الاحتيال عبر البريد الإلكتروني التجاري: الرد القانوني

ما هو احتيال البريد الإلكتروني التجاري (BEC) وكيف يعمل عمليًا؟

تلقّيتم بريدًا إلكترونيًا من «المدير العام» يطلب تحويل 200,000 ش.ج. إلى مزوِّد جديد حتى نهاية اليوم. هو خارج البلاد، ولا يمكن الوصول إليه بالهاتف. والاستعجال يضغط، فتحوّلون المال. وبعد يومين تكتشفون أن البريد كان مزيّفًا.

هذا هو احتيال BEC، أي Business Email Compromise. وهو لا يبدأ باختراق شبكتكم، بل بالهندسة الاجتماعية: شخص ما يقلّد عنوان بريد إلكتروني موثوقًا (يختلف أحيانًا بحرف واحد)، ويبني الثقة، ويستغلّ الضغط والاستعجال. ثم يُحوَّل المال، غالبًا إلى حسابات خارج البلاد، وبعدها يصعب تتبّعه.

ثلاثة سيناريوهات شائعة لـBEC: تزييف عنوان مدير: بريد إلكتروني إلى قسم المحاسبة باسم المدير العام يطلب دفعة عاجلة. انتحال صفة مزوِّد: بريد إلكتروني ممّا يبدو مزوِّدًا قائمًا، مع تفاصيل حساب بنكي «محدَّثة». اختراق حساب حقيقي: يخترقون حساب بريد إلكتروني فعّالًا لشريك تجاري ويرسلون منه. والأخير هو الأخطر لأن كل شيء حقيقي، باستثناء أمر الدفع الكاذب.

هل المصلحة التجارية مسؤولة عندما يحوّل أحد عامليها أموالًا بسبب بريد إلكتروني مزيّف؟

المشغِّل الذي لم يدرّب العاملين، ولم يطبّق إجراءات تحقق، ولم يحظر التحويلات الكبيرة دون مصادقة مزدوجة، قد يواجه ادعاء الإهمال المساهم إذا رفع دعوى على البنك أو على جهة أخرى، وعندها يُخفَّض التعويض الذي يُحكم له به وفق مدى مسؤوليته عن الضرر (المادة 68 من مرسوم الأضرار). وتجاه الأطراف الثالثة، يتحمل المشغِّل المسؤولية عن فعل قام به عامل لديه أثناء عمله (المادة 13 من المرسوم).

وفي المقابل، العامل الذي تصرّف بحسن نية، ولم يتجاوز صلاحيته، ولم تكن بين يديه معلومات كانت ستثير شكًا معقولًا، يُشكّ في أن يُعتبر مهملًا: فالإهمال يُفحص وفق ما كان سيفعله شخص معقول وحصيف في الظروف نفسها (المادة 35 من مرسوم الأضرار). وقد توفّر شركة التأمين الخاصة بكم تغطية (انظروا أدناه)، مع مراعاة شروط البوليصة: فبعض البوالص تشترط للتغطية وجود إجراءات تحقق.

كيف تكتشفون محاولة احتيال في الدفع قبل أن يخرج المال؟

العلامات التي تستوجب التوقّف والفحص:

استعجال مصطنع: «يجب أن يتم اليوم»، «لا تتحدّثي مع الآخرين»، «هذا سري». هذا إنذار أحمر فوري. عنوان بريد إلكتروني شبه مطابق: ceo@company-il.com بدلًا من ceo@company.co.il. انتبهوا إلى النطاق، لا إلى الاسم فقط. طلب تغيير تفاصيل الحساب: المزوِّد الذي يطلب تغيير الحساب البنكي يجب التحقق منه هاتفيًا على رقم موجود لديكم من مصدر آخر، لا من بريده الإلكتروني. أخطاء إملائية أو صياغة غير معتادة: مدير يكتب عادةً بأسلوب معيّن، يكتب فجأة بشكل مختلف.

القاعدة الذهبية: كل أمر دفع يزيد على مبلغ حدّدتموه مسبقًا (مثلًا 10,000 ش.ج.) يتطلّب تحققًا صوتيًا: مكالمة هاتفية إلى الرقم المعروف لديكم، لا الاتصال برقم ظهر في الرسالة.

