اختراق حسابات البريد الإلكتروني للشركات وجرائم الاحتيال

مدخل

يُعدّ اختراق حسابات البريد الإلكتروني للشركات أحد أخطر أساليب الاحتيال الإلكتروني التي تواجهها الشركات اليوم. إذ يتم استهداف حسابات البريد الإلكتروني لموظفي الشركة، ومديريها، وأقسام المحاسبة، ووحدات المشتريات، أو الموظفين المسؤولين عن علاقات الموردين؛ حيث تُرسل تعليمات دفع احتيالية، ويتم تغيير معلومات رقم الحساب المصرفي الدولي (IBAN)، والتلاعب بفواتير الموردين، وإعادة توجيه مدفوعات العملاء إلى المحتالين، أو اعتراض المراسلات الداخلية السرية للشركة.

في الأدبيات الدولية "اختراق البريد الإلكتروني للأعمال( BEC) . ويُعرّف مكتب التحقيقات الفيدرالي (FBI) الاحتيال عبر البريد الإلكتروني للأعمال بأنه أحد أكثر الجرائم الإلكترونية ضررًا من الناحية المالية، إذ يستغل اعتماد العديد من الأفراد والشركات على البريد الإلكتروني في أعمالهم اليومية، ويتم تنفيذه من خلال طلبات دفع أو معاملات احتيالية تبدو وكأنها واردة من مصدر معروف. ومن الأمثلة التي ذكرها مكتب التحقيقات الفيدرالي: قيام مورد مُستخدم بانتظام بتغيير عنوان الفواتير الخاص به، أو إرسال أمر دفع عاجل باسم أحد المديرين التنفيذيين في الشركة.

في تركيا، لا ينبغي النظر إلى هذه الحوادث على أنها مجرد مشاكل تقنية بسيطة مثل "اختراق البريد الإلكتروني". يجب النظر إلى اختراق حسابات البريد الإلكتروني للشركات بالتزامن مع القوانين الأخرى بما في ذلك: المادة 243 (الوصول غير المصرح به إلى نظام معلومات)، والمادة 244 (عرقلة البيانات أو تعطيلها أو تدميرها أو تغييرها)، والمادة 158 (الاحتيال المشدد)، والاستحواذ غير القانوني على البيانات الشخصية أو نشرها، وخرق البيانات بموجب قانون حماية البيانات الشخصية (KVKK)، وانتهاك الأسرار التجارية، والمسؤولية بموجب قانون العمل، وعمليات استرداد الأموال المصرفية والمدفوعات ، بالإضافة إلى مطالبات التعويض .

ماذا يعني اختراق حساب بريد إلكتروني خاص بالشركة؟

يُعرَّف اختراق حساب البريد الإلكتروني الخاص بالشركة بأنه الوصول غير المصرح به إلى حساب بريد إلكتروني يخص موظفًا أو مديرًا أو قسم المحاسبة أو شخصًا مخولًا. ويمكن أن يحدث هذا الوصول مباشرةً عن طريق سرقة كلمة المرور، أو من خلال روابط التصيد الاحتيالي، أو شاشات تسجيل دخول مزيفة لـ Microsoft 365/Google Workspace، أو مرفقات خبيثة، أو كلمات مرور ضعيفة، أو استخدام كلمة المرور نفسها على منصات مختلفة، أو عدم تفعيل المصادقة متعددة العوامل، أو ترك حساب موظف قديم مفتوحًا، أو اختراق نظام أحد الموردين.

لا يُقدم المهاجم الذي يتمكن من الوصول إلى حساب بريد إلكتروني على ارتكاب عملية احتيال فورًا. بل يبدأ بفحص المراسلات، فيتعرف على العملاء الذين تم التواصل معهم للمطالبة بالدفع، والموردين الذين تم سداد مستحقاتهم، والفواتير المفتوحة، ومن يملك صلاحية الموافقة، وجدول دفعات الشركة، والحسابات المصرفية، واللغة المستخدمة في التواصل بين الموظفين. ثم، ينتظر اللحظة المناسبة، فيُدخل رقم حساب مصرفي دولي مزيف أو تعليمات دفع مزيفة في المراسلات الرسمية.

لذا، يُعدّ اختراق البريد الإلكتروني للشركات أكثر خطورة من حوادث "البريد العشوائي" التقليدية. إذ يستخدم المحتال سجل مراسلات الشركة الحقيقي، ونبرتها، وأرقام فواتيرها، وأسماء عملائها، وعمليات الدفع الخاصة بها. وهذا يزيد من قوة الإقناع في الهجوم. وقد يقوم موظف المحاسبة أو العميل بتحويل الأموال ظنًا منه أن البريد الإلكتروني حقيقي.

