عند الاشتباه في حادثة احتيال بطاقات — سواء كانت معاملات غير مصرح بها، أو استيلاء على حساب، أو استخدام بطاقة مسروقة — تبدأ الساعة في العد التنازلي لحفظ سجلات المعاملات احتيال بطاقات إطار مكافحة الاحتيال ساما. البند 4.3 من إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي يفرض على المؤسسات المالية حفظ الأدلة الرقمية للتحقيق في الاحتيال والإبلاغ التنظيمي. لكن كثيرًا من فرق الاستجابة للحوادث ومحققي الاحتيال في شركات المدفوعات والبنوك السعودية تجمع سجلات التطبيقات فقط — وتفوّت سجلات المعاملات وبيانات تدفق الشبكة وأحداث المصادقة وسجلات جلسات حاملي البطاقات التي يتطلبها الطب الشرعي الرقمي.
النتيجة: تحقيق ناقص، وتقرير حادثة لا يلبي متطلبات الإفصاح في البند 7.2 من الإطار، وفرصة ضائعة لتحديد السبب الجذري والنطاق الفعلي للاختراق.
يسرد هذا المقال أنواع الأدلة الأربعة التي يجب حفظها عند وقوع حادثة احتيال بطاقات، والحد الأدنى من فترة الاحتفاظ لكل منها، ويقدم تسلسل الجمع الذي يمنع الكتابة فوق الأدلة أو الثغرات، ليبدأ عمل الطب الشرعي الرقمي بأدلة كاملة ويلبي تقرير الحادثة متطلبات البنك المركزي السعودي.
لماذا يفرض البند 4.3 من إطار مكافحة الاحتيال حفظ الأدلة
إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي يهدف إلى حماية المستهلكين والمؤسسات المالية من الاحتيال في المدفوعات الإلكترونية. البند 4.3 يفرض على المؤسسات المالية الاحتفاظ بالسجلات والأدلة الرقمية اللازمة للتحقيق في حوادث الاحتيال، وتحديد السبب الجذري، وتقديم تقارير دقيقة للبنك المركزي السعودي.
الهدف من هذا المتطلب مزدوج:
- التحقيق الفعّال: لا يمكن تحديد كيفية وقوع الاحتيال — هل كانت بيانات اعتماد مسروقة، أو ثغرة في نظام التفويض، أو هجوم رجل في المنتصف — دون سجلات كاملة تغطي كامل مسار المعاملة من طلب حامل البطاقة إلى استجابة نظام الدفع.
- الإبلاغ التنظيمي: البند 7.2 من الإطار يتطلب الإبلاغ عن حوادث الاحتيال الجوهرية للبنك المركزي السعودي، مع تفاصيل عن طبيعة الحادثة، والسبب الجذري، والأثر، والإجراءات المتخذة. لا يمكن إعداد تقرير حادثة دقيق دون أدلة محفوظة بشكل صحيح.
لكن ما الذي يعنيه "حفظ الأدلة" بالضبط؟ وما هي السجلات التي يجب جمعها؟
النوع الأول: سجلات التفويض والتسوية
سجلات التفويض هي السجلات التي تُنشئها أنظمة الدفع عند معالجة طلب معاملة بطاقة — سواء كانت عملية شراء عبر الإنترنت، أو سحب نقدي من صراف آلي، أو دفع عند نقطة بيع. تحتوي هذه السجلات على:
- معرّف المعاملة الفريد
- الطابع الزمني للطلب والاستجابة
- رقم البطاقة المقنّع (الأرقام الستة الأولى والأربعة الأخيرة)
- المبلغ والعملة
- رمز التاجر ونوع المعاملة
- رمز الاستجابة (موافقة، رفض، أو خطأ)
- سبب الرفض إن وُجد
سجلات التسوية تُظهر كيفية تسوية المعاملة لاحقًا — هل تمت المقاصة، أو الإلغاء، أو الاسترداد.
الحد الأدنى من فترة الاحتفاظ: يجب الاحتفاظ بسجلات التفويض والتسوية لمدة لا تقل عن ستة أشهر من تاريخ المعاملة، وفقًا لمتطلبات البنك المركزي السعودي. في حالة حادثة احتيال، يجب حفظ السجلات ذات الصلة فورًا قبل أن تُحذف أو تُستبدل بسجلات جديدة.
