الاحتيال من قبل الرؤساء التنفيذيين / الاحتيال عبر البريد الإلكتروني التجاري والحماية القانونية للشركات

مدخل

يُعدّ انتحال شخصية الرئيس التنفيذي والاحتيال عبر اختراق البريد الإلكتروني للأعمال من أخطر أساليب الاحتيال الإلكتروني التي واجهتها الشركات في السنوات الأخيرة. في هذا النوع من الاحتيال، ينتحل الجناة شخصيات المديرين التنفيذيين، والرؤساء التنفيذيين، والمديرين الماليين، ومديري الحسابات، والموردين، والعملاء، والمحامين، وموظفي البنوك، أو شركاء الأعمال، لإقناع الموظفين بإجراء مدفوعات، أو تغيير أرقام الحسابات المصرفية الدولية (IBAN)، أو إرسال مبالغ الفواتير إلى حسابات خاطئة، أو مشاركة معلومات سرية. ورغم أن الحادثة تبدو في كثير من الأحيان مجرد "بريد إلكتروني مزيف"، إلا أنها تخفي وراءها آلية احتيال منظمة ذات مكونات تقنية ونفسية قوية.

في الممارسة الدولية، يُشار إلى هذا النوع من الجرائم غالبًا اختراق البريد الإلكتروني للأعمال( BEC) . يُعرّف مكتب التحقيقات الفيدرالي (FBI) احتيال BEC بأنه أحد أخطر الجرائم الإلكترونية، إذ يستغل اعتماد الأفراد والشركات على البريد الإلكتروني في أعمالهم اليومية، ويتم تنفيذه من خلال طلبات احتيالية تبدو وكأنها واردة من مصدر معروف. تشمل أمثلة مكتب التحقيقات الفيدرالي قيام مورد بتغيير عنوان الفواتير الخاص به، أو طلب الرئيس التنفيذي لشركة دفعًا عاجلاً، أو تغيير تعليمات الدفع عبر بريد إلكتروني احتيالي.

في تركيا، ينبغي دراسة الاحتيال من قبل الرئيس التنفيذي والاحتيال عبر البريد الإلكتروني التجاري معًا من حيث المادة 158 من قانون العقوبات التركي (الاحتيال المشدد )، والمادة 243 (الوصول غير المصرح به إلى نظام معلومات ) ، والمادة 244 (عرقلة البيانات أو تعطيلها أو تدميرها أو تغييرها ، والاستحواذ غير القانوني على البيانات الشخصية) ، وقانون حماية البيانات الشخصية (خرق البيانات) ، والمعاملات المصرفية ومعاملات الدفع ، وقانون العمل ، وواجب العناية والمسؤولية عن الأضرار التي تلحق بمديري الشركات .

لذا، بالنسبة للشركات، لا يقتصر الاحتيال من قبل الرئيس التنفيذي على قسم المحاسبة أو وحدة تكنولوجيا المعلومات فحسب، بل يشمل أيضاً نظام الموافقة على المدفوعات، وأمن البريد الإلكتروني، وتدريب الموظفين، والامتثال للائحة العامة لحماية البيانات، وعقود الموردين، والإجراءات المصرفية، وإدارة الأزمات القانونية، وكلها عناصر أساسية في مواجهة هذا الخطر.

ما هو الاحتيال الذي يمارسه الرئيس التنفيذي؟

يحدث الاحتيال باسم الرئيس التنفيذي عندما ينتحل المحتال شخصية مسؤول تنفيذي رفيع المستوى في الشركة، فيُصدر تعليمات دفع للموظفين أو يُرتب تحويلات مالية باسم الشركة. ويستخدم المحتال عادةً اسم الرئيس التنفيذي، أو رئيس مجلس الإدارة، أو المدير العام، أو المدير المالي، أو المالك. وتتضمن الرسائل في كثير من الأحيان أساليب ضغط مثل "عاجل"، و"سري"، و"أنت فقط"، و"أنا في اجتماع، لا تتصل"، أو "يجب الدفع فورًا".

في هذه الطريقة، قد يتمكن المحتال أحيانًا من السيطرة على حساب البريد الإلكتروني للمدير الحقيقي. ويستخدم أحيانًا اسم نطاق مزيفًا يُشبه إلى حد كبير اسم نطاق الشركة. على سبيل المثال، إذا كان العنوان الحقيقي ferhatkule.com ، فقد يحتوي العنوان المزيف على تغييرات في الأحرف، أو إضافة نقطة، أو استخدام أحرف مشابهة. وقد لا يلاحظ الموظف، في ظل جدول أعماله المزدحم، هذا الاختلاف الطفيف.