ما هو اختراق البريد الإلكتروني للشركات والاحتيال الذي يرتكبه الرئيس التنفيذي؟

يُعدّ اختراق البريد الإلكتروني للشركات (BEC) نوعًا من الاحتيال الذي ينطوي على استخدام عناوين البريد الإلكتروني الخاصة بالشركات أو عناوين بريد إلكتروني مزيفة تبدو وكأنها تابعة لشركة. في هجمات اختراق البريد الإلكتروني للشركات، يستخدم المحتالون عادةً الأساليب التالية:

ينتحلون صفة مسؤولين تنفيذيين في الشركة ويرسلون تعليمات دفع عاجلة إلى قسم المحاسبة. تُعرف هذه الطريقة باسم "الاحتيال باسم الرئيس التنفيذي". يستولون على حساب بريد إلكتروني لأحد الموردين ويرسلون رسائل تبدو وكأنها مراسلات رسمية، مثل "لقد تغيرت تفاصيل رقم الحساب المصرفي الدولي (IBAN) الخاص بنا". يرسلون فواتير مزيفة إلى العملاء باسم الشركة ويغيرون حساب الدفع. يستولون على حساب موظف في قسم المشتريات أو المالية ويتلاعبون بمراسلات الدفع الرسمية. في بعض الأحيان، ينشئون اسم نطاق وهميًا يُشبه إلى حد كبير عنوان البريد الإلكتروني الحقيقي؛ على سبيل المثال، يغيرون حرفًا واحدًا في اسم نطاق الشركة لإنشاء عنوان بريد إلكتروني يصعب اكتشافه.

تشير بيانات مكتب التحقيقات الفيدرالي إلى أنه في عمليات الاحتيال عبر اختراق البريد الإلكتروني للأعمال، يمكن للمهاجمين محاكاة الحسابات الحقيقية، وخداع الضحايا من خلال اختلافات طفيفة في اسم النطاق، والوصول إلى حسابات الشركة وتقاويمها وبياناتها من خلال رسائل البريد الإلكتروني التصيدية الموجهة.

في تركيا، تتكرر مثل هذه الحوادث، لا سيما في شركات الاستيراد والتصدير، ومدفوعات المقاولين والمقاولين من الباطن، ومراسلات الدفع بين مكاتب المحاماة وعملائها، وفواتير الموردين، والمعاملات التجارية بالعملات الأجنبية، والدفعات المقدمة وأسعار بيع العقارات، والإجراءات اللوجستية والجمركية. ورغم أن الشركة المتضرر تبدو وكأنها أرسلت الأموال طواعية، إلا أن هذه الطاعة قد شابتها ممارسات احتيالية.

ما هي الجرائم التي تنطوي عليها حوادث اختطاف البريد الإلكتروني؟

في حال اختراق حساب بريد إلكتروني خاص بالشركة، قد تنشأ أنواع متعددة من الجرائم في آن واحد. أولًا، إذا تمكن الجاني من الوصول غير القانوني إلى حساب البريد الإلكتروني أو نظام المعلومات الخاص بالشركة، فإن جريمة الوصول غير المصرح به إلى نظام معلومات، المنصوص عليها في المادة 243 من قانون العقوبات التركي، تُصبح محل نقاش. تُعاقب المادة 243 من قانون العقوبات التركي على فعل الوصول غير القانوني إلى نظام معلومات، كليًا أو جزئيًا، أو البقاء فيه.

إذا قام الجاني بتغيير حساب البريد الإلكتروني أو حذفه أو جعله غير قابل للوصول أو نقله أو تعطيل عمله، فإن المادة 244 من قانون العقوبات التركي تُطبّق. وتنص المادة 244 على أن كل من يعرقل أو يعطل عمل نظام معلوماتي يُعاقب عليه القانون؛ كما يُعاقب جنائياً كل من يُفسد أو يُدمر أو يُغير أو يجعل النظام غير قابل للوصول أو يُدخل بيانات فيه أو ينقل بيانات موجودة داخله.

يحدث الاحتيال عندما تُرسل تعليمات دفع مزورة عبر البريد الإلكتروني، أو عندما يُغيّر رقم الحساب المصرفي الدولي (IBAN)، أو عندما يُقنع الضحية (شركة أو فرد) بإرسال أموال. تنص المادة 158 من قانون العقوبات التركي على أن الاحتيال الذي يُرتكب باستخدام أنظمة المعلومات أو البنوك أو المؤسسات الائتمانية كأدوات يُعد جريمة مشددة. وبموجب المادة نفسها، تُشدد العقوبة على الاحتيال الذي يُرتكب باستخدام البنوك أو المؤسسات الائتمانية كأدوات.