ماذا تفعلون عندما تكتشفون أنكم وقعتم ضحية: الساعات الـ24 الحاسمة

المرحلة 1: البنك، الآن: اتصلوا فورًا بالبنك واطلبوا وقف التحويل. إذا كان لا يزال في عملية المقاصة بين البنوك، فيمكن أحيانًا إيقافه. وكلما تحرّكتم أسرع، كانت الفرصة أكبر. قدّموا تفاصيل التحويل كاملة.

المرحلة 2: التوثيق الفوري: احفظوا كل رسائل البريد الإلكتروني، ولا تحذفوا شيئًا. التقطوا صور الشاشة. ووثّقوا من فعل ماذا ومتى. هذا سيشكّل أساس الدعوى والتسلسل الزمني (timeline) لشركة التأمين وللشرطة.

المرحلة 3: الإبلاغ للشرطة: قدّموا شكوى في وحدة السايبر. التحقيق يستغرق وقتًا، لكن البلاغ نفسه مهم لإثبات دعوى مستقبلية، وأحيانًا يؤدّي التعاون بين جهات الإنفاذ في الخارج وفي إسرائيل إلى تحديد مكان اللصوص.

المرحلة 4: المحامي: إذا كان المبلغ كبيرًا، فإن الاستشارة القانونية المبكرة تتيح دراسة دعوى مدنية، والتوجّه إلى المحكمة لطلب سبيل انتصاف مؤقت (منع خروج الأموال)، وفحص التغطية التأمينية.

كيف تحمون المصلحة التجارية: إجراءات تمنع BEC

ثلاثة إجراءات تقلّل الخطر بشكل كبير (وعن إجراءات الدفع الآمنة بتوسّع: منع احتيال الدفعات: الواجبات القانونية):

تحقق مزدوج من الدفعات: كل دفعة تزيد على مبلغ حدّدتموه تتطلّب مصادقة هاتفية من مدير غير المدير الذي طلبها. هذا إجراء أساسي لا يكلّف شيئًا، ويصعّب جدًا هذا النوع من الاحتيال.

ضبط SPF/DKIM/DMARC في نطاقكم: هذه بروتوكولات للتحقق من البريد الإلكتروني تمنع جهات خارجية من إرسال رسائل باسم نطاقكم. ويستطيع مسؤول تكنولوجيا المعلومات لديكم ضبطها. هذا لن يمنع انتحال صفة حساب خارجي، لكنه سيمنع استخدام نطاقكم في الهجوم.

تدريب العاملين: مرة في السنة، اشرحوا للفريق ما هو BEC. واعرضوا أمثلة حقيقية. وحدّدوا الإجراء عندما يساور أحدهم شكّ. فالعامل الذي يعرف الاحتيال سيتوقّف قبل أن يحوّل المال.

تأمين السايبر: ما الذي يغطيه وما الذي لا يغطيه؟

كثير من بوالص تأمين السايبر تشمل تغطية لاحتيال BEC، لكن يجب قراءة الشروط المكتوبة بخط صغير. ما تغطّيه معظم البوالص: الخسارة المالية المباشرة من الاحتيال الإلكتروني، وتكاليف التحقيق، وتكاليف إبلاغ الزبائن (إذا وقع أيضًا اختراق للمعلومات)، وتكاليف استعادة الأنظمة.

ما لا يُغطّى غالبًا: الخسارة الناتجة عن احتيال وقع بسبب إهمال صارخ من المصلحة التجارية (مثلًا تحويل دون أي تحقق)، والخسائر التي وقعت بعد أن أبلغت شركة التأمين بعدم التغطية. وشروط التغطية تختلف كثيرًا بين البوالص، فيجب القراءة والاستشارة قبل الحادث، لا بعده.

هل يمكن استعادة المال؟

أحيانًا نعم، بشرط التحرّك بسرعة. المال الذي لا يزال في المقاصة بين البنوك يمكن إيقافه. والمال الذي وصل إلى حساب بنكي في إسرائيل: يمكن التوجّه إلى المحكمة لطلب أمر وقف. أما المال الذي خرج إلى الخارج فاستعادته أصعب، لكنها ليست مستحيلة من خلال التعاون الدولي.

إضافةً إلى ذلك، يمكن رفع دعوى مدنية على البنك إذا تصرّف بإهمال (المادتان 35 و36 من مرسوم الأضرار [صيغة جديدة])، مثلًا إذا صادق على تحويل غير اعتيادي دون فحوص ملائمة. ويُستحسن استشارة محامٍ قبل التنازل.