في ليلة الأول من نوفمبر، بدأ مصرف فرنسي تعاوني يضم 5.8 مليون عضو وأصولاً بقيمة 211.5 مليار يورو يفقد المال بهدوء. ليس من حسابات عملائه، بل من حسابه هو.
أكد «كريدي موتيويل أركيا» في الرابع من نوفمبر أنه كان ضحية هجوم سيبراني مكّن طرفاً خارجياً من استخدام حساب المصرف نفسه لتنفيذ تحويلات إلى مؤسسات مالية أخرى، ثم تحويل العائدات إلى عملات مستقرة. لم يؤكد المصرف المبلغ، أما محقق البلوك تشين ZachXBT، الذي نبّه إلى عمليات السحب قبل أن يصدر المصرف أي إعلان علني، فقد قدّره بنحو 118 مليون يورو، أي ما يعادل 133 مليون دولار، سُحبت بعملتي USDC وUSDT.
أعد قراءة الجملة: سرقة مصرفية لم يتحرك فيها رصيد أي عميل، ولم تُفتح أي خزنة، ولم تُنسخ أي بطاقة. المهاجم لم يسرق عملاء المصرف. استعار هوية المصرف لبضع ساعات وترك النظام المصرفي يكمل المهمة.
هذا هو شكل الجريمة المالية الحديثة، ويجب أن يغيّر طريقة تفكير كل فريق في المنطقة بشأن الوصول إلى المدفوعات.
ما الذي حدث فعلاً
التسلسل الزمني أهم من المبلغ الإجمالي.
- 1 نوفمبر — بدء عمليات سحب احتيالية من حسابات منصات تداول مركزية، وتم لاحقاً تتبعها إلى معاملات نُفّذت من جهة أركيا.
- 2 نوفمبر — ينشر ZachXBT تحذيراً من عملية سحب غير مصرّح بها واسعة النطاق، دون تسمية المؤسسة.
- 3 نوفمبر — وفق المحقق، جرى غسل نحو 30 مليون دولار بالفعل. لا يوجد إفصاح علني بعد، وبالتالي لا تجميد منسّق.
- 4 نوفمبر — يكشف المصرف الحادث، ويعلن أنه «مغلق وتحت السيطرة»، ويطمئن العملاء إلى أن أصولهم غير متأثرة.
- 7 نوفمبر — تؤكد صفحة الأسئلة الشائعة أن المهاجم وصل إلى شبكة المصرف مباشرة عبر منصة مزوّد خدمة، وتستبعد شركته التابعة Fortuneo.
بقيت أرصدة العملاء سليمة، وتأخرت بعض التحويلات. ويقول المصرف إنه يعمل مع الشرطة والسلطات القضائية لتحديد المصدر والأسلوب بدقة.
إذن الضرر لم يكن تسريب بيانات بالمعنى المعتاد، بل حدث سيولة نُفّذ بسرعة الآلة عبر قنوات مصرفية مشروعة تماماً.
الحساب الذي استُخدم هو حساب المصرف
معظم ميزانيات الأمن في القطاع المصرفي منظمة حول حماية العملاء. هناك تتجه التنظيمات، وهناك تصل عمليات التدقيق، وهناك تذهب التغطية الإعلامية.
لكن الحسابات المؤسسية وحسابات الخزينة في أي مصرف ليست تفصيلاً جانبياً. إنها الحسابات القادرة على تحريك مبالغ من تسعة أرقام في ظهيرة واحدة دون أن يوقّع أحد بخط يده. تحمل تعليمات دائمة وعلاقات مراسلة وبيانات اعتماد API تثق بها المؤسسات الأخرى افتراضياً. وعندما يحصل المهاجم على جلسة داخل ذلك الحساب، ترى ضوابط مكافحة الاحتيال طرفاً معروفاً يفعل شيئاً معتاداً.
سرقة العملاء فرداً فرداً مكلفة. حساب المؤسسة نفسه هو الهدف عالي القيمة، وغالباً ما تكون مراقبة سلوكه أضعف من مراقبة قطاع الأفراد، لأن «المصرف يعرف ما يفعل».
الباب كان مزوّد خدمة
نقطة الدخول، بحسب صفحة الأسئلة الشائعة للمصرف، كانت منصة مزوّد خدمة. هذه هي الجملة التي يجب أن يقرأها كل مسؤول أمن معلومات في الخليج مرتين.
لم تعد منصات الأطراف الثالثة حاشية في سلسلة التوريد. إنها طبقة العمليات: أدوات الخزينة، وتنسيق المدفوعات، ولوحات الحفظ، ومزوّدو التحقق من الهوية، والاستضافة السحابية، وأكثر من ذلك مساعدو الذكاء الاصطناعي الذين يجلسون في الجلسة نفسها بالصلاحيات نفسها التي يملكها فريق المالية. كل واحد منها باب. وكل باب بقدر قوة الهوية التي تقف خلفه.
