لم تعد الجرائم الإلكترونية المرتبطة بتبديل شرائح SIM مشكلة تقتصر على البنوك. فقد سلط حكم قضائي صدر مؤخراً في إسبانيا الضوء أيضاً على شركات الاتصالات، حيث تطالب المحاكم الآن بمستوى أعلى بكثير من الأمن من جانبها عندما تُسهّل عملياتها عمليات الاحتيال المالي.
في بيئة تُدار فيها الشؤون المالية الشخصية بالكامل تقريبًا عبر الهاتف المحمول ، فإن قرار محكمة الدرجة الأولى رقم 44 في مدريد بمثابة تحذير واضح: إذا تمت معالجة بطاقة SIM قابلة للنقل أو مكررة دون ضوابط كافية، مما يسمح بتفريغ الحسابات المصرفية، فقد ينتهي الأمر بشركة الاتصالات بدفع الفاتورة جنبًا إلى جنب مع البنك.
ما حدث في قضية مدريد: نقل رقم هاتف مزيف وسرقة أكثر من 4.000 يورو
تبدأ القضية التي تنظر فيها محكمة مدريد بنقل رقم هاتف احتيالي من شركة موفيستار إلى شركة لوي (إحدى علامات فودافون التجارية) دون طلب من صاحب الخط. تمكن طرف ثالث من إصدار شريحة SIM مكررة باسم المتضرر وتفعيلها على خط جديد باسمه، دون أن يتحقق أحد من هويته بشكل موثوق.
بعد أن أصبح الخط تحت سيطرة المجرمين، تمكنوا من استلام الرسائل النصية القصيرة ورموز التحقق اللازمة للوصول إلى الخدمات المصرفية الإلكترونية لشركة WiZink. قاموا بتغيير بيانات تسجيل الدخول، وطلبوا كلمات مرور جديدة، وأجروا عدة معاملات باستخدام بطاقتي ائتمان مرتبطتين بالعميل.
بلغ إجمالي المعاملات غير المصرح بها 4.047,91 يورو، موزعة على ثلاث عمليات منفصلة. وكان العميل مسافراً إلى الخارج وقت وقوع الحادث، ولذلك لم يكن لديه حتى إمكانية الوصول إلى خط هاتفه الأصلي، الذي استولى عليه المحتالون.
اكتشف الطرف المتضرر معاملات غير مصرح بها على حسابات أخرى، فأبلغ الشرطة والجهات المعنية ( استرداد الأموال ). في البداية، قامت شركة WiZink برد المبالغ المدفوعة، لكنها أعادت تفعيلها لاحقًا، مدعيةً أنها عملية احتيال من طرف ثالث، ونفت مسؤوليتها عن ذلك.
رداً على هذا الوضع، تولت جمعية مستخدمي الخدمات المالية (أسوفين) الدفاع عن المستهلكين ورفعت دعوى قضائية ضد كل من شركتي ويزينك وفودافون-لوي، بحجة أن الاحتيال قد وقع نتيجة ثغرات أمنية خطيرة في نقل الأرقام والتحقق من صحة المدفوعات . وفي نهاية المطاف، حكم القاضي لصالحهم في جميع النقاط.
لماذا توجه المحاكم أصابع الاتهام إلى المشغلين: إجراءات التحقق من الهوية "المتساهلة للغاية"
من أبرز عناصر الحكم حدة انتقاد المحكمة لبروتوكولات شركة لوي. فقد اعتبر الحكم أن الشركة لم تشترط التحقق الفعال من الهوية عند معالجة طلبات نقل الأرقام أو عند إرسال بطاقة SIM البديلة ، باستثناء تقديم عنوان بريدي لإرسال البطاقة إليه، وهي مشكلة مرتبطة بقصور في عملية التحقق من هوية المشغل.