يكمن أخطر جانب في عمليات الاحتيال التي يقوم بها الرؤساء التنفيذيون في أنها لا تقتصر على التلاعب التقني فحسب، بل تشمل أيضاً التلاعب النفسي. إذ يستغل الجاني الضغط الهرمي، والشعور بالإلحاح، وتصور السرية، وميل الموظف إلى عدم مساءلة مديره. وتُستهدف إدارات المحاسبة والمالية والمشتريات والموارد البشرية بشكل خاص بهذه الهجمات.

على سبيل المثال، قد يتلقى محاسب في شركة بريدًا إلكترونيًا يقول: "أرسل 85,000 دولارًا أمريكيًا إلى هذا الحساب اليوم، سري، مطلوب لإتمام عقد". يحمل البريد الإلكتروني اسم الرئيس التنفيذي، والتوقيع أصلي، بل ويستخدم نبرة مشابهة للمراسلات السابقة. إذا قام الموظف بالدفع دون تأكيده هاتفيًا، فغالبًا ما يتم تحويل الأموال بسرعة إلى حسابات مختلفة، مما يصعب استردادها.

ما هو الاحتيال عبر البريد الإلكتروني التجاري (BEC Fraud)؟

لا يقتصر الاحتيال عبر اختراق البريد الإلكتروني للشركات (BEC) على انتحال شخصية الرئيس التنفيذي، بل هو نموذج احتيالي أوسع نطاقًا يشمل التلاعب برسائل البريد الإلكتروني للشركات، ومراسلات الموردين، وعمليات الفوترة، وتأكيدات الدفع، وعلاقات العملاء. ويوضح مكتب التحقيقات الفيدرالي (FBI) أنه في هجمات BEC، يمكن للمهاجمين انتحال حسابات البريد الإلكتروني أو مواقع الويب، والوصول إلى حسابات الشركات من خلال التصيد الاحتيالي الموجه، وزرع برامج خبيثة في مراسلات الدفع.

تشمل الأمثلة الشائعة للاحتيال عبر اختراق البريد الإلكتروني للأعمال ما يلي: اختراق حساب بريد إلكتروني حقيقي لمورد وإرسال رسالة تفيد بتغيير بياناتنا المصرفية. إرسال فاتورة مزيفة إلى أحد عملاء الشركة، وتحويل المبلغ إلى حساب المحتال. إرسال أمر دفع عاجل إلى القسم المالي، متظاهرًا بأنه من مدير. إرسال رسالة مزيفة إلى قسم الموارد البشرية تدّعي تغيير حساب رواتب أحد الموظفين. طلب ​​وديعة أو رسوم قانونية أو تكاليف مشروع أو دفعات مقدمة بانتحال صفة محامٍ أو مستشار أو شريك تجاري.

غالباً ما تكون هجمات الاحتيال عبر البريد الإلكتروني التجاري نتيجةً لمراقبة مطولة. لا يبادر المهاجم بالتحرك فوراً بعد اختراقه صندوق البريد الإلكتروني للشركة، بل يبدأ بفحص أنماط الدفع، والموردين، والفواتير، والموظفين المصرح لهم، ولغة التواصل الداخلي. ثم يعترض المراسلات تحديداً عند موعد الدفع المتوقع. لهذا السبب، غالباً ما ينتاب الضحية الشك بعد أيام أو أسابيع من وقوع الحادث.

ما هي الجرائم التي يشكلها الاحتيال من قبل الرئيس التنفيذي والاحتيال عبر البريد الإلكتروني التجاري بموجب القانون التركي؟

في قضايا الاحتيال التي تستهدف الرؤساء التنفيذيين واختراق البريد الإلكتروني للأعمال، يُعدّ الاحتيال المشدد. وتشير معلومات المديرية العامة للأمن بشأن الاحتيال إلى أن جريمة الاحتيال منصوص عليها في المادتين 157 و158 من قانون العقوبات التركي، وأن استخدام أنظمة المعلومات أو البنوك أو المؤسسات الائتمانية كأدوات يُعدّ احتيالًا مشددًا.