السؤال المزعج ليس ما إذا كان مزوّدك آمناً. السؤال هو: هل تستطيع أن تثبت، لكل معاملة على حدة، أي إنسان أو أي حساب خدمة بدأها، ومن أي جهاز، وعبر أي قفزة طرف ثالث، وبأي موافقة؟ إذا كان الجواب يتطلب سلسلة بريد إلكتروني وأسبوعاً من التنقيب في السجلات، فأنت لا تملك ضابطاً، بل تملك أملاً.
السرعة هي التي حسمت الخسارة
بين أول عملية سحب والإفصاح العلني مرت نحو ثلاثة أيام. تحرّك ثلاثون مليون دولار في تلك النافذة، بحسب المحقق، وكانت الحجة حينها مباشرة: الصمت منح المهاجم وقتاً لغسل الأموال.
أصبحت سرعة الإفصاح ضابطاً لتقليل الخسائر. الجهات التنظيمية الأوروبية تتجه إلى ذلك بالفعل، وتوقعات الإبلاغ عن الحوادث في الإمارات تزداد صرامة مع بقية منظومة الامتثال. المصرف الذي ينتظر سرداً مثالياً قبل أن يرفع السماعة يختار خسارة أكبر.
المنطق نفسه ينطبق داخل مؤسستك. دليل استجابة للحوادث يشترط لجنة قبل أن يستطيع أي شخص تجميد قناة مدفوعات ليس دليلاً، بل تأخيراً بغلاف أنيق.
خمسة ضوابط تستحق البناء هذا الربع
لا تحتاج إلى ميزانية عمومية بـ211 مليار يورو لتكون عرضة لهذا النمط. أي شركة تستطيع إرسال المال عبر API لديها الضعف نفسه، لكن بأصفار أقل.
- تعامل مع حسابات الخزينة الصادرة كجواهر التاج. افصلها عن بقية تقنية المعلومات المؤسسية، وأعطها سياسة هوية خاصة ومراقبة خاصة ومناوبة خاصة.
- أثبت كل جلسة طرف ثالث. سجّل أي منصة وأي حساب خدمة وأي موافقة بشرية أنتجت كل تعليمة دفع. إذا لم يستطع المزوّد تقديم ذلك لكل طلب، فلا مكان له في مسار الدفع.
- ضع حدود سرعة لا يستطيع أحد تجاوزها بموافقة. الدفعة التي تتجه إلى ولاية قضائية جديدة، أو تُحوَّل إلى عملات مشفرة، أو تتجاوز حداً متحركاً، يجب أن تتوقف تلقائياً بدلاً من انتظار نقرة مدير.
- تدرّب على التجميد. مرة كل ربع، قِس المدة اللازمة لتعليق قناة دفع من طرفها إلى طرفها. إذا تجاوزت ساعة، فالمهاجم يفوز افتراضياً.
- اكتب بيان الإفصاح مسبقاً. جهّز البيان وإشعار الجهة التنظيمية ورسالة العملاء قبل الحاجة إليها، لتُصرف الدقائق الستون الأولى على الاحتواء لا على الاجتماعات.
ماذا يعني ذلك للفرق في الخليج
أركيا فرنسي، لكن الآلية قابلة للنقل. المصارف ومنصات التداول وشركات التقنية المالية والمكاتب العائلية في دول الخليج تعمل على القنوات نفسها: علاقات مراسلة، وتسوية بالعملات المستقرة، ولوحات خزينة مستضافة عند أطراف ثالثة، وطبقة متنامية من وكلاء الذكاء الاصطناعي تلمس مسارات الدفع.
الدرس ليس «تحصين المحيط». الدرس أن المحيط أصبح مجموعة صلاحيات تحملها أطراف ثالثة، وأن جوهرة التاج هي قدرة المؤسسة نفسها على تحريك المال. دقّق في ذلك. راقبه بالأدوات. ضع له مفتاح توقف صارماً لا يحتاج إلى نشر جديد ليُفعّل.
لأن السرقة القادمة لن تشبه اقتحاماً. ستشبه ثلاثاء عادياً، نُفّذ من حساب شرعي، عبر شريك موثوق، وانتهى قبل أن يبدأ أول اجتماع بشأنه.
الخلاصة: إذا لم تستطع أن تسمّي، معاملة بمعاملة، من أذن بها وعبر أي طرف ثالث، فأنت على بعد جلسة مزوّد مخترقة واحدة من أن تصبح حالة يُدرّس بها.