وصف القاضي الشروط بأنها "متساهلة للغاية" مقارنةً بشركات الاتصالات الأخرى، وأكد أنه عمليًا، يمكن لأي شخص الحصول على شريحة SIM الجديدة على العنوان المُقدّم ، دون الحاجة إلى إثبات أنه صاحب الحساب. واعتبرت المحكمة هذا "ثغرة أمنية جسيمة" في وقتٍ تُعدّ فيه الهواتف المحمولة مفتاح الوصول إلى الخدمات المصرفية عبر الإنترنت.
ويشير التقرير أيضاً إلى أن شركة فودافون لديها سجلٌّ من العقوبات المتعلقة بسرقة الهوية وتزوير شرائح SIM . وقد فرضت الوكالة الإسبانية لحماية البيانات (AEPD) غرامةً على الشركة قدرها أربعة ملايين يورو لسماحها بإصدار شرائح SIM بأسماء أطراف ثالثة، مما أدى إلى عمليات احتيال مصرفي متعددة.
في هذه القضية الجديدة، ترى المحكمة وجود علاقة سببية مباشرة بين إهمال المشغل ونجاح عملية الاحتيال . ويستنتج القاضي أنه لولا التعامل مع عملية نقل الرقم دون ضمانات، لما كان من الممكن السيطرة على الخط، أو اعتراض رموز الرسائل النصية القصيرة، أو الوصول إلى الخدمات المصرفية الإلكترونية للعميل.
ويشير الحكم أيضاً إلى أنه على الرغم من معرفة انتشار تبديل شرائح SIM لسنوات ، لم يتم اتخاذ تدابير كافية لحماية عملية نقل البيانات وإصدار شرائح SIM مكررة، مما يزيد من سوء تقييم سلوك المشغل.
مسؤولية WiZink: الإخفاقات في التحقق القوي من المدفوعات
لم يكن وضع البنك جيداً أيضاً. فقد رأت المحكمة أن شركة WiZink لم تلتزم بمتطلبات التحقق الصارمة من هوية العملاء ، مما يُبرز أهمية التحقق عبر صورة السيلفي . وتشترط لوائح خدمات الدفع في الاتحاد الأوروبي الجمع بين عدة عناصر أمنية مستقلة (المعرفة، والحيازة، والبيانات البيومترية، على سبيل المثال).
وبالتحديد، يُشير الحكم إلى أن البنك فشل في اكتشاف اختراق عنصر "الحيازة" : إذ لم يعد الجهاز المُستخدم للتحقق من صحة المعاملات في حوزة المالك الشرعي، بل في حوزة المُحتال الذي قام بنسخ شريحة SIM. وعلى الرغم من ذلك، سمح النظام بتغيير كلمات المرور وإجراء المعاملات دون إطلاق أي تنبيهات فعّالة.
كما يلفت الحكم الانتباه إلى مدى سهولة تعديل بيانات الاعتماد باستخدام بيانات مثل بطاقة هوية الشخص المتضرر فقط، وهو أمر، إلى جانب الاستيلاء على خط الهاتف المحمول، فتح طريقًا مجانيًا تقريبًا للمجرمين الإلكترونيين.
ترى المحكمة أن شركة WiZink لم تُثبت أن المعاملات قد نُفذت بمستوى أمان كافٍ، كما أنها لم تُقدم الوثائق التقنية المطلوبة بشأن أنظمة المصادقة، أو الأجهزة المستخدمة، أو سجلات الوصول الداخلية. ويُعدّ هذا النقص في الأدلة عاملاً سلبياً ضدها.
حكم القاضي بأن عدم أمان نقل الأرقام وغياب ضوابط دفع فعّالة ساهما في الضرر ، وبالتالي، لا يجوز تحديد المسؤولية. يجب تحميل كلا الطرفين المسؤولية المشتركة عن الضرر الذي لحق بالعميل.