في قضايا الاحتيال التي يرتكبها الرؤساء التنفيذيون، يقوم الجاني بخداع الضحية من خلال سلوك احتيالي، محققًا بذلك ميزة غير عادلة لنفسه أو لطرف ثالث على حساب الضحية أو الشركة. ولأن هذا النوع من الاحتيال يُرتكب غالبًا باستخدام البريد الإلكتروني، أو أسماء نطاقات وهمية، أو التحويلات المصرفية، أو التحويلات الإلكترونية، أو نظام سويفت، أو مؤسسات الدفع، أو أدوات الاتصال الرقمي، فإنه يندرج ضمن فئة الجرائم المشددة بموجب المادة 158 من قانون العقوبات التركي.

إذا تمكن الجاني من الوصول غير المصرح به إلى حساب البريد الإلكتروني أو نظام الشركة، في المادة 243 من قانون العقوبات التركي المتعلقة بالوصول غير المصرح به إلى نظام معلومات . وتعاقب المادة 243 من قانون العقوبات التركي على فعل الوصول غير القانوني إلى نظام معلومات أو البقاء فيه كليًا أو جزئيًا.

إذا قام الجاني بحذف رسائل بريد إلكتروني، أو إنشاء قواعد إعادة توجيه، أو تعديل ملفات الفواتير، أو التلاعب بالمعلومات المصرفية، أو تصدير البيانات، أو جعل البيانات غير قابلة للوصول/معدلة في النظام، البند 244 من قانون العقوبات التركي . ينظم هذا البند أفعال عرقلة أو تعطيل عمل نظام المعلومات، بالإضافة إلى إتلاف البيانات أو تدميرها أو تغييرها أو جعلها غير قابلة للوصول، أو إدخال بيانات جديدة في النظام، أو إرسال البيانات الموجودة إلى جهة أخرى.

علاوة على ذلك، إذا كانت البيانات الشخصية موجودة في صندوق بريد إلكتروني، وتم الحصول عليها من قبل أفراد غير مصرح لهم، فقد تُثار جرائم الاستحواذ غير القانوني على البيانات الشخصية أو نشرها. وفي حال الحصول على أسرار تجارية، أو قوائم عملاء، أو عقود، أو معلومات مالية، فقد تنشأ أيضًا جرائم المنافسة غير المشروعة وانتهاك الأسرار التجارية.

عمليات الاحتيال المتعلقة بأرقام الحسابات المصرفية الدولية المزيفة والمخاطر التي تواجه الشركات

السيناريو الأكثر شيوعًا في حوادث اختراق البريد الإلكتروني للأعمال هو الاحتيال باستخدام أرقام حسابات مصرفية دولية مزيفة. إذ يتمكن الجاني من الوصول إلى حساب البريد الإلكتروني الخاص بالمورد أو العميل الحقيقي للشركة، أو يستخدم اسم نطاق مزيفًا يشبهه إلى حد كبير. ثم يرسل رسائل مثل "لقد تغير حسابنا المصرفي"، أو "سيتم الدفع إلى رقم الحساب المصرفي الدولي الجديد"، أو "تم إغلاق الحساب السابق".

في هذا النوع من الاحتيال، تبدو الشركة الضحية وكأنها أرسلت الأموال طواعيةً. إلا أن هذه الإرادة تُنتهك بفعل سلوك احتيالي. إذ يخدع المحتال الشركة مستغلاً علاقة الثقة، والمراسلات التجارية السابقة، وتوقع الدفع. لذا، لا يُعد هذا خطأً بسيطاً كـ"أرسلنا المال إلى حساب خاطئ"؛ بل في معظم الحالات، يُصنف كاحتيال مُنظم.

في حالات تزوير أرقام الحسابات المصرفية الدولية (IBAN)، إذا لم يتم اتخاذ إجراء سريع، يمكن تحويل الأموال إلى حسابات أخرى، أو سحبها نقدًا، أو تحويلها إلى عملات مشفرة في غضون دقائق. لذا، يجب على الشركة تقديم طلب خطي فوري إلى البنك، وطلب تجميد حساب المستفيد، وطلب إخطار عاجل للبنك الآخر، وإعداد شكوى لدى النيابة العامة في الوقت نفسه.

