يتحول الاحتيال في الخدمات المصرفية الرقمية اليوم نحو نقطة واحدة: الرابط بين العميل وهاتفه ورقمه. ولذلك فإن موضوع منع الاحتيال وربط الأجهزة ونفاذ ليس مسألة تقنية فرعية، بل اختبار لمدى صمود المصادقة حين يتغير أحد عناصرها. يوضح هذا المقال كيف تختبر مؤسستك ضوابط ربط الأجهزة قبل أن يستغل المحتال تبديل الشريحة.
لماذا لا يكفي وجود الضابط
يتطلب إطار الأمن السيبراني للقطاع المالي الصادر عن البنك المركزي السعودي (ساما) مصادقة متعددة العوامل للوصول إلى الخدمات الرقمية. وقد اعتمدت مؤسسات كثيرة التحقق عبر نفاذ، وربطت الحساب بجهاز العميل. غير أن وجود الضابط في التصميم لا يعني أنه يعمل في كل حالة. فالمدقق الداخلي وفاحص ساما سيسألان: ما الذي يحدث عندما تتغير الشريحة؟ وأين الدليل على أنكم جربتم ذلك؟
متى تحتاج المؤسسة إلى هذا الاختبار
- عند إطلاق ربط الأجهزة أو تغيير مزود التحقق أو مسار التسجيل.
- عند ظهور حالات استيلاء على حسابات بعد تغيير رقم الجوال أو الشريحة.
- عند عدم وجود دليل مكتوب على اختبار سيناريوهات التبديل والاستبدال.
- قبل دورة تدقيق داخلي أو زيارة إشرافية.
السيناريوهات الأربعة
لكل سيناريو ثلاثة عناصر: خطوات الاختبار، والسلوك المتوقع من النظام، والدليل المطلوب حفظه. يُنفَّذ الاختبار في بيئة ما قبل الإنتاج، ولا يُجرى على البيئة الفعلية إلا في سيناريوهات آمنة متفق عليها.
السيناريو الأول: تبديل الشريحة مع الجهاز نفسه
الخطوات: يُنقل رقم العميل التجريبي إلى شريحة جديدة، ثم يُحاول الدخول من الجهاز المربوط نفسه.
السلوك المتوقع: يُرصد تغيير الشريحة كحدث مخاطر. ويُطلب تحقق إضافي أو يُقيَّد النشاط عالي المخاطر مؤقتًا، مع إشعار العميل عبر قناة لا تعتمد على الرقم المتغير وحده.
السيناريو الثاني: تبديل الشريحة مع جهاز جديد
الخطوات: تُفعَّل الشريحة المبدلة على جهاز غير مربوط، ثم يُحاول المختبِر الدخول وتنفيذ عملية.
السلوك المتوقع: لا يُمنح الجهاز الجديد الثقة بمجرد استلام رمز على الرقم. ويُمنع ربطه من دون تحقق مستقل من الهوية، وتُحظر العمليات الحساسة خلال فترة تهدئة تحددها المؤسسة، ويُنبَّه العميل.
السيناريو الثالث: إعادة تسجيل نفاذ
الخطوات: تُبدأ عملية إعادة تسجيل أو استعادة للهوية الرقمية ثم تُحاول تفعيل جهاز جديد.
السلوك المتوقع: تُبطَل الارتباطات القديمة أو تُراجع، ولا تنتقل الثقة تلقائيًا إلى الجهاز الجديد. وتُسجَّل العملية بكامل تفاصيلها وتُرسل تنبيهات إلى فريق منع الاحتيال.
السيناريو الرابع: محاولات الجلسة المتزامنة
الخطوات: تُفتح جلسة سليمة من الجهاز المربوط، وفي الوقت نفسه تُجرى محاولة دخول من جهاز آخر أو موقع مختلف.
السلوك المتوقع: تُضبط الجلسات المتزامنة وفق سياسة معلنة، فإما تُنهى الجلسة الأقدم أو تُطلب مصادقة إضافية. ولا تُنفَّذ عملية مالية من جلسة لم تستوفِ شروط الثقة.
تنسيق سجل الأدلة
يحتاج المدقق إلى سجل قابل للتتبع لا إلى وصف عام. نقترح أن يتضمن كل سجل اختبار الحقول الآتية:
- معرّف الاختبار والسيناريو والتاريخ والبيئة.
- الضابط المرتبط في إطار SAMA CSF وسياسة المؤسسة.
- المتطلبات المسبقة وبيانات الحساب التجريبي.
- الخطوات المنفذة بترتيبها.
- السلوك المتوقع والسلوك الفعلي.
- النتيجة: نجاح أو فشل أو نجاح جزئي.
- الأدلة المرفقة: لقطات شاشة وسجلات النظام وتنبيهات الاحتيال وإشعارات العميل.
- المسؤول عن الاختبار والمراجع والفجوة المسجلة وخطة المعالجة.
وتُحفظ الأدلة بصيغة غير قابلة للتعديل، مع بيان من نفّذ الاختبار ومن راجعه، وتُعاد الاختبارات عند كل تغيير جوهري في المسار.
كيف تبدو النتيجة الجيدة
النتيجة الجيدة ليست أن تنجح السيناريوهات كلها من أول مرة، بل أن تعرف المؤسسة أين يفشل الضابط، وأن تكون الفجوات مسجلة ومرتبة بحسب الأولوية، وأن يستطيع فريق منع الاحتيال إثبات سلوك النظام أمام المدقق بدليل لا برواية شفهية. كما ينبغي أن يوازن القرار بين الحماية وتجربة العميل، فلا تُفرض قيود تدفع العملاء المشروعين إلى القنوات الأضعف.
كيف ننفذ ذلك في سيزو
تقدم سيزو خدمة مراجعة ضوابط الاحتيال في الخدمات المصرفية الرقمية والمدفوعات. تغطي المراجعة ضوابط الاحتيال في الخدمات المصرفية عبر الجوال والإنترنت، والتحقق الرقمي (نفاذ)، وربط الأجهزة، وتوقيع العمليات، وإشعارات العميل. وتشمل المراجعة المصادقة وموثوقية الأجهزة، ونمذجة التهديدات لرحلات العملاء.
نعمل على أربع مراحل: خريطة رحلات العملاء وضوابطها، ثم نمذجة التهديدات لسيناريوهات الاحتيال في كل خطوة، ثم اختبار الضوابط واستعراض السيناريوهات، ثم توصيات في خارطة طريق مرتبة بحسب الأولوية مع أثرها على التجربة. وتسلَّم المؤسسة تقييم الضوابط لكل رحلة، ونتائج اختبار سيناريوهات الاحتيال، وخارطة طريق المعالجة. وتستغرق المراجعة من ٤ إلى ٨ أسابيع.
ويجري الاختبار بموافقتكم في بيئة ما قبل الإنتاج، ويقتصر الاختبار على البيئة الفعلية في سيناريوهات آمنة متفق عليها. والخدمة لا تشمل اختبار الاختراق، إذ تركز على ضوابط الاحتيال، وتتكامل مع خدمة اختبار الاختراق لدينا.
الخطوة التالية
إذا لم يكن لديكم اليوم سجل أدلة يغطي السيناريوهات الأربعة، فابدأوا بتحديد المسارات التي تعتمد على ربط الأجهزة. ويمكن لفريقنا مراجعة هذه الضوابط معكم ضمن خدمة مراجعة ضوابط الاحتيال في الخدمات المصرفية الرقمية والمدفوعات، وتحويل نتائجها إلى خطة معالجة واضحة.
