حماية حساباتك: المصادقة الثنائية، وتبديل شريحة SIM، وتصيّد بيانات دخول حسابات الوساطة، وترتيبات الوصول للورثة

ما الذي ستتعلمه

• أي العوامل الثانية قوية وأيها ضعيف، ولماذا تفشل رموز SMS أمام تبديل شريحة SIM.
• كيف يعمل تصيّد بيانات دخول حسابات الوساطة اليوم، بما في ذلك الترحيل الفوري وإرهاق الموافقات.
• أي الميزات المدمجة لدى الوسيط (الحساب المرجعي، وأقفال السحب، والتنبيهات) توقف اللص حتى بعد نجاحه في تسجيل الدخول.
• كيف تمنح ورثتك أو شخصًا موثوقًا وصولًا مشروعًا دون أن تسلّمه كلمات المرور اليوم.

الشرح

الاستيلاء على الحساب هو الاحتيال الذي يصيب المستثمرين الحذرين الذين لا ينخدعون أبدًا بوسيط وهمي. فالمهاجم لا يحتاج إلى إقناعك بالاستثمار؛ بل يحتاج إلى بيانات دخولك، وعاملك الثاني، وطريقة لإخراج المال. وقد تناولت دورة أساسيات البيتكوين والعملات المشفرة (الدرس btc08) أساسيات حماية محافظ العملات المشفرة؛ أما هذا الدرس فيتناول الحسابات المصرفية وحسابات الوساطة، وما يحدث لها حين لا تستطيع التصرف بنفسك.

المصادقة القوية للعميل وأنواع العوامل الثلاثة

يشترط توجيه الاتحاد الأوروبي الثاني لخدمات الدفع (PSD2) المصادقة القوية للعميل (SCA) في الخدمات المصرفية عبر الإنترنت: عنصران مستقلان من بين المعرفة (كلمة المرور، الرقم السري PIN)، والحيازة (الهاتف، المفتاح المادي، البطاقة)، والسمة الذاتية (بصمة الإصبع، الوجه). ويطبّق الوسطاء النموذج نفسه طوعًا أو لأنهم بنوك. وأمان المنظومة بأكملها يساوي أمان أضعف عامل فيها:

تبديل شريحة SIM

في تبديل شريحة SIM يُقنع المهاجم مزوّد خدمة الهاتف المحمول، بالهندسة الاجتماعية أو ببيانات شخصية مسرّبة، بنقل رقمك إلى شريحة SIM أو eSIM جديدة. ومن تلك اللحظة تذهب إليه جميع رموز SMS ومكالمات «نسيت كلمة المرور». العلامة التحذيرية: يُظهر هاتفك فجأة «لا توجد خدمة» لأكثر من بضع دقائق في منطقة مغطاة بالشبكة. وسائل الدفاع: عيّن كلمة مرور منفصلة للعميل (Kundenkennwort) لدى المزوّد لجميع التغييرات، واستخدم تطبيق مصادقة أو مفتاحًا ماديًا بدلًا من SMS حيثما سمح وسيطك بذلك، ولا تستخدم أبدًا رقم الهاتف المحمول قناةً لإعادة تعيين كلمة مرور حساب بريدك الإلكتروني الرئيسي، لأن حساب البريد الإلكتروني هو المفتاح الرئيسي لكل ما عداه.

