«تحقق»: 107 حالات انتحال طالت هوية 14 مصرفًا.. احتيال منظم يبدأ بإعلان ممول وينتهي بسرقة الحسابات وتصفية الأموال
ليبيا – كشف أول تقرير شهري أعده فريق موقع «تحقق» الليبي لمكافحة الاحتيال عن توثيق 107 أصول رقمية استُخدمت فيها هوية 14 مصرفًا ليبيًا لاستدراج المواطنين خلال يوليو 2026، مخلصًا إلى أن الاحتيال المصرفي الرقمي في ليبيا لم يعد نشاطًا فرديًا عشوائيًا، بل تحول إلى عمليات ممولة ومنظمة تتضمن تقسيمًا للأدوار وبنية تحتية عابرة للحدود ومسارًا محددًا للاستيلاء على الحسابات وتصفية الأموال.
وأوضح التقرير، الصادر في 12 أغسطس تحت عنوان «الإعلان المفخخ»، والذي اطلعت صحيفة المرصد على كامل محتواه، أن عملية الرصد شملت الفترة من 1 إلى 31 يوليو، واعتمدت على المتابعة البشرية المباشرة عبر المصادر المفتوحة في «فيسبوك»، مع توثيق كل حالة بلقطات شاشة وروابط أصلية وتحديد هوية المصرف المنتحلة وقناة الاستدراج وأرقام الهواتف والواجهات الوهمية متى أمكن، فضلًا عن تواصل فريق «تحقق» مباشرةً مع بعض الحسابات المنتحلة لدراسة أساليبها وطبيعة مشغليها.
الإعلانات الممولة بوابة رئيسية لاستدراج الضحايا
وبيّن التقرير أن 52% من الحالات الموثقة تضمنت إعلانات ممولة، بما يعني أن المحتالين يشترون وصولًا مباشرًا إلى شرائح مستهدفة بدل الاعتماد على الانتشار الطبيعي للصفحات، وهو ما اعتبره الفريق مؤشرًا على نشاط ذي ميزانية وعائد محسوب.
ورصد الفريق ضمن الحالات 76 صفحة منتحلة تحمل هوية مصرف، و56 إعلانًا ممولًا، و43 حسابًا شخصيًا احتياليًا، إلى جانب 4 واجهات ويب وهمية وموقع تصيد واحد، فيما أظهرت البيانات أن النشاط استمر بصورة شبه يومية طوال الشهر ولم يكن موجة عابرة.
النوران والتجاري الوطني والوحدة الأكثر استهدافًا بالانتحال
وأظهر التقرير أن 101 حالة من أصل 107 أمكن نسبها إلى هوية مصرف بعينه، في حين استهدفت 6 حالات عملاء مصرفيين دون انتحال جهة مصرفية محددة.
وجاء مصرف النوران في مقدمة الهويات المصرفية المنتحلة بـ39 حالة، يليه المصرف التجاري الوطني بـ17 حالة، ثم مصرف الوحدة بـ13 حالة، ومصرف التجارة والتنمية بـ6 حالات، فيما سجلت 5 حالات لكل من المصرف الإسلامي الليبي ومصرف الأندلس والمصرف المتحد للتجارة والاستثمار، و4 حالات لمصرف الصحارى، وحالتان لمصرف الجمهورية، وحالة واحدة لكل من السراي للتجارة والاستثمار واليقين والواحة والتضامن والأمان.
واستحوذت هويات مصارف النوران والتجاري الوطني والوحدة وحدها على 68% من الحالات المنسوبة، إلا أن فريق «تحقق» شدد على أن هذا الترتيب يعكس ما رصده ضمن نطاق بحثه ولا يمثل تقييمًا للأداء الأمني لأي مصرف، مؤكدًا أن جميع المصارف الواردة في التقرير ضحايا لانتحال هويتها.
