كشفت شركة Group-IB في تقرير نشرته في 20 أكتوبر 2026، عن استغلال شبكة احتيال لمنصة مالية مشروعة مخصصة لإدارة المصروفات، بهدف إرسال رسائل تصيد عبر إشعاراتها، وفحص بطاقات وحسابات مصرفية مسروقة باستخدام خاصية الربط المصرفي المفتوح (Open Banking). وتكتم التقرير على اسم المنصة المستهدفة، مكتفياً بوصفها خدمة مالية تقدم للشركات مسارات الدفع، وإدارة البطاقات، واسترداد المصروفات.
وأوضحت Group-IB أن هذا النشاط يتطابق مع آليات عمل Classiscam، وهي عملية احتيال تقدم كخدمة تعتمد على بوتات عبر Telegram لتوليد صفحات تصيد تنتحل صفة أسواق إلكترونية، وشركات توصيل، ومؤسسات مصرفية. وأكدت أن المنصة لم تكن الهدف المباشر لعملية الاحتيال، إنما جرى استغلال إحدى مكونات بنيتها التحتية لتنفيذ الهجمات.
تعود تفاصيل الحادثة إلى أواخر أبريل 2026، إثر إبلاغ أحد عملاء Group-IB عن حملة تصيد تستهدف آلاف المستلمين يومياً عبر نظام الإشعارات والبريد الخاص بمنصته. وانتحلت الرسائل هوية شركة Poshmark، التي لم تتعرض لأي اختراق ولم تتورط في الحادثة، زاعمة وجود عملية بيع معلقة تتطلب التحقق من الهوية، ومرفقة بعداد تنازلي لتشكيل ضغط نفسي على الضحية.
وتضمنت النماذج المزيفة طلبات للحصول على الاسم، وبيانات البطاقة، ورقم الهاتف، والبريد الإلكتروني، وعنوان الفواتير، ورمز التحقق لمرة واحدة، ورصيد البطاقة، فيما طلبت نماذج أخرى بيانات محافظ الدفع أو الحسابات المصرفية عبر الإنترنت.
بالتوازي مع ذلك، وظف المحتالون مسار الربط المصرفي المفتوح للتأكد من صلاحية البطاقات والحسابات المسروقة وتوافر الأرصدة فيها. وبينت Group-IB أن هذا المسار، الذي يعتمد على تسجيل الدخول، يوفر أرصدة فعلية وسجلاً للمعاملات، ما يمنح المهاجمين ميزة استراتيجية مقارنة بالمسار اليدوي الذي يقدم بيانات ثابتة. وتزامنت عمليات الفحص مع حملات التصيد، ما أتاح استخدام رموز التحقق المسروقة من الضحايا فورياً أثناء محاولات الربط.
ولا يقتصر الضرر على حسابات الأرباح والخسائر الخاصة بالمنصة، بل يمتد ليشمل فواتير مزود خدمة الربط، وسمعة المنصة، وانكشافها التنظيمي. وتقدر Group-IB تكلفة عملية الربط الناجحة بين 0.30 و1.00 دولار، وهي تكاليف تتكبدها المنصة دون علمها. وفي سيناريو افتراضي يشمل مليون عملية ربط سنوياً، تشكل الفحوصات الاحتيالية نسبة تتراوح بين 0.5% و1% منها، وبتكلفة 0.50 دولار لكل عملية ربط، تتراوح التكلفة السنوية المهدورة بين 2,500 إلى 5,000 دولار.
وتتبعت الشركة مسار الحسابات بالاعتماد على هوية الجهاز. ففي 27 أبريل، ارتبطت إحدى الهويات بحسابين لإرسال التصيد وحسابين آخرين لفحص البطاقات، بينما ارتبطت هوية أخرى في 28 أبريل بستة حسابات لكل نشاط. ولجأ المشغلون إلى تجاوز قيود المعدل عبر استخدام عناوين بريد إلكتروني مؤقتة، وخدمات استضافة، وشبكات VPN، ووكلاء، وعناوين IP سكنية. وعقب حجب الحسابات المتعددة على الجهاز الواحد، تحولوا لإنشاء حساب واحد لكل جهاز، غير أن تحليل بصمات الجهاز والموقع كشف عن هويات متعددة مرتبطة فعلياً بجهاز واحد.
وتوصي Group-IB بمراقبة ثلاث مراحل حرجة قبل استغلال المنصة، تتمثل في عملية إنشاء الحساب، والرسالة الصادرة الأولى، وأول عملية ربط لبطاقة أو حساب مصرفي. وتشمل الإجراءات الوقائية تقييد الحسابات الجديدة أو ذات الموثوقية المنخفضة، وإخضاعها لفحوصات معززة، وتدقيق الروابط قبل الإرسال، ومراجعة فواتير مزود الربط لرصد أي حجم زيارات يتجاوز الطلب الفعلي.
وأفادت بأن زمن حجب الحساب الاحتيالي لدى العميل تراجع من عدة ساعات إلى أقل من دقيقة بفضل آليات الحجب التلقائي عند التسجيل، مؤكدة أن فريق Fraud Protection التابع لها تمكن من إيقاف أكثر من 230 حساباً في مايو 2026 قبل إساءة استخدام الخدمة. وتطرق التقرير إلى الأطر التنظيمية التي تفرض قيوداً صارمة على مسؤولية المنصات تجاه الاحتيال، كإطار منع الاحتيال الأسترالي، وتعديلات Nacha الأمريكية، وقواعد التعويض الإلزامي البريطانية، مستدركاً أن أياً منها لم يشمل منصات إدارة المصروفات بشكل صريح حتى الآن.