ما الذي يجب فعله في الساعة الأولى عند اكتشاف عملية احتيال؟

عند اكتشاف أي عملية احتيال باسم الرئيس التنفيذي أو احتيال عبر البريد الإلكتروني التجاري، يُعدّ الوقت عاملاً حاسماً. الخطوة الأولى هي الاتصال فوراً بالبنك الذي أجرى التحويل. لا يكفي إبلاغ البنك هاتفياً، بل يجب توثيق الحادثة كتابياً، عبر البريد الإلكتروني، أو من خلال طلب من الفرع، أو عبر نظام البريد الإلكتروني المسجل. يجب أن يوضح الطلب أن العملية كانت احتيالية، وأن يطلب تجميد حساب المستلم، واسترداد الأموال، وإخطار البنك الآخر على وجه السرعة، وطلب مراجعة العملية المشبوهة.

الخطوة الثانية هي تأمين حسابات البريد الإلكتروني ذات الصلة. يجب تغيير كلمات المرور، وإغلاق جميع الجلسات النشطة، وتفعيل المصادقة متعددة العوامل، والتحقق من قواعد إعادة التوجيه التلقائي، والتحقق مما إذا كان المهاجم قد أنشأ أي مجلدات أو قواعد بريد مخفية.

الخطوة الثالثة هي حفظ الأدلة. لا ينبغي حذف رسائل البريد الإلكتروني؛ بل يجب استرجاع معلومات رأس الرسالة الأصلية، وحفظ إيصالات الدفع، والاحتفاظ بأي إشعارات احتيالية متعلقة برقم الحساب المصرفي الدولي (IBAN)، ومعلومات اسم النطاق، وسجلات عناوين IP، وسجلات الخادم، وتنبيهات الأمان. يمكن التقاط لقطات شاشة، ولكنها قد لا تكون كافية وحدها. فصيغة البريد الإلكتروني الأصلية، ومعلومات رأس الرسالة، وسجلات النظام أكثر قيمة بكثير.

الخطوة الرابعة هي إعداد الملف الفني والقانوني لشكوى المدعي العام. وكلما تم إعداد الطلب بشكل أسرع وأكثر استنادًا إلى الأدلة، زادت احتمالية تجميد الحساب المصرفي وتتبع الأموال.

تقديم طلب إلى البنك واسترداد أموالك

في حالات الاحتيال باسم الرئيس التنفيذي/اختراق البريد الإلكتروني للأعمال، تصبح الإجراءات المصرفية بالغة الأهمية بعد تحويل الأموال. يجب على الشركة طلب إشعار فوري من البنك المُرسِل إلى البنك المُستقبِل. في التحويلات الإلكترونية/التحويلات السلكية، إذا كان حساب المُستقبِل داخل نفس البلد، فإن احتمال حدوث حظر يُعدّ سباقًا مع الزمن. في معاملات سويفت، يجب تقديم طلب "استرداد" أو رد أموال بسرعة إلى كل من البنك المُراسِل والبنك المُستقبِل.

يجب أن يتضمن الطلب المقدم إلى البنك المعلومات التالية: تاريخ ووقت المعاملة، والمبلغ المرسل، ورقم الحساب المصرفي الدولي (IBAN) للمستلم، واسم المستلم، ووصف الدفع، والبريد الإلكتروني الاحتيالي، والمراسلات مع المورد الشرعي، وعنوان البريد الإلكتروني المزيف، والوقت الذي علمت فيه الشركة بالاحتيال، ومعلومات تفيد بأنه سيتم تقديم شكوى إلى مكتب المدعي العام.

تُقيّم مسؤولية البنك على أساس كل حالة على حدة. قد يكون البنك قد اتبع تعليمات العميل؛ ومع ذلك، إذا كانت هناك مؤشرات على معاملات مشبوهة، أو تحركات نقدية سريعة بشكل غير معتاد، أو قصور في فتح الحساب، أو مخاطر غسل الأموال، أو رد فعل غير كافٍ بعد الإبلاغ، فقد يُثار التساؤل حول واجب العناية الذي يلتزم به البنك بشكل منفصل. لذلك، يجب الاحتفاظ بمراسلات البنك في السجلات.

كيف ينبغي إعداد شكوى جنائية لتقديمها إلى مكتب المدعي العام؟

يجب أن تتضمن الشكاوى المتعلقة بانتحال شخصية الرئيس التنفيذي والاحتيال عبر البريد الإلكتروني التجاري معلومات فنية مفصلة عند تقديمها إلى النيابة العامة. ولا يكفي مجرد ذكر عبارة "لقد تعرضنا للاحتيال". يجب أن تصف الشكوى بوضوح تسلسل الأحداث، والعلاقة التجارية الحقيقية، والبريد الإلكتروني المزور، وتعليمات الدفع، والمبلغ المُرسل، وحساب المستلم، والطلب المُقدم إلى البنك، وأي أدلة فنية.