من «فيسبوك» إلى واتساب وماسنجر
ورصد التقرير انطلاق الحالات من «فيسبوك»، قبل نقل الضحايا في معظم المسارات إلى قنوات خاصة، إذ سجل 59 مسارًا انتقلت إلى «ماسنجر» و41 إلى «واتساب»، فضلًا عن حالات وصلت إلى واجهات ويب وهمية وموقع للتصيد.
وأشار إلى أن نقل الضحية من المنشور العام إلى تطبيق مراسلة مغلق يمثل تطورًا تكتيكيًا مهمًا، لأن إزالة الصفحة أو الإعلان من «فيسبوك» لا تنهي المحادثة التي انتقلت بالفعل إلى «واتساب» أو «ماسنجر».
كما وثق الفريق استخدام أساليب لإطالة عمر الحملات، من بينها إطلاق عدة إعلانات بالتزامن لضمان استمرار أحدها إذا أُزيلت البقية، وإعادة تسمية صفحات قائمة بدل إنشاء صفحات جديدة، بما يسمح بالاحتفاظ بعمر الصفحة ومتابعيها وسجلها الإعلاني ويجعل التتبع بالاسم وحده أقل جدوى.
64% من أرقام الاستدراج المرصودة غير ليبية
وكشف التقرير عن توثيق 39 استخدامًا لأرقام هاتف، تعود إلى 32 رقمًا فريدًا، لم يحمل منها المفتاح الليبي سوى 14 رقمًا، مقابل 12 بمفتاح الولايات المتحدة وكندا، و7 بالمفتاح الأردني، ورقمين بالمفتاح المصري، إضافة إلى أرقام بمفاتيح سوريا وبريطانيا والأرجنتين والسلفادور.
وأكد التواصل الميداني لفريق «تحقق» مع عدد من الحسابات أن بعض مشغليها ليسوا ليبيين، مستندًا إلى اختلاف اللهجة وضعف معرفتهم بتفاصيل المصارف التي ينتحلون هويتها وإجراءات العمل المصرفي المحلي.
ورصد التقرير ارتباط 6 من أصل 7 استخدامات لأرقام بالمفتاح الأردني بمصرف النوران، بينما ارتبطت 5 حالات بأرقام أميركية أو كندية بمصرف الوحدة. ومع ذلك، شدد الفريق على أن مفتاح الدولة لا يثبت الموقع الجغرافي الفعلي للمشغل، نظرًا لإمكانية شراء الأرقام الافتراضية من أي مكان.
شبكة منظمة تعمل بأرقام أردنية ومن خارج ليبيا
وخلص «تحقق» بدرجة ثقة عالية إلى وجود كيان منظم واحد وراء مجموعة من الحالات التي استخدمت أرقامًا بالمفتاح الأردني، استنادًا إلى قاعدة أرقام الهواتف ونسق النشر والتواصل المباشر مع المشغلين.
وأوضح أن جميع الحالات المرتبطة بهذه المجموعة تقريبًا اتبعت النمط ذاته: إعلان ممول ثم الانتقال إلى «واتساب»، مع تبديل هوية المصرف والعرض المقدم مع بقاء الهيكل التشغيلي نفسه.
إلا أن الفريق وضع درجة ثقة متوسطة فقط بشأن نسب النشاط جغرافيًا إلى الأردن، مؤكدًا أن الاستنتاج الآمن هو أن الشبكة تستخدم أرقامًا أردنية ويعمل مشغلوها من خارج ليبيا، بينما يتطلب تحديد موقعها الحقيقي صلاحيات تتجاوز الرصد المفتوح.
7 مراحل تبدأ بالصفحة المزيفة وتنتهي بتصفية الأموال
وحدد التقرير سلسلة متكررة للهجوم تبدأ بإنشاء صفحة تحمل اسم المصرف وشعاره أو إعادة تسمية صفحة موجودة، ثم إطلاق إعلان ممول والوصول إلى الجمهور المستهدف.
