الجواب المختصر: في احتيال تحويل الدفعات، لا يخترع المحتال صفقة. الصفقة حقيقية، والمورّد حقيقي، والفاتورة حقيقية. ما يتغير هو رقم الحساب البنكي، في رسالة تبدو صادرة من المورّد: «غيّرنا بنكنا، حوّلوا الدفعة إلى الحساب الجديد». الحماية الأساسية إجراء واحد يُطبّق بلا استثناء: لا يُعتمد أي حساب جديد لمورّد قبل مكالمة تجريها أنت، على رقم محفوظ في سجلك منذ بداية العلاقة، مع شخص تعرف صوته أو منصبه. الرقم الوارد في الرسالة نفسها لا يُستخدم للتحقق أبداً. وإذا حوّلت ثم شككت، فالدقائق الأولى مهمة: اتصل ببنكك فوراً.
قائمة التحقق المختصرة قبل أي تحويل موجودة في طرق الدفع في التجارة الدولية. هذا المقال يشرح الآلية ويضع إجراءً مفصلاً يمكن أن تعتمده شركتك.
كم هو شائع؟ رقم واحد بحدوده
سجّل مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي الأمريكي في تقريره لعام 2025 24,768 شكوى من اختراق البريد الإلكتروني للأعمال، بخسائر مبلَّغ عنها تتجاوز 3.04 مليار دولار. مكتب التحقيقات الفيدرالي، تقرير IC3 لعام 2025 الرقم يخص الشكاوى المقدمة إلى جهة أمريكية، ويشمل الخسائر المبلَّغ عنها فقط. لا يقول شيئاً عن حجم الظاهرة في البلدان العربية، لكنه يبيّن حجم ما يمكن أن تخسره الشركات في هذا النمط وحده.
ويعرّف المركز هذا الاحتيال بأنه يستهدف الشركات والأفراد الذين يتعاملون مع موردين أو يجرون تحويلات بنكية بانتظام. المصدر السابق أي أنه يستهدف التاجر تحديداً.
كيف تتحول الفاتورة الصحيحة إلى مبلغ مسروق: ثلاثة مسارات
1. سلسلة مراسلات حقيقية مخترقة. يذكر مكتب التحقيقات الفيدرالي أن برمجيات خبيثة قد تتسلل إلى شبكات الشركات وتصل إلى سلاسل مراسلات حقيقية عن الفواتير والدفع. مكتب التحقيقات الفيدرالي، اختراق البريد الإلكتروني للأعمال هنا تصلك رسالة تغيير الحساب في السلسلة نفسها التي تتراسل فيها مع المورّد منذ أسابيع، وقد تكون من حسابه الحقيقي إذا اختُرق هو.
2. عنوان يشبه العنوان الحقيقي. يعطي المكتب مثالاً على اختلاف طفيف في العنوان، كحرف زائد، يمرّ على عين مستعجلة. المصدر السابق الرسالة تأتي من نطاق يشبه نطاق المورّد، وغالباً في توقيت مناسب: حين تكون الدفعة مستحقة.
3. رسالة «من مصدر معروف». يصف مصرف أبوظبي الإسلامي كيف يرسل المحتالون إلى الشركات رسائل تبدو مرسلة من مصدر معروف، ويذكر أن المهاجمين في مخطط الفاتورة المزيفة يستهدفون عادة الموردين الأجانب. مصرف أبوظبي الإسلامي، احتيال البريد الإلكتروني الخاص بالأعمال التجارة الدولية بيئة مثالية لهذا: مراسلات عبر البريد، ومورّد في بلد آخر، وفارق توقيت يصعّب الاتصال، وتحويلات كبيرة.
ما تشترك فيه المسارات الثلاثة: طلب تغيير بيانات الدفع، مع ضغط الوقت. ينبه مكتب التحقيقات الفيدرالي إلى الحذر خصوصاً حين يضغط عليك الطالب لتتصرف بسرعة. المصدر السابق ويذكر اليوروبول من علامات الإنذار الاستعجال، وطلب السرية، والطلبات التي تتجاوز الإجراء الداخلي المعتاد. اليوروبول، احتيال الرئيس التنفيذي واختراق البريد
إجراء التحقق: سبع خطوات قبل أي تغيير في بيانات الدفع
اطبع هذا الإجراء واجعله سياسة مكتوبة. الخطوات مبنية على توصيات الجهات المذكورة، وصياغتها في هذا الترتيب تحريرية.
قبل أن تحتاجه:
- أنشئ سجلاً للموردين فيه لكل مورّد: اسم شخص معروف، ورقم هاتف حصلت عليه عند بدء العلاقة من مصدر مستقل (موقع الشركة الرسمي، أو سجل تجاري، أو لقاء مباشر)، وبيانات الحساب البنكي المعتمدة. توصي جهة Action Fraud البريطانية بالتواصل مع المورّد مباشرة عبر بيانات الاتصال المعتمدة المحفوظة لديك. Action Fraud، احتيال التفويض ومن طرق التحقق من وجود المورّد نفسه ما يشرحه مقال كيف تتحقق من وجود شركة تجارية قبل أن تحوّل إليها.
