلات الكبيرة إلى مستفيدين جدد، مع إشعار العميل عبر قناة منفصلة (مكالمة هاتفية أو رسالة نصية) لتأكيد النية.
النمط الخامس: الاختبار ثم الاستنزاف
المحتالون المحترفون لا يبدأون مباشرة بمعاملات كبيرة. بدلاً من ذلك، يستخدمون نمط الاختبار ثم الاستنزاف: يجرون أولاً معاملة صغيرة جداً (5 ريالات أو 10 ريالات) للتحقق من أن البطاقة أو الحساب نشط ولا يُراقَب، ثم بعد دقائق أو ساعات يجرون معاملات كبيرة متعددة.
القواعد التقليدية لا ترصد المعاملة الصغيرة لأنها تحت جميع العتبات. والمعاملات الكبيرة اللاحقة قد تبدو منفصلة إذا لم يُنظر إليها في سياق التسلسل الزمني.
الإشارات الفعالة:
- معاملة صغيرة جداً تليها معاملات كبيرة: معاملة بـ 5 ريالات، ثم بعد 15 دقيقة ثلاث معاملات بـ 2,000 ريال لكل منها.
- اختبار في فئة تجارية غير معتادة: بطاقة تُستخدم عادةً في محطات الوقود والبقالة، ثم فجأة معاملة صغيرة في متجر إلكترونيات، تليها معاملات كبيرة في نفس الفئة.
- تسلسل سريع من المعاملات بعد فترة خمول: حساب لم ينشط لأسبوعين، ثم فجأة خمس معاملات خلال ساعة واحدة، تبدأ بمبلغ صغير وتتصاعد.
رصد هذا النمط يتطلب قواعد تحلل التسلسل الزمني وليس فقط المعاملات الفردية.
لماذا تفوت القواعد المعيارية هذه الأنماط
معظم أنظمة مراقبة الاحتيال تأتي بقواعد معيارية مُعدّة مسبقاً صُممت لبيئات دفع عالمية عامة، وليس لخصوصيات بيئة مدى المحلية وسلوك المستهلك السعودي. هذه القواعد تعتمد على:
- عتبات ثابتة لا تتكيف مع النمط الفردي لكل عميل.
- نظرة معزولة لكل معاملة دون تحليل التسلسل أو السياق.
- تجاهل الإشارات السلوكية مثل تغيير الجهاز أو الموقع أو التوقيت.
- عدم ربط الأنماط عبر الحسابات لرصد الشبكات والحسابات البغال.
النتيجة: إنذارات خاطئة كثيرة لمعاملات شرعية تتجاوز العتبات الثابتة، وفي نفس الوقت احتيال حقيقي يمر دون رصد لأنه يبقى تحت تلك العتبات أو يستغل الفجوات في المنطق.
كيف تُضبط القواعد لتغطي هذه الأنماط فعلياً
ضبط قواعد رصد الاحتيال ليس مجرد تعديل أرقام العتبات. العملية تتطلب:
القياس: تحليل أحجام التنبيهات الحالية ونسب الإصابة (كم تنبيهاً من كل 100 يتبين أنه احتيال فعلي) والخسائر المسجلة لكل قاعدة. هذا يحدد أي القواعد فعالة وأيها تولد ضجيجاً فقط.
التحليل: مقارنة تغطية القواعد الحالية مع الأنماط الفعلية للاحتيال المُبلّغ عنه والقنوات المستخدمة (نقاط البيع، التجارة الإلكترونية، التطبيق المصرفي، الصرافات الآلية). تحديد الفجوات — أي أنماط تحدث لكن لا توجد قاعدة ترصدها.
الضبط: تعديل الحدود والمنطق وإضافة سيناريوهات جديدة تجمع بين عدة إشارات. الأهم: اختبار كل تغيير على البيانات السابقة (Backtesting) لمعرفة كم حالة احتيال كان سيرصدها، وكم إنذاراً خاطئاً إضافياً كان سيولده.
الترسيخ: توثيق الإجراءات التشغيلية لفريق مكافحة الاحتيال — كيف يتعامل مع كل نوع من التنبيهات، ومتى يحجب المعاملة، ومتى يتصل بالعميل، ومتى يُصعّد الحالة. وتحديد مؤشرات الأداء الرئيسية لقياس جودة الرصد بشكل مستمر.
الخدمة: تحسين كشف الاحتيال ومراقبة العمليات
تقدم سيزو للاستشارات خدمة تحسين كشف الاحتيال ومراقبة العمليات لمراجعة وضبط القواعد والدرجات وسير العمل في نظام مراقبة الاحتيال عبر البطاقات ومدى وسريع والمدفوعات الفورية والقنوات الرقمية.
تشمل العملية القياس من خلال تحليل أحجام التنبيهات ونسب الإصابة والخسائر لكل قاعدة، ثم التحليل لتحديد الفجوات مقابل الأنماط والقنوات الحالية، يليه الضبط عبر تعديل الحدود والمنطق والسيناريوهات الجديدة مع اختبارها على البيانات السابقة، وأخيراً الترسيخ من خلال توثيق الإجراءات والمؤشرات والتسليم.
تشمل المخرجات خريطة تغطية الكشف، ومجموعة قواعد مضبوطة مع المبررات، وخط أساس لمؤشرات جودة التنبيهات، وإجراءات تشغيل لفريق الاحتيال.
تغطي الخدمة مراجعة فاعلية القواعد والسيناريوهات، وخفض الإنذارات الخاطئة، وتغطية أنماط الاحتيال الحديثة مثل الاحتيال بالدفع المأذون والاستيلاء على الحسابات، بالإضافة إلى سير عمل معالجة التنبيهات ومستويات الخدمة. تستغرق الخدمة من ستة إلى عشرة أسابيع، وتتوافق مع إطار مكافحة الاحتيال من ساما ومعيار PCI DSS.
تعمل سيزو مع أي نظام قائم على القواعد أو الدرجات، وتتعاون مع المورد عندما يكون الوصول للإعدادات مقيداً. يُختبر كل تغيير أولاً على بيانات المؤسسة السابقة، ويُوازن خفض الإنذارات الخاطئة مع قدرة الكشف، لضمان عدم زيادة الخسائر.
إذا كنت مسؤولاً عن مكافحة الاحتيال أو عمليات المدفوعات في مؤسسة مالية سعودية تستخدم مدى، وتريد التأكد من أن قواعد الرصد لديك تغطي فعلياً الأنماط التي يتطلب إطار ساما مراقبتها — قبل أن تظهر في تقرير الخسائر — تواصل مع سيزو للاستشارات.