وتنتقل العملية بعد ذلك إلى فرز المتفاعلين واختيار الضحايا المحتملين، ثم نقل المحادثة إلى «واتساب» أو «ماسنجر»، قبل توجيه الضحية إلى واجهة تحمل هوية المصرف وتطلب اسم المستخدم وكلمة المرور.
وفي المرحلة التالية يُطلب من الضحية رمز التحقق لمرة واحدة «OTP» بذريعة تأكيد الخدمة، في الوقت الذي تكون فيه هناك محاولة فعلية للدخول إلى التطبيق المصرفي والسيطرة على الحساب، لتنتهي السلسلة بتحويل الأموال إلى طرف آخر ضمن مسار لتصفيتها.
مصرف الوحدة.. الحملة الأكثر نضجًا تقنيًا
وصنف التقرير الحملة التي استغلت هوية مصرف الوحدة باعتبارها النموذج الأكثر نضجًا تقنيًا، بعدما وثق 13 حالة خلال 10 أيام، تضمنت 12 حالة منها، أي 92%، إعلانات ممولة.
وانتقلت الحالات الـ11 التي سُجلت لها قناة تواصل جميعها إلى «واتساب»، فيما تضمنت الحملة واجهات ويب وهمية وموقع تصيد مصممًا ليبدو كبوابة مصرفية حقيقية ويطلب اسم المستخدم وكلمة المرور ثم رمز التحقق.
واعتبر الفريق أن وصول الحملة إلى هذه المرحلة يمثل انتقالًا من الاحتيال بالإقناع إلى محاولة اختراق فعلية للحساب المصرفي، وصنف خطورتها بأنها «حرجة».
39 حالة باسم النوران واستخدام للذكاء الاصطناعي
أما الحملة التي استغلت هوية مصرف النوران فسجلت العدد الأكبر بواقع 39 حالة موزعة على 17 يومًا، شملت 23 حالة بإعلان ممول و28 صفحة منتحلة و14 حسابًا شخصيًا احتياليًا، مع توزيع قنوات الاستدراج بين «ماسنجر» و«واتساب».
ووثق الفريق ضمن هذه الحملة صفحة عمرها شهران جمعت 130 متابعًا وأدارت إعلانات ممولة ومنشورات منتظمة، وتبين أن محتواها مزيف ومولد بالذكاء الاصطناعي، مع نصوص سليمة بلغة خدمة العملاء وصور بجودة إعلانية وهوية بصرية متسقة.
ورأى التقرير أن هذه الحالة تكشف تراجع جدوى العلامات التقليدية المستخدمة لاكتشاف الاحتيال مثل الأخطاء الإملائية ورداءة التصميم والصور المشوهة، بعدما أصبح بالإمكان استخدام أدوات التوليد الآلي لإنتاج صفحات شديدة الإتقان، معتبرًا أن السلوك الذي تتبعه الصفحة وما تطلبه من العميل أصبح أهم من شكلها.
USDT ومسار «الضحية الثانية»
وكشف التقرير عن نمط لتصفية الأموال عبر عملة «USDT» المشفرة، يبدأ بعد السيطرة على الحساب المصرفي للضحية الأولى، حيث يبحث المحتال عن شخص ليبي يعرض بيع العملة الرقمية ويقدم نفسه له باعتباره مشتريًا عاديًا سيدفع عبر حوالة مصرفية.
وتصل الحوالة إلى بائع العملة من حساب الضحية المسروق، فيقوم بتسليم «USDT» للمحتال معتقدًا أنه أتم صفقة طبيعية، بينما يكون قد أصبح دون علمه آخر محطة مصرفية ظاهرة للأموال المسروقة.
وحذر التقرير من أن هذا الشخص يتحول إلى «ضحية ثانية»، إذ قد تُجمد حساباته ويواجه مساءلة مرتبطة بغسل الأموال رغم عدم علمه بمصدر الحوالة، في وقت تنتقل فيه القيمة المسروقة خارج النظام المصرفي في صورة عملة مشفرة يصعب تتبعها.
