تم خداع بيانات مستخدمي Revolut عبر «بريد حكومي» مُزوّر. وكثيرون كانت أول ردّة فعل لديهم هي اعتبار الأمر نكتة على شركة تكنولوجيا مالية يمكن خداعها بسهولة، لكن ما ينبغي فهمه فعلاً هو: لماذا تستهدف مثل هذه الهجمات المؤسسات المالية تحديداً، ولماذا تنجح مراراً.
لهذه الخدعة اسم رسمي: «تزوير الإجراءات القانونية». ينتحل المهاجمون صفة محكمة أو جهة إنفاذ قانون، ويرسلون إلى فريق الشؤون القانونية والامتثال في الشركة إشعارات أو «طلبات إفصاح عاجلة» تبدو رسمية. تكمن قوة هذه الخدعة في تصميمها: فعندما يتلقى فريق القانون «أمرًا قضائيًا»، يجب الرد خلال مهلة زمنية محددة؛ وإذا رفضوا فقد يُتهمون بتعطيل العدالة، وعند محاولة التحقق بالتدقيق كلمة بكلمة قد لا يكون الوقت كافياً. إذن، سطح الهجوم ليس ثغرة تقنية في النظام، بل عملية بشرية مقرونة بحدود زمنية مفروضة بشكل مؤسسي. وبالنسبة لشركة تكنولوجيا مالية عدد مستخدميها بالملايين، فإن خطأ واحد يعني تسريب بيانات على نطاق واسع.
وRevolut مثال نموذجي لهذه الفئة من الأهداف: توسّع سريع للغاية، وحجم مستخدمين ضخم، وسرعة بناء منظومة الامتثال متأخرة على الدوام عن وتيرة الأعمال، كما أن الكيانات المرخّصة لديها تمتد عبر عدة ولايات قضائية—وبالتالي يمكنهم تزوير أي «حكومة» شاءوا. وليست هذه أول حادثة تسريب بيانات أيضاً: ففي عام 2022 تم التسريب بسبب مشاكل في واجهة طرف ثالث كشف عن معلومات نحو 50 ألف مستخدم. والمشكلة لم تكن يوماً في نقطة واحدة، بل في مدى قدرة أنظمة إدارة المخاطر لدى شركة تنمو بسرعة على مواكبة حجمها.
الخطوة التالية تتعلق بثلاثة أمور: كيف ستُكيّف الجهة التنظيمية هذه «الواقعة» التي تم فيها «تسليم» البيانات—هل تُعتبر قوة قاهرة أم تقصيراً من الشركة، لأن ذلك سيحدد مباشرة قيمة الغرامة ومسؤوليات التعويض؛ وهل سيؤدي ذلك إلى قيام الصناعة كلها بإنشاء قناة موحدة للتحقق من المستندات القانونية؛ وأخيراً سؤال ينبغي لكل مستخدم أن يطرحه على خدمة العملاء: هل يمكنك استخدام تطبيقك المالي، وتسليم بياناتك اعتماداً على رسالة بريد إلكتروني واحدة فقط. #Revolut遭假政府邮件骗取用户数据
لهذه الخدعة اسم رسمي: «تزوير الإجراءات القانونية». ينتحل المهاجمون صفة محكمة أو جهة إنفاذ قانون، ويرسلون إلى فريق الشؤون القانونية والامتثال في الشركة إشعارات أو «طلبات إفصاح عاجلة» تبدو رسمية. تكمن قوة هذه الخدعة في تصميمها: فعندما يتلقى فريق القانون «أمرًا قضائيًا»، يجب الرد خلال مهلة زمنية محددة؛ وإذا رفضوا فقد يُتهمون بتعطيل العدالة، وعند محاولة التحقق بالتدقيق كلمة بكلمة قد لا يكون الوقت كافياً. إذن، سطح الهجوم ليس ثغرة تقنية في النظام، بل عملية بشرية مقرونة بحدود زمنية مفروضة بشكل مؤسسي. وبالنسبة لشركة تكنولوجيا مالية عدد مستخدميها بالملايين، فإن خطأ واحد يعني تسريب بيانات على نطاق واسع.
وRevolut مثال نموذجي لهذه الفئة من الأهداف: توسّع سريع للغاية، وحجم مستخدمين ضخم، وسرعة بناء منظومة الامتثال متأخرة على الدوام عن وتيرة الأعمال، كما أن الكيانات المرخّصة لديها تمتد عبر عدة ولايات قضائية—وبالتالي يمكنهم تزوير أي «حكومة» شاءوا. وليست هذه أول حادثة تسريب بيانات أيضاً: ففي عام 2022 تم التسريب بسبب مشاكل في واجهة طرف ثالث كشف عن معلومات نحو 50 ألف مستخدم. والمشكلة لم تكن يوماً في نقطة واحدة، بل في مدى قدرة أنظمة إدارة المخاطر لدى شركة تنمو بسرعة على مواكبة حجمها.
الخطوة التالية تتعلق بثلاثة أمور: كيف ستُكيّف الجهة التنظيمية هذه «الواقعة» التي تم فيها «تسليم» البيانات—هل تُعتبر قوة قاهرة أم تقصيراً من الشركة، لأن ذلك سيحدد مباشرة قيمة الغرامة ومسؤوليات التعويض؛ وهل سيؤدي ذلك إلى قيام الصناعة كلها بإنشاء قناة موحدة للتحقق من المستندات القانونية؛ وأخيراً سؤال ينبغي لكل مستخدم أن يطرحه على خدمة العملاء: هل يمكنك استخدام تطبيقك المالي، وتسليم بياناتك اعتماداً على رسالة بريد إلكتروني واحدة فقط. #Revolut遭假政府邮件骗取用户数据