لذلك، في قضايا الاحتيال عبر البريد الإلكتروني للشركات، لا ينبغي النظر فقط في "الوصول غير المصرح به إلى نظام المعلومات"، ولكن أيضًا، اعتمادًا على نتيجة الحادث، في احتمالات الاحتيال المشدد ، واستخدام نظام المعلومات كأداة ، واستخدام المؤسسات المصرفية كأداة ، وجرائم البيانات الشخصية ، وسرقة الأسرار التجارية ، وتزوير الوثائق الرسمية/الخاصة

أرقام حسابات مصرفية دولية مزيفة وفواتير مزورة

أكثر أشكال اختراق البريد الإلكتروني للشركات شيوعًا هو الاحتيال باستخدام أرقام الحسابات المصرفية الدولية المزيفة (IBAN). إذ يتمكن الجاني من الوصول إلى حساب البريد الإلكتروني للمورد أو الشركة الدائنة، أو يستخدم عنوانًا مزيفًا يُشبه إلى حد كبير اسم نطاق الشركة. ثم يرسل رسائل مثل: "لقد تغيرت بياناتنا المصرفية"، أو "يرجى تحويل المبلغ إلى الحساب التالي"، أو "تم إغلاق الحساب المذكور في الفاتورة السابقة". ولأن هذه الرسالة غالبًا ما تظهر ضمن فاتورة حقيقية، ومنتج حقيقي، وتسليم حقيقي، وسلسلة مراسلات حقيقية، يبقى الضحية غير مدرك لما يحدث.

توجد ثلاثة عناصر أساسية في التصنيف القانوني لمثل هذه الحالات. أولاً، السلوك الاحتيالي: حيث يقوم الجاني بخداع الضحية بانتحال شخصية فرد أو شركة. ثانياً، عنصر الضرر: حيث تقوم الضحية بتحويل الأموال إلى حساب خاطئ. ثالثاً، الإثراء غير المشروع: حيث يتلقى الجاني أو أطراف ذات صلة الأموال في حسابهم الخاص أو في حساب طرف ثالث.

إذا تمت المعاملة عبر التحويل المصرفي، أو التحويل الإلكتروني للأموال، أو نظام سويفت، أو من خلال مؤسسة دفع، فقد تُعتبر احتيالاً مشدداً بموجب المادة 158/1-و من قانون العقوبات التركي، باستخدام أنظمة المعلومات والبنوك/مؤسسات الائتمان كأدوات. كما تنص المديرية العامة للأمن على أن جريمة الاحتيال منصوص عليها في المادتين 157 و158 من قانون العقوبات التركي؛ وأن استخدام أنظمة المعلومات أو البنوك أو مؤسسات الائتمان كأدوات يُعد من الظروف المشددة.

ما الذي ينبغي على الشركة المتضررة فعله فوراً؟

عند اكتشاف اختراق حساب بريد إلكتروني خاص بشركة أو تحويل مبلغ مالي إلى حساب مصرفي دولي مزيف، يصبح الوقت عاملاً حاسماً. الخطوة الأولى هي الاتصال فوراً بالبنك المُرسِل للمبلغ. يجب تقديم طلب خطي وموثق إلى البنك، يُوضح أن التحويل تم نتيجة احتيال، ويُطالب بتجميد حساب المُستلِم، واسترداد المبلغ، وإبلاغ البنك الآخر فوراً. إذا تمت المعاملة عبر نظام سويفت، فيجب البدء فوراً بإجراءات استرداد المبلغ مع كل من البنك المُرسِل والبنك المُستلِم.

تتمثل الخطوة الثانية في عزل نظام البريد الإلكتروني الخاص بالشركة وقطع الوصول إلى الحساب المخترق. يجب تغيير كلمات المرور، وإغلاق الجلسات النشطة، وتفعيل المصادقة متعددة العوامل، وفحص قواعد التوجيه والفلاتر الآلية، والتحقق مما إذا كان المهاجم قد أنشأ قواعد لإخفاء رسائل البريد الإلكتروني.

الخطوة الثالثة هي الحفاظ على الأدلة. يجب عدم حذف رسائل البريد الإلكتروني، وتصدير سلسلة المراسلات، والاحتفاظ بمعلومات رأس البريد الإلكتروني، والحصول على سجلات عناوين IP، والاحتفاظ بإيصالات الدفع والفواتير ورسائل IBAN المزيفة ومعلومات النطاق وسجلات DNS وسجلات تسجيل دخول الحساب ونشاط المستخدم وتنبيهات الأمان.