تصيّد بيانات دخول حسابات الوساطة

لم يعد التصيّد الحديث رسالة بريد إلكتروني مليئة بالأخطاء الإملائية. الأنماط المعتادة: نتيجة بحث مموّلة لاسم وسيطك تقود إلى نطاق مشابه؛ أو رسالة SMS تقول «حسابك مقيّد، تحقق خلال 24 ساعة»؛ أو اتصال من «قسم الأمن» يطلب منك الموافقة على إشعار «لإلغاء تحويل مشبوه». وتقوم أدوات الوكيل العكسي (reverse-proxy) بترحيل كلمة مرورك ورمز TOTP إلى الموقع الحقيقي في الوقت الفعلي، فيمكن هزيمة تطبيق المصادقة نفسه. قواعد ثابتة: اكتب عنوان الوسيط بنفسك أو استخدم التطبيق؛ ولا توافق أبدًا على طلب إشعار لم تبادر به في تلك اللحظة؛ والبنك أو الوسيط لا يطلب منك أبدًا رمز TAN عبر الهاتف؛ وإذا طلبت منك صفحة رمزًا «لإلغاء» شيء ما، فهي احتيال، لأن الإلغاء لا يحتاج أبدًا إلى رمز معاملة.

ميزات تحدّ من الضرر بعد تسجيل الدخول

يسمح الوسطاء في ألمانيا عادةً بالسحب فقط إلى حساب مرجعي (Referenzkonto) باسمك؛ ويتطلب تغييره خطوة منفصلة بمصادقة قوية وغالبًا فترة انتظار. تحقق من تفعيل ذلك، وفعّل تنبيهات المعاملات وتسجيل الدخول عبر البريد الإلكتروني والإشعارات، وحدّد سقفًا يوميًا للتحويل على الحساب المصرفي المرتبط، واحمِ حساب البريد الإلكتروني بمفتاح مادي أو مفتاح مرور. وراجع قائمة الأجهزة المتصلة ومفاتيح API كل ربع سنة واحذف القديم منها.

الوصول للورثة وفي حالات الطوارئ

إذا توفيت أو أصبحت عاجزًا، فلا يحصل ورثتك تلقائيًا على حق الوصول. وقد تشترط البنوك إثبات الإرث، وعادةً شهادة الإرث (Erbschein) أو وصية موثقة لدى كاتب العدل مع محضر فتحها من المحكمة؛ وقد قضت محكمة العدل الاتحادية بأن البنك لا يجوز له الإصرار على شهادة Erbschein حين تثبت وصية موثقة الوارث بوضوح. أما الوصية المكتوبة بخط اليد وحدها فلا تقبلها البنوك عادةً دليلًا. ويكلّف الحصول على Erbschein رسومًا قضائية تتصاعد مع حجم التركة ويستغرق أسابيع إلى أشهر. وفي هذه الأثناء يظل حساب الأوراق المالية معرَّضًا لمخاطر السوق ولا يستطيع أحد البيع. والأدوات العملية هي:

• توكيل مصرفي ساري المفعول بعد الوفاة (Konto- und Depotvollmacht über den Tod hinaus) على النموذج الخاص بالبنك، يُمنح لشخص موثوق. وهو يمنح وصولًا فوريًا دون Erbschein؛ ويمكن للورثة إلغاؤه لاحقًا.
• توكيل وقائي (Vorsorgevollmacht) لحالة العجز، ووصية موثقة لدى كاتب العدل بشكل منفصل إذا كانت التركة معقدة.
• وثيقة وصول محفوظة خارج الإنترنت (ظرف مختوم، أو خزنة إيداع، أو مدير كلمات مرور مع ميزة الوصول في الطوارئ): قائمة بالمؤسسات وأرقام الحسابات، ومكان المفاتيح المادية، وكيفية الوصول إلى حساب البريد الإلكتروني. لا تكتب كلمات المرور في الوصية، لأن الوصية تصبح مستندًا لدى المحكمة.
• اعلم أن البنوك الألمانية ملزمة بإبلاغ مصلحة الضرائب بالأرصدة في تاريخ الوفاة، لذا فإن إخفاء الحسابات عن الورثة أو عن مصلحة الضرائب (Finanzamt) ليس ممكنًا ولا قانونيًا؛ فالمقصود هو السرعة لا السرية. وقد أكدت محكمة العدل الاتحادية (BGH) عام 2018 أن الحسابات الرقمية تنتقل إلى الورثة مثل أي عقد آخر.

