بطاقات الخصم مسبقة الدفع حلقة ضعيفة في الأمن المصرفي

كشفت عصابة جريئة للجرائم الالكترونية سرقت 45 مليون دولار من أجهزة الصرف الإلكتروني للبنوك في 27 دولة عن نقطة ضعف في القطاع المالي العالمي هي بطاقات الخصم مسبقة الدفع.
ويقول خبراء الأمن الإلكتروني ومحللو القطاع إن رواج بطاقات الخصم مسبقة الدفع في أغراض شتى من قسائم الهدايا إلى منح الإغاثة يجعل من السهل على مخترقي الشبكات سحب مبالغ ضخمة من المال قبل اكتشافهم.
والقيود على البطاقات مسبقة الدفع أقل من تلك المفروضة على بطاقات الائتمان والخصم العادية التي تصدرها البنوك. فكل بطاقة مسبقة الدفع تصدر هي سجل أبيض: بدون اسم وجديدة وبلا تاريخ ائتماني أو نمط للسلوك الشخصي يمكن للمصرفيين وموظفي تسوية المدفوعات أن يقيسوا عليه النشاط بحثا عن أي علامات إنذار.
واختراق هذا النوع من البطاقات سهل. ويتطلب رفع سقف السحب على بطاقة مسبقة الدفع اختراق النظام في شركة ثالثة تتولى تسوية المدفوعات وهي عادة مؤسسات أصغر من البنوك ومن المرجح إذا كانت خارج الولايات المتحدة أن تكون خاضعة لمعايير أقل تشددا على صعيد الأمن الإلكتروني.
وقال جو بترو العضو المنتدب في مجموعة برومونوتري المالية والذي عمل 20 عاما رئيسا للتحقيقات ومكافحة الاحتيال في سيتي جروب "عادة ما تكون بطاقات الخصم مسبقة الدفع هي السبب. إنها البطاقة المفضلة لمثل هذا الغرض. الأشرار يعرفون النظام وقد استطاعوا اختراقه."
وأضاف "نقطة الضعف تأتي من شركات تسوية المدفوعات والتي قد لا تملك نفس مستوى نظم الأمن التي تستطيع البنوك توفيرها." وكان بترو يتحدث بوجه عام وقال إنه لا معرفة مباشرة له بالسرقة الأخيرة البالغ حجمها 45 مليون دولار.
وفي هجمة منسقة عالميا اخترق الجناة شركتين لتسوية المدفوعات تعملان في بطاقات الخصم مسبقة الدفع لبنكين في الشرق الأوسط حسبما قال ممثلو إدعاء أمريكيون يوم الخميس.
وفور اختراقهم شبكات الكمبيوتر زادوا المبلغ المتاح وسقف السحب على بطاقات خصم ماستركارد الصادرة عن بنك مسقط وبنك رأس الخيمة الوطني.
انتشر أفراد التنظيم الإجرامي بعدها في أنحاء العالم واستخدموا بطاقات مزورة لسحب المال من آلاف أجهزة الصرف. وقال محققون متخصصون في الجرائم الالكترونية إن النطاق العالمي للسرقة وسرعتها غير مسبوقين. وفي حالة بنك مسقط تمت سرقة 40 مليون دولار في حوالي عشر ساعات فقط.
وقال الخبراء إن استخدام بطاقات الخصم مسبقة الدفع بدلا من بطاقات الائتمان لم يكن مصادفة. فبطاقات الائتمان تكون مرتبطة بأشخاص تعطي عاداتهم الإنفاقية البنوك وشركات بطاقات الائتمان أنماطا يمكن أن تستخدمها عند محاولة اكتشاف نشاط غير عادي أو غير مشروع.
ومن المرجح أن يثير لص يتنقل من جهاز صرف آلي إلى آخر حاملا بطاقة ائتمان شخصية الشبهات سريعا لأن سلوكه سيبدو شاذا بالمقارنة مع النشاط العادي لمستخدم بطاقة الائتمان.