الخطوة الرابعة هي تقديم شكوى جنائية عاجلة إلى النيابة العامة، مدعومة بأدلة تقنية. لا ينبغي أن تقتصر هذه العملية على مجرد ذكر "لقد تعرضنا للاحتيال"؛ بل يجب أن تتضمن الشكوى عناوين البريد الإلكتروني للمحتال، وأسماء النطاقات، وعناوين بروتوكول الإنترنت، ومعلومات الحسابات المصرفية، وإيصالات تحويل الأموال، وتواريخ المراسلات، وغيرها من الأدلة التقنية.

لماذا يُعد الحفاظ على الأدلة أمراً بالغ الأهمية؟

في قضايا الاحتيال عبر البريد الإلكتروني للشركات، يعتمد الإثبات بشكل كبير على الأدلة الرقمية. تكشف هذه الأدلة عن الخادم الذي أُرسلت منه الرسالة الإلكترونية فعلياً، ومن استخدم حساب المرسل، ومتى تم تسجيل اسم النطاق، وعناوين IP التي وصلت إلى الحساب، وما إذا كانت هناك قاعدة لإعادة توجيه البريد الإلكتروني، والحساب الذي ذهبت إليه الأموال، ومن قام بفتح حساب المستلم.

قد لا تكفي لقطة الشاشة وحدها. يجب أن يتضمن ملف الأدلة جميع البيانات التالية: رؤوس رسائل البريد الإلكتروني الأصلية، وسجلات الخادم، وسجلات تدقيق Microsoft 365/Google Workspace، وسجلات عناوين IP، وسجلات المصادقة متعددة العوامل، ومعلومات الجهاز، وإيصالات الدفع، والمراسلات المصرفية، ومعلومات WHOIS لاسم النطاق المزيف، وسجلات DNS، وتقارير الأمان (إن وجدت).

غالباً ما تحاول الشركات تنظيف الحساب بعد الهجوم، مما يؤدي إلى محو آثار المهاجم. وهذا خطأ. لا ينبغي حذف القواعد المشبوهة، والمجلدات المحذوفة، وعمليات إعادة التوجيه التلقائية، وسجلات تسجيل الدخول الأخيرة، وأذونات التطبيقات غير المصرح بها في حساب البريد الإلكتروني دون إجراء تحقيق جنائي رقمي. يجب جمع الأدلة أولاً، ثم تنفيذ عمليات التنظيف والتحسينات الأمنية.

كيف ينبغي إعداد شكوى لمكتب المدعي العام؟

يجب إعداد الشكوى الجنائية التي ستُقدم إلى النيابة العامة بتفصيل دقيق من الناحيتين الفنية والقانونية. ينبغي أن يصف الطلب بوضوح التسلسل الزمني للأحداث. في أي تاريخ تمت المراسلات مع أي شركة؟ ما هي الفاتورة أو علاقة الدفع القائمة؟ من أي عنوان بريد إلكتروني تم الإبلاغ عن تغيير رقم الحساب المصرفي الدولي (IBAN)؟ إلى أي حساب مصرفي تم تحويل الدفعة؟ متى تم اكتشاف الاحتيال؟ متى تم إخطار البنك؟ من أي عناوين IP تم الوصول إلى حساب الشركة؟ ما هي البيانات التي ربما تكون قد تأثرت؟

ينبغي أن تتضمن الشكوى الجنائية على وجه التحديد الطلبات التالية: تجميد الحساب المصرفي للمستلم، وتتبع المعاملات المالية، وتحديد هوية صاحب الحساب ومن يستخدم الحساب، وطلب تسجيلات أجهزة الصراف الآلي/الكاميرات، والحصول على وثائق فتح الحساب، وطلب سجلات IP من مزودي خدمة البريد الإلكتروني المعنيين، والتحقيق في تسجيلات النطاقات إذا تم استخدام اسم نطاق احتيالي، والتقدم بطلب إلى مزودي الخدمات الدوليين للحصول على مساعدة قانونية أو من خلال الإجراءات ذات الصلة، والشروع في اتخاذ الإجراءات القانونية ضد المشتبه بهم بموجب المواد 158 و243 و244 من قانون العقوبات التركي وغيرها من الجرائم حسب الظروف المحددة.