واجهات مصرفية مزيفة يعاد إنشاؤها خلال دقائق
ووثق فريق «تحقق» 3 واجهات ويب وهمية تنتحل واجهات مصرفية، جميعها مستضافة على منصة «Wix» المجانية، اثنتان منها مرتبطتان باسم مصرف التجارة والتنمية والثالثة بمصرف الوحدة.
وأظهر تحليل أسماء النطاقات نمط تسمية متشابهًا يجمع رمز المصرف باختصار يدل على «واتساب»، وهو ما اعتبره الفريق مؤشرًا قويًا على إنشائها من جهة واحدة.
ولفت إلى أن استخدام منصات بناء المواقع المجانية يخفض تكلفة الإنشاء ويتيح إعادة بناء الواجهات بعد إزالتها خلال دقائق، ما يجعل متابعة نمط التسمية أكثر فاعلية من مطاردة كل نطاق بصورة منفردة.
أربعة أساليب رئيسية لخداع العملاء
وحدد التقرير أربعة قوالب متكررة للاستدراج، أولها عرض استثماري بأرباح شهرية مضمونة عبر منصة يُزعم ارتباطها بالمصرف، وثانيها طلب تحديث البيانات بحجة تحديث النظام أو تفعيل الخدمة الرقمية.
ويتمثل الأسلوب الثالث في استغلال عميل يبحث أصلًا عن حل لمشكلة أو خدمة مصرفية والتظاهر بمساعدته، فيما يقوم الأسلوب الرابع على عرض شراء عملة رقمية مقابل حوالة مصرفية فورية.
وحدد الفريق ثلاث علامات مشتركة لهذه الأساليب تتمثل في مبادرة الطرف الآخر بالتواصل مع العميل، وفرض ضغط زمني عليه، وطلب معلومة لا يفترض أن يطلبها المصرف وعلى رأسها رمز التحقق.
المحتال قد يصل إلى العميل قبل المصرف الحقيقي
وحذر التقرير من فجوة في الحضور الرقمي للمصارف الليبية، موضحًا أن البحث باستخدام كلمات مرتبطة بخدمة العملاء قد يُظهر إعلانًا احتياليًا قبل القناة الرسمية للمصرف.
وعزا ذلك إلى أن المحتال يدفع مقابل الظهور أمام جمهور مستهدف، فيما تعتمد القناة الرسمية في كثير من الحالات على الوصول العضوي المجاني، ما يجعل العميل الباحث عن مساعدة وفي حالة استعجال أكثر عرضة للوقوع في فخ أول جهة تستجيب إليه.
لا أرقام مؤكدة للخسائر المالية
وشدد التقرير على أنه لا يقدم تقديرًا لقيمة الأموال المسروقة، ولا يجوز اشتقاق حجم الخسائر من بياناته، لأن ذلك يتطلب بيانات المنازعات المسجلة لدى المصارف أو مسحًا سكانيًا تمثيليًا يقيس حجم انتشار الاحتيال ومتوسط الخسائر.
إلا أن الفريق رأى أن توثيق أكثر من 100 أصل رقمي خلال شهر واحد، ونحو نصفها مدعوم بإنفاق إعلاني حقيقي، إلى جانب وجود بنية عابرة للحدود لتصفية الأموال، يؤكد أن النشاط يتجاوز مستوى الاحتيال الهامشي.
استجابة المصارف محدودة والتحذيرات المباشرة الأكثر فاعلية
وقيّم التقرير استجابة المصارف التي انتُحلت هويتها بأنها موجودة لكنها محدودة ومتفاوتة، موضحًا أن النمط الغالب تمثل في نشر تحذيرات عامة من الصفحات الوهمية وإرسال رسائل نصية متفرقة.
وأشار إلى أن مصرفي الأمان والإسلامي الليبي اعتمدا نمطًا أكثر فاعلية عبر التحذير المباشر من صفحات منتحلة محددة وتسميتها، وهو ما اعتبره الفريق أكثر جدوى من مطالبة العميل بالتمييز بنفسه بين الصفحة الحقيقية والمزيفة.