عند وصول أي طلب تغيير:
- لا تنفّذ ولا ترد بالتأكيد على الرسالة نفسها. الرد في السلسلة المخترقة يصل إلى المحتال.
- اتصل من سجلك، لا من الرسالة. يوصي مركز IC3 بالاتصال بالخط الرئيسي للشركة بدلاً من الأرقام الواردة في البريد، ويوصي باستخدام قنوات ثانوية للتحقق من طلبات تغيير بيانات الحساب. IC3، إعلان خدمة عامة مارس 2023؛ IC3، اختراق البريد الإلكتروني للأعمال ويوصي البنك التجاري الدولي في الإمارات بتأكيد طلبات تغيير حسابات الدفع عبر وسيلة بديلة مثل رقم هاتف استُخدم من قبل. البنك التجاري الدولي (CBI، الإمارات)، اختراق البريد الإلكتروني للأعمال وينصح مصرف أبوظبي الإسلامي بالعربية بإعادة الاتصال للتحقق من طلبات تفاصيل الدفع والشراء، شخصياً إن أمكن. مصرف أبوظبي الإسلامي
- اسأل سؤالاً مفتوحاً. لا تقل «هل غيرتم حسابكم إلى بنك كذا؟»، بل «هل هناك أي تغيير في بيانات الدفع لديكم؟ أرجو أن تقرأ لي رقم الحساب واسم المستفيد». المحتال على خط مزوّر يوافق غالباً على ما تقوله؛ المورّد الحقيقي يقرأ ما لديه.
- افحص النطاق والاسم. قارن عنوان المرسل حرفاً بحرف مع السجل. يوصي IC3 بالتأكد من أن نطاق البريد مرتبط فعلاً بالشركة التي يدّعي أنه منها. IC3، مارس 2023 وقارن اسم المستفيد في البيانات الجديدة مع الاسم القانوني في العقد.
- اطلب موافقة شخص ثانٍ على أي تغيير معتمد في بيانات مورّد، وعلى التحويلات الكبيرة. يوصي بنك حبيب إيه جي زيورخ في الإمارات بطلب مستويات موافقة متعددة للمعاملات الكبيرة. بنك حبيب إيه جي زيورخ، الإمارات
- ابدأ بدفعة اختبار صغيرة إلى الحساب الجديد، ثم تأكد هاتفياً من المورّد عبر رقم السجل أنه استلمها قبل تحويل الباقي. توصي حملة Take Five البريطانية بالتشكيك في أي تغيير لبيانات الدفع، لأن الشركات نادراً ما تغيّر بنوكها، وبدفعة اختبار صغيرة أولاً. Take Five، احتيال الفواتير والتفويض
خدمات مطابقة اسم المستفيد. في بعض الأنظمة المصرفية توجد خدمة تتحقق من تطابق اسم المستفيد مع الحساب قبل التحويل. أمثلة غير عربية موسومة: خدمة «تأكيد المستفيد» في المملكة المتحدة للتحويلات المحلية Pay.UK، وإلزام مقدمي خدمات الدفع في الاتحاد الأوروبي منذ 9 أكتوبر 2025 بالتحقق مجاناً من تطابق اسم المستلم مع رقم IBAN في تحويلات اليورو. المفوضية الأوروبية اسأل بنكك عن خدمة مماثلة في بلدك. وإن وُجدت، فهي طبقة إضافية لا تغني عن الاتصال: المحتال قد يفتح حساباً باسم يشبه اسم المورّد.
ضوابط داخلية لا تكلف شيئاً
| الضابط | ماذا يمنع |
|---|---|
| تغيير بيانات مورّد في النظام لا يتم إلا بنموذج يوقعه شخصان، بعد الاتصال | تغيير فردي تحت ضغط رسالة واحدة |
| الموظف الذي يستلم طلب التغيير ليس هو من يوافق على التحويل | أن يخدع المحتال شخصاً واحداً فيعبر الضابطين |
| كلمة «عاجل» أو «سري» في طلب دفع تعني إبطاءً لا إسراعاً | استغلال الضغط الزمني |
| تنبيه مكتوب للمورّدين: «لن نغيّر بيانات الدفع بناءً على بريد إلكتروني وحده» | يعرف المورّد الحقيقي الإجراء ويتوقع اتصالك |
| يعرف الموظفون من يتصلون به إذا شكّوا، دون خوف من اللوم | يتأخر الإبلاغ خجلاً من الخطأ |
الضوابط تحريرية في صياغتها، ومبنية على مبدأين تكررهما المصادر: التحقق عبر قناة ثانية، وعدم ترك قرار الدفع لشخص واحد تحت الضغط.