إذا لم يتم سحب الأموال بعد، فإن السرعة ضرورية لتجميدها وإعادتها. لذا، يجب عدم تأخير الشكوى الجنائية؛ وينبغي تقديم الطلب إلى البنك، وتقديم الشكوى إلى النيابة العامة، وجمع الأدلة الفنية في آن واحد.

طلب إلى البنك ومؤسسة الدفع

إذا تم تحويل مبلغ مالي إلى رقم حساب مصرفي دولي (IBAN) مزيف، فإن تقديم شكوى مصرفية يُعدّ إجراءً قانونياً منفصلاً. يجب على الشركة المتضررة تقديم طلب خطي فوري إلى البنك المُرسِل، توضح فيه أن التحويل تم نتيجة احتيال، وتطلب تجميد المبلغ لدى البنك المُستقبِل وبدء إجراءات استرداده. كما يُنصح بإبلاغ البنك المُستقبِل، إن أمكن.

يجب أن يتضمن الطلب إيصال الدفع، والبريد الإلكتروني المزيف، وفاتورة تثبت إجراء معاملة تجارية حقيقية، وتاريخ اكتشاف الاحتيال، ومعلومات حول طلب النيابة العامة. إذا تمت المعاملة إلى بنك أجنبي، فيجب البدء فورًا بإجراءات استرداد الأموال عبر نظام سويفت. في بعض الحالات، تُحوّل الأموال إلى حسابات مختلفة بسرعة كبيرة؛ لذا، تُعدّ الساعات الأولى حاسمة.

تُقيّم مسؤولية البنك على أساس كل حالة على حدة. قد يكون البنك قد اتبع تعليمات العميل فحسب. مع ذلك، إذا كانت هناك معاملات مشبوهة عند فتح الحساب، أو تحركات نقدية غير معتادة، أو تحذيرات من غسل الأموال، أو عمليات سحب نقدي سريعة، أو تأخيرات بعد الإبلاغ، فقد يُثار التساؤل حول واجب البنك في تقديم الرعاية اللازمة. لذا، ينبغي تسجيل مراسلات البنك وحفظها في الملفات.

هل يوجد خرق للبيانات بموجب قانون حماية البيانات الشخصية التركي (KVKK)؟

غالباً ما يؤدي اختراق حساب بريد إلكتروني خاص بالشركات إلى خرق البيانات الشخصية. وذلك لأن حسابات البريد الإلكتروني قد تحتوي على أسماء العملاء، وأرقام هواتفهم، وعناوين بريدهم الإلكتروني، وملفات العروض، والعقود، ومعلومات الموظفين، ووثائق الرواتب، وصور الهوية، وتفاصيل الحسابات المصرفية، وتفاصيل الفواتير، والمراسلات التجارية، وأحياناً بيانات شخصية حساسة.

وفقًا لقانون حماية البيانات الشخصية، يلتزم مراقب البيانات باتخاذ التدابير التقنية والإدارية اللازمة لمنع المعالجة غير القانونية للبيانات الشخصية والوصول إليها، ولضمان حفظها. كما تنص الهيئة على أنه يجوز أن يكون مراقب البيانات مسؤولاً بالتضامن مع الشخص أو المنظمة التي تعالج البيانات الشخصية نيابةً عنه عن اتخاذ التدابير اللازمة.

إذا تمكن شخص غير مصرح له من الوصول إلى حساب بريد إلكتروني، فهناك خطر الوصول إلى البيانات الشخصية. في هذه الحالة، يجب على الشركة الإجابة على الأسئلة التالية: ما هو صندوق البريد الذي تم اختراقه؟ هل كان يحتوي على بيانات شخصية؟ ما هي الفئات التي قد تتأثر؟ هل تم تصدير البيانات؟ هل تم إنشاء قاعدة لإعادة توجيه البريد الإلكتروني؟ هل تمكن المهاجم من الوصول إلى المرفقات؟ هل توجد أي بيانات شخصية حساسة؟ ما هو العدد التقديري للأفراد المتضررين؟

إذا تم تحديد أن البيانات الشخصية قد تم الحصول عليها من قبل آخرين بوسائل غير قانونية، أو إذا كان هناك خطر جدي لحدوث ذلك، فإن هناك التزامًا بإخطار مجلس حماية البيانات الشخصية.

إشعار لمدة 72 ساعة بموجب اللائحة العامة لحماية البيانات

في حال حدوث خرق للبيانات الشخصية، يجب على مسؤول حماية البيانات إخطار الهيئة فورًا وفي غضون 72 ساعة كحد أقصى من تاريخ علمه بالخرق. كما ينص الإعلان العلني الأخير الصادر عن الهيئة بوضوح، وفقًا لقرارها المؤرخ 24 يناير 2019، والمرقم 2019/10، على وجوب إخطار الهيئة في غضون 72 ساعة كحد أقصى من تاريخ العلم بالخرق.