يجب تقييم الطلبات التالية في العريضة: تجميد الحساب المصرفي للمستلم، وطلب هوية صاحب الحساب ووثائق فتح الحساب، وتحديد حركات تحويل الأموال اللاحقة، والحصول على تسجيلات أجهزة الصراف الآلي/الكاميرات، وطلب سجلات IP من مزودي خدمة البريد الإلكتروني المعنيين، والتحقق من سجلات النطاق إذا تم استخدام اسم نطاق مزيف، وتحديد سجلات IP والجهاز إذا كان هناك وصول غير مصرح به إلى حساب البريد الإلكتروني الحقيقي، وإجراء تحقيق ضد المشتبه بهم بموجب المواد 158 و243 و244 من قانون العقوبات التركي والجرائم الأخرى ذات الصلة.

إذا كانت المعاملة تتضمن دفعة دولية، فقد تنشأ إمكانية الاستعانة بمساعدة قانونية دولية أثناء إجراءات التقاضي. لذا، يجب إرفاق رسائل نظام سويفت، ومعلومات البنك المراسل، وبلد البنك المستلم، ورقم مرجع الدفعة، وجميع المراسلات المصرفية بالطلب.

جانب اللائحة العامة لحماية البيانات: إذا تم اختراق حساب بريد إلكتروني، فهل يُعتبر ذلك خرقًا للبيانات؟

في حالات الاحتيال التي تستهدف الرؤساء التنفيذيين واختراق البريد الإلكتروني للشركات، إذا تم اختراق حساب بريد إلكتروني خاص بالشركة، فينبغي أخذ احتمالية اختراق البيانات الشخصية بعين الاعتبار بجدية. وذلك لأن صناديق بريد الشركات قد تحتوي على أسماء العملاء، وأرقام هواتفهم، وعناوين بريدهم الإلكتروني، ومعلومات الفواتير، والعقود، ومعلومات الموظفين، وتفاصيل الحسابات المصرفية، ووثائق الهوية، وملفات العروض، وأحيانًا بيانات شخصية حساسة.

وفقًا لقانون حماية البيانات الشخصية (KVKK)، يلتزم مراقب البيانات باتخاذ تدابير فنية وإدارية لضمان مستوى مناسب من الأمان لمنع المعالجة غير القانونية للبيانات الشخصية، والوصول غير القانوني إليها، ولضمان حفظها. كما ينص القانون على أنه في حال معالجة البيانات من قبل جهات أخرى نيابةً عن مراقب البيانات، فقد يكون مراقب البيانات مسؤولاً بالتضامن مع تلك الجهات عن التدابير اللازمة.

إذا تمكن مهاجم من الوصول إلى حساب بريد إلكتروني وبيانات شخصية، فلا يمكن للشركة تجاهل تبعات اللائحة العامة لحماية البيانات (GDPR) بالقول "إنها مجرد عملية احتيال". يجب إعداد تقرير فني لفحص صندوق البريد الذي تم اختراقه، ونطاق تاريخ الوصول، وفئات البيانات المعرضة للخطر، وما إذا تم تصدير أي بيانات.

إذا تم الحصول على البيانات الشخصية من قبل آخرين بوسائل غير مشروعة، فإن مراقب البيانات ملزم بإخطار صاحب البيانات والمجلس في أسرع وقت ممكن. هذا الالتزام منصوص عليه صراحةً في معلومات أمن البيانات الخاصة بهيئة حماية البيانات الشخصية.

إشعار بشأن اللائحة العامة لحماية البيانات (GDPR) خلال 72 ساعة

في حال حدوث خرق للبيانات الشخصية، أو إذا ثبت بشكل قاطع حصول أشخاص غير مصرح لهم على بيانات شخصية، يصبح إخطار مجلس حماية البيانات الشخصية ضروريًا. ووفقًا للإعلانات العامة الحالية لقانون حماية البيانات الشخصية (KVKK)، يلتزم مراقبو البيانات بإخطار المجلس دون تأخير وفي غضون 72 ساعة كحد أقصى من تاريخ علمهم بالخرق، وذلك وفقًا لقرار المجلس الصادر بتاريخ 24 يناير 2019، والمرقم 2019/10.