كما أشار إلى عدم رصد حملات توعية مدفوعة ومنظمة تضاهي الحملات الاحتيالية في انتشارها ووسيلتها وجمهورها، إذ يشتري المحتال وصولًا إعلانيًا مباشرًا بينما يعتمد المدافع غالبًا على الانتشار الطبيعي للمنشورات.
فراغ تنظيمي تستفيد منه شبكات الاحتيال
ورصد التقرير تفاوتًا كبيرًا بين المصارف في عدد صفحاتها الرسمية وأسمائها ودرجة توثيقها والخدمات المقدمة عبرها وقنوات التواصل مع فرق الدعم.
واعتبر فريق «تحقق» أن هذا التفاوت يعكس فراغًا تنظيميًا في غياب ضوابط معلنة تحدد عدد القنوات الرسمية المسموح بها ونوع الخدمات التي يمكن تقديمها عبر منصات التواصل وحدود صلاحيات فرق الدعم.
وأشار إلى أن المحتال يستفيد من هذا الغموض، إذ يصعب على العميل اكتشاف القناة المزيفة أو الطلب غير الطبيعي إذا لم يكن يعرف أصلًا عدد القنوات الرسمية لمصرفه وما يجوز أن يُطلب منه خلالها.
4 حالات حرجة و56 عالية الخطورة
وصنف التقرير 4 حالات وصلت إلى مرحلة طلب بيانات الدخول أو رمز التحقق أو استخدام واجهة ويب ضمن المستوى «الحرج»، موصيًا بالتعامل معها عبر التصعيد الفوري وتحذير العملاء وإبلاغ الجهات المختصة.
كما صنف 56 حالة لإعلانات ممولة نشطة تحمل هوية مصرف ضمن مستوى الخطورة «العالي»، مقابل 17 صفحة منتحلة نشطة دون إعلان صنفت ضمن المستوى المتوسط.
توصيات للمصرف المركزي والمصارف الليبية
ودعا فريق «تحقق» إلى وقف تقديم الخدمات المصرفية عبر تطبيقات المراسلة، بما يجعل أي جهة تدعي تمثيل المصرف عبر هذه القنوات مؤشرًا واضحًا على الاحتيال، إلى جانب توحيد وتوثيق القنوات الرسمية ونشر قائمة معلنة ومحدثة بها داخل المواقع والتطبيقات والفروع.
وأوصى كذلك بأن تستخدم المصارف إعلانات مدفوعة على كلمات البحث الخدمية مثل «خدمة العملاء» و«حجز الدولار» و«مشكلات التطبيق»، وأن تتحول من التحذير العام إلى تسمية الصفحات والإعلانات المنتحلة عند رصدها.
كما دعا إلى تشديد ضوابط رمز التحقق عبر تضمين الرسالة تحذيرًا صريحًا من مشاركته، وبيان الغرض والمبلغ المرتبط بالعملية، وتقييد عدد المحاولات وتفعيل إشعار فوري عند تسجيل الدخول من جهاز جديد، مع تأكيد أن المصرف لا يبدأ محادثات عبر تطبيقات المراسلة ولا يطلب من العميل رمز التحقق.
وأعلن فريق «تحقق» العمل على إعداد مقترح موجه إلى مصرف ليبيا المركزي والمصارف الليبية والجهات الرقابية لتوحيد الحضور الرقمي للقطاع وإغلاق الثغرات التي رصدها ميدانيًا.
كما دعا إلى إجراء أول مسح تمثيلي للاحتيال الرقمي في ليبيا وتوحيد تعريف الحوادث وتصنيفها بين المصارف، بهدف تكوين قاعدة بيانات على مستوى القطاع تسمح بقياس حجم الظاهرة وأثرها المالي بدل بقاء البيانات موزعة داخل كل مؤسسة.
المرصد – متابعات