مثال عملي

مثال افتراضي: تحتفظ بترا، 58 عامًا، بحساب حفظ (Depot) قيمته €250,000 و€40,000 في حساب Tagesgeld لدى بنك واحد. وتستخدم في تسجيل الدخول كلمة مرور مع رموز SMS إلى رقم هاتف محمول واحد؛ والرقم نفسه هو قناة الاسترداد لبريدها الإلكتروني. وابنها البالغ هو وريثها الوحيد لكنه لا يملك توكيلًا. يتم تجاهل الرسوم والضرائب.

1. نقطة فشل واحدة: تبديل ناجح لشريحة SIM يمنح المهاجم رموز SMS وقناة استرداد البريد الإلكتروني، فيغطي هجوم واحد جميع الحسابات. وبعد تحويل الوسيط والبريد الإلكتروني إلى تطبيق مصادقة ومفتاح مادي، لا يُسفر تبديل الشريحة وحده عن شيء؛ إذ يجب على المهاجم أيضًا الحصول على المفتاح ماديًا.
2. تأخير التركة: افترض أن Erbschein يستغرق ستة أسابيع وأن السوق يهبط 3 % خلال تلك المدة. الانكشاف في حساب الحفظ: 3 % × €250,000 = €7,500 لم يكن بوسع أحد التصرف حيالها، إضافة إلى نفقات معيشة ستة أسابيع لا يستطيع الابن سحبها من مبلغ €40,000.
3. مقارنة التكاليف: افترض أن الرسوم القضائية لـErbschein تبلغ نحو €1,000 لتركة بهذا الحجم (تُحدَّد الرسوم بجدول الرسوم القضائية وترتفع مع حجم التركة؛ راجع الجدول الساري). أما التوكيل المصرفي الساري بعد الوفاة فيكلّف €0 ويمنح الوصول من اليوم الأول. وقد تظل الحاجة إلى Erbschein قائمة لاحقًا لأصول أخرى، لكن مشكلة الوصول الحرجة زمنيًا تكون قد حُلّت.

خطأ شائع

نشاط تطبيقي

على الورق، ارسم «خريطة وصول» لأسرة افتراضية: حساب بريد إلكتروني رئيسي واحد (الاسترداد عبر SMS إلى الهاتف A)، ووسيط (كلمة مرور + SMS إلى الهاتف A)، وبنك (كلمة مرور + pushTAN على الهاتف A)، ومنصة تداول عملات مشفرة (كلمة مرور + TOTP على الهاتف A). يُسرق الهاتف A وهو غير مقفل. لكل حساب اكتب ما إذا كان اللص يستطيع تسجيل الدخول ونقل المال، وأي تغيير منفرد سيقلّل عدد الحسابات المخترقة أكثر من غيره. ثم اذكر المستندات الثلاثة التي يحتاجها شخص موثوق للتصرف نيابة عنك في حالة عجز مفاجئ.

الخلاصات الرئيسية

• SMS هو أضعف عامل ثانٍ؛ وتطبيقات المصادقة تقاوم تبديل الشريحة، أما المفاتيح المادية ومفاتيح المرور فتقاوم التصيّد أيضًا.
• لا توافق أبدًا على إشعار لم تبادر به، ولا تعطِ أبدًا رمزًا «لإلغاء» أي شيء.
• السحب إلى الحساب المرجعي والتنبيهات وحساب بريد إلكتروني محمي تحدّ من الضرر حتى بعد سرقة بيانات الدخول.
• التوكيل المصرفي الساري بعد الوفاة مع وثيقة وصول خارج الإنترنت يمنحان الورثة وصولًا قانونيًا وفوريًا؛ أما Erbschein وحده فيكلّف وقتًا ومالًا.

الخطوة التالية

يحوّل الدرس الأخير في هذه الدورة كل ما سبق إلى مستندين يمكنك الاحتفاظ بهما: قائمة تحقق شخصية للعناية الواجبة لأي عرض استثماري، وخطة مكتوبة للاستجابة للاحتيال.