تُعدّ فترة الـ 72 ساعة بالغة الأهمية في حوادث اختراق البريد الإلكتروني للأعمال، إذ غالبًا ما تُركّز الشركات في المراحل الأولى على الخسائر المالية فقط. مع ذلك، في حال حدوث وصول غير مُصرّح به إلى حساب البريد الإلكتروني، فإن البيانات الشخصية تكون مُعرّضة للخطر أيضًا. في هذه الحالة، حتى مع استمرار التحقيق التقني، قد يتم إرسال إشعار مبدئي بالمعلومات المُتاحة، وقد يلزم تقديم معلومات إضافية لاحقًا.

ينبغي أن تكون الإشعارات الموجهة إلى الأفراد المعنيين واضحة وموجزة وغنية بالمعلومات. على سبيل المثال، يمكن إبلاغ العملاء بأنه لا ينبغي اعتبار رسائل البريد الإلكتروني المتعلقة بتغييرات رقم الحساب المصرفي الدولي (IBAN) أو تعليمات الدفع الواردة نيابةً عن الشركة ذات صلة دون تأكيد هاتفي. وفي حال تعرض بيانات العملاء للاختراق، يجب توضيح فئات البيانات المعرضة للخطر بشكل واضح.

مسؤولية الشركة تجاه عملائها ومورديها

في حوادث اختراق البريد الإلكتروني للشركات، قد يقع الضرر أحيانًا على الشركة نفسها، وأحيانًا على العميل، وأحيانًا على المورّد. على سبيل المثال، إذا تم اختراق حساب بريد إلكتروني لشركة ما، وأرسل محتال تعليمات دفع مزيفة إلى عميل من ذلك الحساب، يقوم العميل بتحويل الأموال إلى المحتال. في هذه الحالة، قد يقول العميل: "لقد دفعتُ بناءً على ثقة في البريد الإلكتروني من الشركة".

في مثل هذه النزاعات، تُعدّ الأسئلة التالية مهمة: هل أُرسل البريد الإلكتروني من حساب الشركة الفعلي؟ هل تم اختراق حساب الشركة نتيجة ثغرة أمنية؟ هل كان نظام المصادقة متعددة العوامل مُفعّلاً؟ هل أكّد العميل تغيير رقم الحساب المصرفي الدولي (IBAN) غير المعتاد عبر الهاتف؟ هل وُجدت آلية لتغيير حساب الدفع بين الطرفين؟ هل حذّرت الشركة العملاء فور علمها بالاحتيال؟ هل قام العميل أيضاً بواجبه في توفير الحماية اللازمة؟

إذا تبيّن وجود ثغرة أمنية لدى الشركة، أو إذا تم إخطار العملاء متأخرًا، أو إذا تم إرسال تعليمات الدفع من حساب الشركة الفعلي، فقد تُثار تساؤلات حول مسؤولية الشركة عن الأضرار. في المقابل، إذا قام العميل بدفع مبلغ كبير وتغيير غير معتاد في رقم الحساب المصرفي الدولي (IBAN) دون أي تأكيد، فقد يُعتبر ذلك إهمالًا مساهمًا.

مسؤولية الموظف والرقابة الداخلية

يُعدّ خطأ الموظف شائعًا في قضايا الاحتيال التي يرتكبها الرؤساء التنفيذيون. فقد يُنفّذ موظفو المحاسبة أمر دفع عاجل دون تدقيق، أو قد يُهمل موظف الشؤون المالية تأكيد تغيير رقم الحساب المصرفي الدولي (IBAN) عبر الهاتف، أو قد ينقر موظف على رابط تصيّد احتيالي ويُفشي كلمة مرور بريده الإلكتروني. مع ذلك، لا يُعفي خطأ الموظف الشركة تلقائيًا من مسؤوليتها القانونية.

يجب أن تكون الشركة قد أنشأت آليات الرقابة الداخلية التالية: التوقيع المزدوج للمدفوعات ذات القيمة العالية، والتأكيد عبر رقم الهاتف المسجل لتغييرات رقم الحساب المصرفي الدولي (IBAN)، وموافقة المدير الثاني على طلبات الدفع العاجلة، وقنوات التحقق غير البريد الإلكتروني، والمصادقة متعددة العوامل، والتدريب المنتظم على الأمن السيبراني للموظفين، وإجراءات تعليمات الدفع، وسياسة أمان البريد الإلكتروني.