إدانة مشتركة: البنوك وشركات الاتصالات في نفس الموقف فيما يتعلق بتبديل شرائح SIM
لا يقتصر حكم محكمة الدرجة الأولى رقم 44 في مدريد على الأمر برد الأموال المختلسة، بل ينص على أن شركتي WiZink وVodafone-Lowi مسؤولتان بالتضامن والتكافل عن عملية الاحتيال، ما يعني أنه يمكن إجبار أي من الشركتين على دفع المبلغ كاملاً، بالإضافة إلى الفوائد والتكاليف القانونية، ثم اللجوء إلى المحكمة لمقاضاة الأخرى إذا رأت ذلك مناسباً.
يؤكد الحكم أنه " لولا إمكانية نقل البيانات لما كان هناك أي سبيل للوصول إلى WiZink، ولولا إخلال WiZink بالعقد لما تم اتخاذ هذه الإجراءات". بعبارة أخرى، كان كلا الفعلين الإهماليين ضروريين لإتمام عملية الاحتيال.
بالنسبة لجمعية أسوفين، يُعد هذا العنصر أساسياً لأنه يُخالف فكرة أن البنوك وحدها هي التي تتحمل الأعباء القانونية للاحتيال الرقمي. لطالما أكدت الجمعية أنه في نظام مالي رقمي بالكامل، يجب على جميع الوسطاء التقنيين المشاركين في سلسلة الدفع تقاسم المسؤولية عندما تُفضي أفعالهم إلى الجريمة.
كما يسلط الحكم الضوء على سلوك الطرف المتضرر: فالمحكمة تفهم أن العميل تصرف باجتهاد، ولم يكن مهملاً في التعامل مع بياناته ، وأبلغ عن الاحتيال بمجرد أن ظهرت لديه أي مؤشرات، مما يستبعد أي محاولة لإلقاء جزء من اللوم عليه.
على الرغم من إمكانية استئناف الحكم في غضون عشرين يومًا، إلا أن أهميته الرمزية واضحة: فهو يضع سابقة مهمة في مكافحة تبديل شرائح SIM في إسبانيا ويرسل رسالة واضحة إلى البنوك وشركات الاتصالات بشأن الالتزام بتعزيز أنظمتها.
مشكلة متفاقمة: تغريم شركات ديجي وأورانج وأو2 بسبب إخفاقات مماثلة
إن قضية WiZink و Vodafone-Lowi ليست حادثة معزولة. فإلى جانب هذا الحكم، دأبت الوكالة الإسبانية لحماية البيانات (AEPD) على توثيق سجل العقوبات المفروضة على العديد من شركات الاتصالات بسبب أوجه قصور خطيرة في عمليات التحقق من الهوية لديها وفي التعامل مع طلبات نقل الأرقام الاحتيالية.
من بين أحدث الأحكام، غرامة قدرها 200.000 ألف يورو فُرضت على شركة ديجي في قضية استبدال شريحة SIM، حيث حصل طرف ثالث على شريحة SIM مُكررة دون أن تتحقق الشركة من هوية المُتقدم بشكل صحيح. وكانت الحيلة مُشابهة للغاية: فباستخدام الخط المُسجل باسمه، تمكن المُرتكب من الوصول إلى الخدمات المصرفية الإلكترونية للضحية والتحكم في النظام نيابةً عنه.
تُضاف هذه الغرامة إلى غرامة أخرى قدرها 150.000 ألف يورو فُرضت على نفس الجهة المشغلة لارتكابها مخالفة جسيمة للائحة العامة لحماية البيانات. في تلك الحالة، تم تسجيل عقد احتيالي، ونتيجة لذلك، أُدرج اسم الشخص المتضرر بشكل غير صحيح في قواعد بيانات تحصيل الديون عن دين لم يتكبده قط.
كما خضعت شركة أورانج للتدقيق. فقد أكدت المحكمة الوطنية أن الشركة انتهكت لوائح حماية البيانات بإصدارها شرائح SIM مكررة دون التحقق من هوية مقدم الطلب بشكل صحيح في حوادث وقعت بين عامي 2019 و2020. ورغم أن الوكالة الإسبانية لحماية البيانات (AEPD) فرضت في البداية غرامة قدرها 700.000 ألف يورو، إلا أن المحكمة خفضتها إلى 300.000 ألف يورو تقديراً لسرعة استجابة الشركة، والتي شملت إزالة أكشاك الخدمة الذاتية وتشديد إجراءات التفعيل.