لا يلزم إتمام المراجعة الفنية بالكامل عند تقديم هذا الإخطار. يمكن تقديم الإخطار الأولي بالمعلومات المتوفرة، ويمكن تقديم معلومات وتحديثات إضافية لاحقًا. يجب أن يتضمن الإخطار تاريخ وقوع الاختراق، وتاريخ اكتشافه، والجهات المتضررة، وفئات البيانات المتأثرة، والآثار المحتملة للاختراق، والإجراءات المتخذة، ومعلومات الاتصال بالشخص المسؤول.

قد يكون من الضروري أيضًا إخطار الأفراد المتضررين بلغة واضحة وبسيطة. وعلى وجه الخصوص، ينبغي تحذير العملاء من رسائل البريد الإلكتروني الاحتيالية المتعلقة بالدفع، وينبغي على الموردين التحقق من رسائل البريد الإلكتروني الخاصة بتغيير رقم الحساب المصرفي الدولي (IBAN)، وينبغي على الموظفين تغيير كلمات المرور الخاصة بهم، كما ينبغي عليهم توخي الحذر من مخاطر التصيد الاحتيالي.

إشعار من الشركة إلى العملاء والموردين

الأفراد الذين تربطهم علاقات تجارية بالشركة معرضون للخطر أيضاً في حال اختراق حسابات بريدهم الإلكتروني. إذ يمكن للمحتال استخدام الحساب المخترق لإرسال تعليمات دفع احتيالية إلى العملاء أو طلب معلومات سرية من الموردين. لذا، لا يكفي أن تقوم الشركة بإصلاح أنظمتها الداخلية فحسب، بل يجب أيضاً إرسال إشعارات مُراقبة إلى الجهات الخارجية المعنية.

يجب أن يوضح الإشعار الموقف بوضوح دون إثارة ذعر لا داعي له. على سبيل المثال: "تم رصد وصول غير مصرح به إلى حساب بريد إلكتروني محدد تابع لشركتنا. نرجو منكم تجاهل الرسائل الإلكترونية المرسلة باسمنا بخصوص تغييرات رقم الحساب المصرفي الدولي (IBAN)، أو تعليمات الدفع، أو المدفوعات العاجلة، دون تأكيدها أولاً عبر الهاتف." يمكن استخدام نص واضح ومفيد كهذا.

مع ذلك، لا ينبغي للشركة تقديم معلومات غير موثقة على أنها نهائية. إذا ذُكر أنه "لم تتأثر أي بيانات"، فيجب دعم ذلك بتقرير فني. وإلا، فقد تنشأ مشاكل في المستقبل تتعلق باللائحة العامة لحماية البيانات، أو التعويضات، أو علاقات الثقة.

مسؤولية الموظف والتحقيق الداخلي

يُعدّ خطأ الموظف شائعًا في حوادث اختراق البريد الإلكتروني للشركات. فقد ينقر الموظف على رابط في رسالة بريد إلكتروني تصيدية، أو يُدخل كلمة مروره على شاشة تسجيل دخول مزيفة، أو يُشارك رمز المصادقة متعددة العوامل، أو يستخدم كلمة مرور ضعيفة، أو يدخل إلى حسابه الخاص بالشركة بطريقة غير آمنة عبر جهازه الشخصي. مع ذلك، لا يُحمّل هذا الموظف المسؤولية كاملةً تلقائيًا.

يتم فحص الشركة لمعرفة ما إذا كانت توفر تدريبًا على أمن المعلومات للموظفين، وتستخدم المصادقة متعددة العوامل، ولديها سياسة كلمات مرور، وقد أنشأت آلية مصادقة ثنائية العوامل لتعليمات الدفع المشبوهة، وتتطلب التحقق عبر الهاتف لتغييرات رقم الحساب المصرفي الدولي (IBAN).

إذا ثبت أن الموظف قد تصرف بسوء نية، فقد يُفصل من العمل لسبب وجيه، وقد تُوجه إليه تهم جنائية، وقد تُطالب الشركة بالتعويض. أما إذا كان الحادث ناتجًا عن إهمال محض، فينبغي النظر في خطأ الموظف والقصور التنظيمي للشركة معًا. ويُعدّ غياب إجراءات أمن المدفوعات، لا سيما في أقسام المحاسبة والمالية، نقطة ضعف خطيرة للشركة.