إذا لم تكن الشركة قد وضعت هذه الإجراءات على الإطلاق، فلا يمكن اعتبار الحادثة ناتجة عن إهمال الموظف فقط. ومع ذلك، إذا تصرف الموظف بسوء نية أو خالف تعليمات واضحة، فقد تنشأ إجراءات تأديبية، أو فصل من العمل، أو دعاوى تعويض/استرداد بموجب قانون العمل.

واجب العناية لأعضاء مجلس إدارة الشركة

ينبغي أيضًا مراعاة إدارة مخاطر الاحتيال من قبل الرؤساء التنفيذيين ضمن نطاق واجب العناية الواجبة للمديرين التنفيذيين في الشركة. وتُعدّ إجراءات أمن البريد الإلكتروني والدفع ذات أهمية خاصة للشركات التي تتعامل مع تحويلات مالية ضخمة، أو مدفوعات دولية، أو مدفوعات منتظمة للموردين، أو تعالج بيانات العملاء، مما يجعلها جزءًا لا يتجزأ من إدارة مخاطر الشركة.

يجب على الهيئة الإدارية ضمان احتواء أنظمة الدفع في الشركة على مصفوفة تفويض، ونماذج توقيع، وحدود موافقة البنوك، وإجراءات أمنية تقنية، وتدريب للموظفين. وقد لا يكون التذرع بـ"كان ينبغي على المحاسب توخي الحذر" كافيًا في حال غياب آليات الرقابة الأساسية.

لذلك، ينبغي توثيق الإجراءات المتخذة ضد الاحتيال الذي يرتكبه الرؤساء التنفيذيون في الشركات بقرار إداري؛ وينبغي وضع إجراءات الموافقة على الدفع وسياسة أمن المعلومات وخطة الاستجابة للحوادث كتابةً.

التدابير التي ينبغي على الشركات اتخاذها للحماية القانونية

إنّ أنجع وسيلة لحماية الشركات من الاحتيال عبر البريد الإلكتروني التجاري (BEC) والاحتيال الذي يرتكبه الرؤساء التنفيذيون هي نظام يُنشأ قبل وقوع الحادث، لا بعده. أولى هذه الوسائل هي تفعيل المصادقة متعددة العوامل لجميع حسابات البريد الإلكتروني المهمة. يجب أن تكون المصادقة متعددة العوامل إلزامية لإدارات الإدارة والمالية والمحاسبة والمشتريات والموارد البشرية والمبيعات. كما يوصي مكتب التحقيقات الفيدرالي (FBI) بتفعيل المصادقة الثنائية أو متعددة العوامل والتحقق بشكل مستقل من تغييرات الدفع للحماية من الاحتيال عبر البريد الإلكتروني التجاري.

أما الاحتياط الثاني فيتعلق بإجراءات الدفع. لا يجوز قبول تغييرات رقم الحساب المصرفي الدولي (IBAN) عبر البريد الإلكتروني فقط. يجب الحصول على تأكيد عبر رقم الهاتف المسجل للمورد أو العميل؛ ولا يجوز استخدام الرقم الجديد الوارد في البريد الإلكتروني. بالنسبة للمدفوعات ذات القيمة العالية، يجب الحصول على موافقة اثنين على الأقل من المسؤولين.

الإجراء الثالث هو إعداد أمان البريد الإلكتروني. يجب إعداد سجلات SPF وDKIM وDMARC بشكل صحيح؛ وينبغي مراقبة أسماء النطاقات المزيفة؛ ويجب الإشارة إلى رسائل البريد الإلكتروني الواردة من مصادر خارجية بعلامة تحذير؛ وينبغي مراجعة قواعد إعادة التوجيه المشبوهة؛ وينبغي تفعيل سجلات تدقيق Microsoft 365 أو Google Workspace.

الإجراء الرابع هو تدريب الموظفين. ينبغي أن يتعلم الموظفون سيناريوهات الاحتيال المتعلقة بالرؤساء التنفيذيين، وإشعارات أرقام الحسابات المصرفية الدولية المزيفة، وضغط الاستعجال، وتشابه النطاقات، وصفحات التصيد الاحتيالي، ومخاطر مشاركة رموز المصادقة متعددة العوامل. يجب ألا يقتصر التدريب على مرة واحدة، بل يجب دعمه بتدريبات واختبارات دورية.