من جانبها، سجلت شركة O2 أول حالة استبدال لبطاقة eSIM رصدتها الوكالة الإسبانية لحماية البيانات (AEPD) في عام 2023. في هذه الحادثة، قام المهاجمون بتغيير عنوان البريد الإلكتروني الخاص بالعميل وطلبوا نسخة افتراضية من الخط. وبما أنها بطاقة eSIM، فقد تم تفعيلها عن بُعد، دون الحاجة إلى بطاقة فعلية، مستغلين ضعف إجراءات التحقق للسيطرة الكاملة على الرقم، وبالتالي على الخدمات المرتبطة به.
الاستجابة المؤسسية: من منتدى الممارسات الجيدة إلى فرقة مكافحة الاحتيال
أدت سلسلة عمليات الاحتيال والعقوبات إلى وضع استبدال شريحة SIM بشكل حاسم على الأجندة السياسية والتنظيمية . وتُعدّ "أسوفين"، التي رفعت العديد من هذه القضايا إلى المحاكم، جزءًا من منتدى الممارسات المالية الجيدة الذي أنشأته وزارة الاقتصاد والتجارة والأعمال في عام 2022.
من خلال هذه المنصة، تضغط الجمعية لاعتبار الاحتيال المالي من أكثر المشاكل إلحاحاً التي تواجه المستهلكين ، ولتنسيق الإجراءات مع السلطات الضريبية الجديدة . والهدف هو أن تقوم البنوك وشركات الاتصالات والسلطات بتنسيق إجراءات ملموسة، وقائية وتعويضية للضحايا.
عقب الجلسة الأخيرة لهذا المنتدى، التي عُقدت في 10 ديسمبر، أعلن وزير الاقتصاد، كارلوس كويربو، عن إطلاق وحدة لمكافحة الاحتيال متخصصة في الجرائم المالية الرقمية . وستحظى هذه الوحدة بمشاركة مباشرة من قطاع الاتصالات، إقراراً بأن المشكلة لم تعد قابلة للمعالجة من منظور مصرفي بحت.
يتماشى حكم محكمة مدريد تماماً مع هذه الاستراتيجية، إذ يعزز فكرة أن أمن البيانات والاتصالات التزام قانوني ، وليس مجرد إضافة للخدمة. وفي حال فشل البروتوكولات، قد تتحمل الشركات التكلفة الاقتصادية للجريمة بشكل مباشر.
بالنسبة للمستخدمين، تمثل هذه الخطوات تقدماً في حماية أنفسهم من عمليات الاحتيال المتطورة باستمرار. ومن المتوقع أن تشجع التقنيات الجديدة لمكافحة الاحتيال والتحسينات التكنولوجية، في ظل خطر دفع ملايين الدولارات كتعويضات وغرامات، البنوك وشركات الاتصالات على رفع معاييرها الأمنية والاستجابة بشكل أسرع عند الإبلاغ عن معاملات مشبوهة.
كل هذا النشاط القانوني والتنظيمي يرسم صورة لم يعد فيها استبدال شريحة SIM عملية احتيال "يتيمة" بدون متهمين واضحين، بل أصبح مشكلة مشتركة بين النظام الرقمي بأكمله: من المشغل الذي يدير الخط إلى الجهة التي تصرح بالمدفوعات، بما في ذلك الجهات التنظيمية العامة التي تضع قواعد اللعبة؛ وعلى الرغم من أنه لا يزال هناك طريق طويل لنقطعه، فإن أحدث الأحكام تشير إلى أن أولئك الذين لا يؤمنون عملياتهم سيكون لديهم مجال أقل للتغاضي عندما يتم إفراغ حساب العميل بعد عملية نسخ بسيطة لشريحة SIM.