النوع الثاني: بيانات تدفق الشبكة وسجلات الاتصال
كثير من حوادث احتيال البطاقات تبدأ بهجوم على الشبكة — سواء كان اعتراض بيانات البطاقة أثناء النقل، أو هجوم رجل في المنتصف على جلسة HTTPS، أو اختراق نقطة نهاية API. لهذا السبب، بيانات تدفق الشبكة ضرورية للتحقيق.
تشمل بيانات تدفق الشبكة:
- عناوين IP المصدر والوجهة
- المنافذ والبروتوكولات المستخدمة
- حجم البيانات المنقولة
- الطوابع الزمنية لبداية ونهاية الاتصال
- معرّفات الجلسة
سجلات الاتصال من جدران الحماية وأنظمة منع التسلل (IPS) وبوابات API تُظهر:
- طلبات الاتصال المسموح بها والمرفوضة
- محاولات الوصول غير المصرح بها
- أنماط الاتصال غير الطبيعية (مثل عدد كبير من الطلبات من عنوان IP واحد)
الحد الأدنى من فترة الاحتفاظ: يجب الاحتفاظ بسجلات تدفق الشبكة لمدة لا تقل عن ثلاثة أشهر، وفقًا لمتطلبات الإطار الإلكتروني للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني. في حالة حادثة احتيال، يجب حفظ سجلات الفترة التي تسبق الحادثة بـ 48 ساعة على الأقل.
النوع الثالث: أحداث المصادقة وإدارة الجلسات
كثير من حوادث احتيال البطاقات تبدأ باستيلاء على حساب — حيث يحصل المهاجم على بيانات اعتماد حامل البطاقة (اسم المستخدم وكلمة المرور، أو رمز OTP) ويستخدمها للوصول إلى حساب الضحية وإجراء معاملات غير مصرح بها.
لهذا السبب، أحداث المصادقة ضرورية للتحقيق:
- محاولات تسجيل الدخول الناجحة والفاشلة
- عنوان IP ونوع الجهاز والمتصفح المستخدم
- الطابع الزمني لكل محاولة
- طريقة المصادقة المستخدمة (كلمة مرور، OTP، بيومتري)
- تغييرات في بيانات الحساب (مثل تغيير رقم الهاتف أو عنوان البريد الإلكتروني)
سجلات إدارة الجلسات تُظهر:
- معرّف الجلسة الفريد
- مدة الجلسة
- الإجراءات المنفذة خلال الجلسة
- إنهاء الجلسة (طبيعي أو قسري)
الحد الأدنى من فترة الاحتفاظ: يجب الاحتفاظ بسجلات المصادقة وإدارة الجلسات لمدة لا تقل عن ستة أشهر، وفقًا لمتطلبات الإطار الإلكتروني للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني.
النوع الرابع: سجلات جلسات حاملي البطاقات والتطبيقات
سجلات جلسات حاملي البطاقات هي السجلات التي تُنشئها تطبيقات الخدمات المصرفية عبر الإنترنت أو تطبيقات الهاتف المحمول عند تفاعل حامل البطاقة مع النظام. تشمل:
- الصفحات أو الشاشات التي زارها المستخدم
- الإجراءات المنفذة (مثل عرض الرصيد، أو تحويل الأموال، أو إضافة بطاقة جديدة)
- الطوابع الزمنية لكل إجراء
- رسائل الخطأ أو التحذيرات التي ظهرت للمستخدم
سجلات التطبيقات من الخوادم والخدمات الخلفية تُظهر:
- طلبات API الواردة والصادرة
- استعلامات قاعدة البيانات
- أخطاء التطبيق أو الاستثناءات
- تغييرات في البيانات
الحد الأدنى من فترة الاحتفاظ: يجب الاحتفاظ بسجلات التطبيقات لمدة لا تقل عن ثلاثة أشهر، وفقًا لمتطلبات الإطار الإلكتروني للأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني.
تسلسل الجمع الذي يمنع الكتابة فوق الأدلة
عند الاشتباه في حادثة احتيال بطاقات، الوقت عامل حاسم. كثير من الأنظمة تُعيد كتابة السجلات القديمة بعد فترة قصيرة — أحيانًا في غضون ساعات — لتوفير مساحة التخزين. لهذا السبب، يجب اتباع تسلسل جمع محدد لحفظ الأدلة قبل أن تُفقد:
- الاحتواء الفوري: عزل الحسابات أو الأنظمة المتأثرة لمنع المزيد من المعاملات غير المصرح بها.