مسؤولية الشركة عن الأضرار

قد يؤدي اختراق حساب بريد إلكتروني خاص بالشركة إلى إلحاق الضرر بالعميل أو المورد. على سبيل المثال، قد يدفع العميل مبلغًا ماليًا إلى حساب احتيالي بسبب رسالة بريد إلكتروني مزيفة يعتقد أنها من الشركة. في هذه الحالة، قد يجادل العميل حول ما إذا كان ينبغي اعتبار الدفعة مستحقة للشركة، وما إذا كانت الشركة هي المسؤولة، ومن يتحمل التعويضات.

في مثل هذه النزاعات، تُعدّ المعايير التالية مهمة: هل كان حساب البريد الإلكتروني فعلاً حساباً تابعاً للشركة؟ هل وُجدت ثغرة أمنية لدى الشركة سمحت باختراق الحساب؟ هل أكّد العميل التغيير غير المعتاد في رقم الحساب المصرفي الدولي (IBAN)؟ ما هي الإجراءات المعتادة لتغيير حسابات الدفع في المعاملات التجارية؟ هل حذّرت الشركة العميل مسبقاً؟ هل تأخر الإبلاغ بعد اكتشاف الاحتيال؟ هل كان هناك إجراء دفع آمن مُعتمد بين الطرفين؟

قد تُثار الشكوك حول مسؤولية الشركة عن الأضرار إذا لم تتخذ تدابير أمنية أساسية، أو لم تستخدم المصادقة متعددة العوامل (MFA)، أو لم تُفعّل ضوابط داخلية ضد تعليمات الدفع غير المعتادة، أو إذا نبهت العميل متأخرًا جدًا بعد حدوث الاختراق. في المقابل، قد تنشأ مسؤولية تقصيرية إذا قام العميل بدفع مبلغ كبير دون التأكد من تغيير رقم الحساب المصرفي الدولي (IBAN) غير المعتاد.

مخاطر الأسرار التجارية والمعلومات السرية

لا تقتصر حسابات البريد الإلكتروني للشركات على البيانات الشخصية فحسب، بل قد تحتوي أيضاً على أسرار تجارية. ويمكن أن تقع ملفات العروض، وقوائم الأسعار، وملفات العملاء، والعقود، ومعلومات المناقصات، والخطط الاستراتيجية، والرسومات الفنية، وشفرة المصدر، ومفاوضات الشراكة، والتقارير المالية، جميعها في أيدي المهاجمين.

في هذه الحالة، يتعين على الشركة إجراء تقييم إضافي للوضع من حيث الضرر الذي لحق بها من المنافسين، والمنافسة غير المشروعة، وحماية الأسرار التجارية، وانتهاكات السرية التعاقدية، وعلاقات الموردين والعملاء. إذا تم تسريب المعلومات التي تم الحصول عليها عن طريق موظف حالي أو سابق، فيمكن اللجوء إلى مزيج من قوانين العمل والمنافسة غير المشروعة والقانون الجنائي.

التدابير الوقائية الفنية والقانونية

إنّ أنجع وسيلة للوقاية من الاحتيال عبر البريد الإلكتروني للشركات هي اتخاذ تدابير وقائية قبل وقوع الحادث. لذا، ينبغي على الشركات فرض تفعيل المصادقة متعددة العوامل لجميع حسابات البريد الإلكتروني الخاصة بها. يزداد خطر الهجوم بشكل ملحوظ، لا سيما على حسابات الإدارة والمالية والمحاسبة والمبيعات والمشتريات، في حال عدم تفعيل المصادقة متعددة العوامل.

ثانيًا، يجب وضع إجراءات أمنية للدفع. في حالة تغيير رقم الحساب المصرفي الدولي (IBAN)، أو فتح حسابات موردين جديدة، أو إجراء مدفوعات بمبالغ كبيرة، أو طلب تعليمات دفع عاجلة، أو التحويلات الدولية، يجب الحصول على تأكيد عبر رقم هاتف مسجل مسبقًا. يجب أن يتم التأكيد باستخدام الرقم الموجود في سجلات الشركة، وليس الرقم المذكور في البريد الإلكتروني أو الرسالة.

ثالثًا، ينبغي استخدام تقنيات أمان البريد الإلكتروني. يجب ضبط سجلات SPF وDKIM وDMARC بشكل صحيح؛ ويجب وضع علامة على رسائل البريد الإلكتروني الواردة من مصادر خارجية؛ ويجب مراقبة النطاقات المشبوهة؛ ويجب مراجعة قواعد إعادة توجيه البريد؛ ويجب تفعيل سجلات تدقيق Microsoft 365/Google Workspace.