وقال شون هنري الرئيس السابق لتحقيقات الجرائم الإلكترونية في مكتب التحقيقات الاتحادي الأمريكي والرئيس الحالي للخدمات المتخصصة لدى شركة كراود سترايك للخدمات الأمنية "تستخدم البنوك أحدث الدفاعات لكن بمقدور اللاعبين المحنكين اختراق شبكاتها."
وفي حين أن خدعة الخمسة والأربعين مليون دولار هي من أضخمها في العالم فإن خبراء الأمن يقولون إن البنوك تتعامل كثيرا مع سرقات مماثلة لكن أصغر غير أنه نادرا ما يكشف عنها.
وبحسب تقرير نشرته مجموعة مركاتور الاستشارية بلغ حجم الأموال المودعة في البطاقات مسبقة الدفع نحو 201.9 مليار دولار بحلول عام 2013 من 28.6 مليار دولار في 2009.
وقال سكوت فالنتين المحلل لدى اف.بي.ار كابيتال ماركتس "من بين كل أنواع البطاقات فإن البطاقات مسبقة الدفع هي الفئة الأسرع نموا."
وقال فالنتين "مع تباطؤ المدفوعات النقدية وتنامي المدفوعات بالأجهزة النقالة والتجارة الإلكترونية فإن أهمية تلك البطاقات ستزيد.. مع بطاقات الائتمان تحتاج إلى جدارة ائتمانية ومع بطاقات الخصم تحتاج إلى حساب مصرفي. البطاقات مسبقة الدفع تسمح لك باجتياز هاتين العقبتين ولذا تتمتع برواج شديد."
ويثير ذلك بواعث قلق بشأن الحاجة إلى تعزيز أمن البطاقات مسبقة الدفع وشركات تسوية البطاقات التي تخدمها.
ويلزم القانون الأمريكي البنوك منذ أكثر من عشر سنوات بضمان استيفاء أنظمتها الإلكترونية وأنظمة المتعاقدين الخارجيين لشروط معينة تتعلق بالأمن. ويجب على البنوك الأمريكية التي تستعين بخدمات شركات لتسوية المدفوعات أن تبرم اتفاقا تعاقديا يلزم شركة التسوية بالمعايير الأمنية ذاتها المعمول بها في البنك.
وقال دوج جونسون نائب الرئيس لسياسة إدارة المخاطر لدى رابطة المصرفيين الأمريكيين في واشنطن إن المشكلة هي أن البنوك الأمريكية قد تجد أحيانا صعوبات في التأكد من أن المتفق عليه في العقد مع شركة تسوية مدفوعات خارجية هو ما يجري تطبيقه بالفعل.
وقال جونسون "أتوقع أن تعطي الهيئات الرقابية مزيدا من الوقت لفحص مزودي الخدمة."
وفي حالة بنكي الشرق الأوسط استعان أحدهما بشركة لتسوية مدفوعات بطاقات الائتمان مقرها في الولايات المتحدة في حين استعان الآخر بشركة في الهند. ويظهر اختراق الشركة الأمريكية أنه حتى شركات التسوية العاملة في الولايات المتحدة يمكن أن تعرض البنوك لمخاطر.
وقال وليام ب. نيلسون الرئيس التنفيذي لمجموعة أمنية غير هادفة للربح تقدم المشورة لقطاع البنوك إن هذه القضية تذكره باختراق آر.بي.اس وورلد باي في 2008. وفي ذلك الهجوم سرق مخترقو الشركة التابعة لرويال بنك أوف سكوتلند بيانات عملاء وأنشأوا بطاقات جديدة ثم رفعوا سقف السحب اليومي. وسرق الجناة تسعة ملايين دولار في ذلك اليوم.
وأدين العقل المدبر الروسي لذلك المخطط لكنه حصل على حكم مع إيقاف التنفيذ. وقال نيلسون الرئيس التنفيذي لمجموعة اف.اس-آي.اس.ايه.سي عن الاحتيال الجديد "عثروا على ثغرة في نظام البطاقات .. في حقيقة الأمر لم يستهدفوا الحسابات المصرفية."