- تحديد النطاق الزمني: تحديد الفترة الزمنية التي وقعت فيها المعاملات المشبوهة — من أول معاملة مشبوهة إلى آخر معاملة.
- حفظ سجلات التفويض أولًا: جمع سجلات التفويض والتسوية لكل المعاملات في النطاق الزمني المحدد، بما في ذلك المعاملات الناجحة والمرفوضة.
- حفظ أحداث المصادقة: جمع سجلات تسجيل الدخول وإدارة الجلسات للحسابات المتأثرة، بدءًا من 48 ساعة قبل أول معاملة مشبوهة.
- حفظ بيانات تدفق الشبكة: جمع سجلات تدفق الشبكة وسجلات الاتصال من جدران الحماية وأنظمة منع التسلل وبوابات API للفترة نفسها.
- حفظ سجلات التطبيقات: جمع سجلات التطبيقات من الخوادم والخدمات الخلفية التي عالجت المعاملات المشبوهة.
- تسلسل العهدة: توثيق من جمع كل نوع من الأدلة، ومتى، وأين تُخزّن، ومن يمكنه الوصول إليها. هذا ضروري للحفاظ على سلامة الأدلة للتحقيق الجنائي الرقمي.
كيفية تجهيز البيئة لحفظ الأدلة قبل الحادثة
الانتظار حتى وقوع الحادثة لتحديد كيفية حفظ الأدلة يعني خسارة وقت ثمين — وربما خسارة الأدلة نفسها. التجهيز المسبق يضمن أن الفرق تعرف بدقة ما يجب جمعه، وكيف، ومن أين.
الخطوات الأساسية للتجهيز:
- تحديد مصادر السجلات: إعداد قائمة بكل الأنظمة التي تُنشئ سجلات ذات صلة بمعاملات البطاقات — أنظمة التفويض، وبوابات الدفع، وخوادم المصادقة، وجدران الحماية، وتطبيقات الخدمات المصرفية.
- التحقق من فترات الاحتفاظ: التأكد من أن كل نظام يحتفظ بالسجلات للمدة المطلوبة، وأن السجلات تُخزّن في موقع آمن ويمكن الوصول إليه بسرعة.
- إعداد إجراءات الحفظ: توثيق الخطوات الدقيقة لجمع كل نوع من الأدلة، بما في ذلك الأوامر أو الأدوات المستخدمة، ومن لديه الصلاحيات للوصول إلى السجلات.
- تدريب الفرق: التأكد من أن فرق الاستجابة للحوادث ومحققي الاحتيال يعرفون كيفية تنفيذ إجراءات الحفظ بسرعة ودقة.
- تمارين المحاكاة: اختبار إجراءات الحفظ من خلال تمارين محاكاة لحوادث احتيال بطاقات، لتحديد الثغرات أو التأخيرات قبل وقوع حادثة حقيقية.
الدعم في التحقيق الجنائي الرقمي
عند وقوع حادثة احتيال بطاقات، يساعد مختصونا في احتوائها، وحفظ الأدلة، والتحقيق في السبب الجذري والنطاق، ودعم الإبلاغ للجهات التنظيمية والتعافي. الخدمة تشمل حفظ الأدلة وتسلسل العهدة، وتحليل الأجهزة والخوادم والسجلات، وتحديد السبب الجذري والنطاق، وإرشادات الاحتواء والاستئصال، ودعم الإبلاغ للجهات التنظيمية.
العملية تبدأ بالفرز لتحديد النطاق والإلحاح والاحتواء الفوري، ثم الحفظ لجمع الأدلة مع تسلسل العهدة، ثم التحليل لبناء التسلسل الزمني وتحديد السبب الجذري والأثر، وأخيرًا التقرير الذي يتضمن النتائج والتوصيات والدعم.
المخرجات تشمل تقرير التحقيق، والتسلسل الزمني للحادثة، ومؤشرات الاختراق، وتوصيات المعالجة. الخدمة متاحة عند الطلب، ويمكن ترتيب عقد استجابة مسبق للبدء فورًا، مع جاهزية العقود والوصول مسبقًا.