يتمثل الإجراء الخامس في إضافة بنود الدفع الآمن إلى اتفاقيات الموردين والعملاء. ويجوز للطرفين الاتفاق على أن أي تغييرات في الحسابات المصرفية لن تكون سارية المفعول إلا بتأكيد كتابي موقع من ممثل معتمد، عبر البريد الإلكتروني المسجل (KEP)، أو بتوقيع إلكتروني آمن، أو بتأكيد هاتفي مسجل.

الملف الذي تحتاجه الشركة للاستعداد بعد الحادث

في حال وقوع حادثة احتيال باسم الرئيس التنفيذي أو اختراق بريد إلكتروني تجاري، يجب على الشركة إعداد تقرير شامل عن الحادثة. ينبغي أن يتضمن هذا التقرير طلبات البنوك، وإيصالات الدفع، ورسائل البريد الإلكتروني المزورة، والمراسلات الأصلية، ومعلومات رأس البريد الإلكتروني، وسجلات عناوين IP، والتقارير الفنية، والشكاوى الجنائية المقدمة إلى النيابة العامة، وملاحظات تقييم اللائحة العامة لحماية البيانات (GDPR)، وإشعارات العملاء، وقرارات الإدارة، والإجراءات التصحيحية المتخذة.

يُعدّ هذا الملف بالغ الأهمية ليس فقط لمكتب المدعي العام، بل أيضاً للمطالبات المحتملة بالتعويض، والنزاعات المصرفية، وطلبات التأمين، ومراجعات اللائحة العامة لحماية البيانات (GDPR)، وعمليات التدقيق الداخلي. يجب أن تكون الشركة قادرة على توثيق الإجراءات التي اتخذتها بعد الحادث.

خاتمة

يُعدّ الاحتيال باسم الرئيس التنفيذي والاحتيال عبر اختراق البريد الإلكتروني للأعمال نوعين من الاحتيال ذي مكونات تقنية ونفسية قوية، يستهدفان العمليات التجارية للشركات القائمة على الثقة في البريد الإلكتروني. غالبًا ما ينتحل الجاني شخصية مسؤول تنفيذي في الشركة، أو مورد، أو عميل، أو مسؤول مالي، ويصدر تعليمات دفع احتيالية، أو يُغيّر أرقام الحسابات المصرفية الدولية (IBAN)، أو يتلاعب بالمراسلات التجارية المشروعة. لذا، لا يقتصر الأمر على مجرد "إرسال أموال إلى حساب خاطئ"، بل يُصنّف في معظم الحالات كجريمة احتيال إلكتروني مُشدّدة.

في القانون التركي، يمكن تقييم هذه الأحداث بموجب المادة 158 من قانون العقوبات التركي (TCK) المتعلقة بالاحتيال المشدد باستخدام أنظمة المعلومات والبنوك / المؤسسات الائتمانية كأدوات؛ والمادة 243 المتعلقة بالوصول غير المصرح به إلى نظام معلومات؛ والمادة 244 المتعلقة بتغيير البيانات أو جعلها غير قابلة للوصول أو نقلها.

تشمل الإجراءات الأولية للشركة إخطار البنك فورًا، وطلب تجميد حساب المستلم، وحفظ الأدلة، والحصول على سجلات البريد الإلكتروني، وإعداد تقرير فني، وتقديم شكوى جنائية إلى النيابة العامة، والشروع في إجراءات اللائحة العامة لحماية البيانات (GDPR) في حال وجود احتمال لخرق البيانات الشخصية. وبموجب اللائحة العامة لحماية البيانات، تلتزم الشركة باتخاذ التدابير الفنية والإدارية اللازمة لمنع الوصول غير القانوني إلى البيانات الشخصية وضمان أمنها.

ختامًا، يُعدّ نظام أمان المدفوعات والبريد الإلكتروني المُنشأ قبل وقوع الحادث أقوى وسيلة دفاع لدى الشركات ضدّ الاحتيال عبر البريد الإلكتروني التجاري والاحتيال من قِبل الرئيس التنفيذي. فالشركات التي تُطبّق المصادقة متعددة العوامل، وإجراءات الدفع المُدقّقة، والتحقق عبر الهاتف عند تغيير رقم الحساب المصرفي الدولي (IBAN)، وتكوين بروتوكولات SPF-DKIM-DMARC، وتدريب الموظفين، وشروط الدفع الآمنة في عقود الموردين، وخطة الاستجابة للحوادث، تُقلّل من مخاطر الاحتيال وتُدير مسؤولياتها القانونية بفعالية أكبر عند وقوع أي حادث.