رابعًا، ينبغي إجراء تدريب للموظفين. يجب أن يكونوا على دراية بشاشات تسجيل الدخول المزيفة، والضغط لإجراء مدفوعات عاجلة، وعمليات الاحتيال المتعلقة بتغيير رقم الحساب المصرفي الدولي (IBAN)، وحالات الاحتيال التي ينتحل فيها الرئيس التنفيذي صفة مدير تنفيذي، ومخاطر مشاركة رموز المصادقة متعددة العوامل (MFA). ينبغي تسجيل التدريب وتكراره دوريًا.

خامساً، يجب إعداد خطة استجابة للحوادث. ينبغي تحديد من سيقوم بإعادة تعيين كلمة المرور، ومن سيتصل بالبنك، ومن سيُعدّ تقرير المدعي العام، ومن سيُجري تقييم اللائحة العامة لحماية البيانات، ومن سيُبلغ العملاء في حال اختراق حساب البريد الإلكتروني.

يُذكر أن مكتب الأمن السيبراني الأمريكي (USOM)، التابع لهيئة تكنولوجيا المعلومات والاتصالات (BTK)، يُجري جهود تنسيق وطنية ودولية للاستجابة للحوادث السيبرانية على مدار الساعة. وفي حالة الهجمات واسعة النطاق أو القطاعية أو الحرجة، ينبغي أيضًا تقييم مكتب الأمن السيبراني الأمريكي (USOM) وعمليات مركز عمليات الأمن (SOME) القطاعية ذات الصلة وفقًا لمجال نشاط الشركة.

خاتمة

لا تقتصر مخاطر اختراق حسابات البريد الإلكتروني للشركات على كونها ثغرة أمنية تقنية فحسب، بل تتعداها إلى ما هو أبعد من ذلك بكثير. فغالباً ما تترتب على هذه الحوادث عواقب وخيمة، مثل تعليمات الدفع الاحتيالية، وتغيير أرقام الحسابات المصرفية الدولية (IBAN)، والاحتيال في فواتير الموردين، وتحويل مدفوعات العملاء، وسرقة المعلومات السرية، وانتهاكات البيانات الشخصية. لذا، ينبغي على الشركات التعامل مع أمن البريد الإلكتروني ليس فقط كمسؤولية تقع على عاتق قسم تقنية المعلومات، بل كجزء لا يتجزأ من إدارة المخاطر المؤسسية والامتثال القانوني.

في حالة اختراق حساب بريد إلكتروني، يمكن ارتكاب الجرائم التالية بموجب قانون العقوبات التركي: الوصول غير المصرح به إلى نظام معلومات (المادة 243)، وإفساد البيانات أو تغييرها أو جعلها غير قابلة للوصول أو إرسالها (المادة 244)، والاحتيال المشدد من خلال استخدام أنظمة المعلومات والبنوك/مؤسسات الائتمان كأدوات (المادة 158).

تشمل الخطوات الأولية للشركة ما يلي: إخطار البنك ومؤسسة الدفع على وجه السرعة، وطلب تجميد حساب المستلم، وحفظ الأدلة، والحصول على سجلات البريد الإلكتروني، وتقديم شكوى جنائية إلى النيابة العامة مدعومة بالأدلة التقنية، وإجراء تقييم لخرق البيانات وفقًا للائحة العامة لحماية البيانات (GDPR)، وإخطار مجلس الإدارة في غضون 72 ساعة إذا لزم الأمر، وإبلاغ الأفراد المتضررين علنًا. وتنص اللائحة العامة لحماية البيانات (GDPR) صراحةً على أنه في حالات خرق البيانات الشخصية، يجب إخطار مجلس الإدارة في غضون 72 ساعة من العلم بالخرق.

ختاماً، إنّ أنجع وسيلة للحماية القانونية من الاحتيال عبر البريد الإلكتروني للشركات لا تكمن في رفع دعوى قضائية بعد وقوع الحادث، بل في إنشاء نظام رقابة داخلية قوي مسبقاً. فالمصادقة متعددة العوامل، والتحقق المزدوج من تعليمات الدفع، والتحقق عبر الهاتف من تغييرات رقم الحساب المصرفي الدولي (IBAN)، وتكوين بروتوكولات SPF-DKIM-DMARC، وتدريب الموظفين، وحفظ السجلات، وخطط الاستجابة لاختراقات البيانات، وبنود الأمان في عقود الموردين، كلها عوامل تحمي الشركة من الاحتيال وما يترتب عليه من مخاطر التعويضات والعقوبات الإدارية.