إذا حوّلت ثم شككت: الساعة الأولى
- اتصل ببنكك فوراً، عبر رقمه الرسمي أو موقعه، لا عبر أي رقم في الرسائل. المركز الوطني للأمن السيبراني البريطاني واطلب منه أن يتصل بالبنك الذي حُوّل إليه المال وأن يطلب استرداد التحويل. مكتب التحقيقات الفيدرالي؛ IC3، سبتمبر 2024
- أبلغ الجهات المختصة في بلدك. مثال موسوم من الإمارات: تسرد بوابة الحكومة الرسمية قنوات منها منصة الجرائم الإلكترونية لوزارة الداخلية، وموقع الجرائم الإلكترونية لشرطة دبي، وخدمة «أمان» لشرطة أبوظبي. بوابة حكومة الإمارات ويدعو المصرف المركزي الإماراتي ضحايا الاحتيال إلى إبلاغ جهات إنفاذ القانون المحلية. مصرف الإمارات العربية المتحدة المركزي في البلدان الأخرى، اسأل بنكك عن القناة الرسمية المعتمدة.
- احتفظ بكل شيء: الرسائل بعناوينها الكاملة، وإشعار التحويل، وسجل المكالمات. لا تحذف السلسلة ولا ترد عليها. (نصيحة تحريرية.)
- أبلغ المورّد الحقيقي عبر رقم السجل. قد يكون حسابه هو المخترق، وقد يكون عملاء آخرون له في الخطر نفسه.
- افحص بريد شركتك مع من يدير أنظمتك: هل اختُرق حساب لديكم؟
لماذا السرعة؟ لدى مكتب التحقيقات الفيدرالي آلية لتجميد الأموال في التحويلات المؤهلة التي تبدأ من الولايات المتحدة، ويذكر تقريره لعام 2025 أنها نجحت في 58% من الحالات التي عالجتها. تقرير IC3 لعام 2025 هذه آلية أمريكية ولا تنطبق على تحويلاتك بالضرورة، لكنها تبيّن أن فرصة الاسترداد مرتبطة بسرعة الإبلاغ. لا يعدك أحد بالاسترداد.
ما لا يغطيه هذا المقال
- الإجراءات القانونية وإجراءات البلاغ في كل بلد عربي: تختلف، وتُراجع لدى البنك والجهات الرسمية.
- الإجراءات التفصيلية بعد اكتشاف الاحتيال، والتعامل مع التأمين والمحامين: موضوع مستقل.
- الأمن التقني للبريد (المصادقة الثنائية، إعدادات النطاق): يحتاج مختص أمن معلومات.
- المقال لا يتناول أي شركة أو حالة بعينها، ولا يذكر حالات حقيقية.
وللقارئ بالإنجليزية مقال بالإنجليزية عن احتيال تحويل الدفعات.
أسئلة شائعة
وصلتني رسالة من المورّد بحساب جديد من بريده المعتاد. هل هي آمنة؟ ليس بالضرورة. قد يكون بريد المورّد نفسه مخترقاً. تحقق بالاتصال عبر رقم في سجلك، لا من الرسالة.
المورّد مستعجل ويقول إن الشحنة ستتأخر إذا لم أحوّل اليوم. ماذا أفعل؟ الاستعجال علامة إنذار بحسب مكتب التحقيقات الفيدرالي. تأخير يوم للتحقق أرخص من خسارة الدفعة كلها.
هل يكفي أن يرسل المورّد خطاباً مختوماً من بنكه بالحساب الجديد؟ الخطاب المرفق بالرسالة قد يكون مزوراً مثل الرسالة. التحقق يكون بالاتصال عبر قناة مستقلة.
حوّلت إلى حساب خاطئ. هل يمكن استرداد المبلغ؟ لا يمكن ضمان ذلك. اتصل ببنكك فوراً واطلب استرداد التحويل والتواصل مع البنك المستلم، ثم أبلغ الجهات المختصة.
ما تفعله الآن
خصص ساعة هذا الأسبوع لثلاثة أشياء: أنشئ سجل الموردين بأرقام هواتف مستقلة لكل مورّد حالي، واكتب إجراء الخطوات السبع في صفحة واحدة يوقّعها كل من يملك صلاحية التحويل، وأرسل لمورّديك سطراً واحداً: «لن نغيّر بيانات الدفع بناءً على بريد إلكتروني وحده؛ سنتصل بكم على الرقم المسجل لدينا».
المصادر
- مكتب التحقيقات الفيدرالي، مركز شكاوى جرائم الإنترنت — 2025 IC3 Report — https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf (تاريخ الاطلاع 24 سبتمبر 2026)
- مكتب التحقيقات الفيدرالي — Business Email Compromise — https://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-frauds-and-scams/business-email-compromise (24 سبتمبر 2026)
- IC3 — Business Email Compromise — https://www.ic3.gov/CrimeInfo/BEC (24 سبتمبر 2026)
- IC3 — PSA230324 (مارس 2023) — https://www.ic3.gov/PSA/2023/psa230324 (24 سبتمبر 2026)
- IC3 — PSA240911 (11 سبتمبر 2024) — https://www.ic3.gov/PSA/2024/PSA240911 (24 سبتمبر 2026)
- اليوروبول — CEO fraud / BEC (PDF) — https://www.europol.europa.eu/sites/default/files/documents/4_ceo-bec_fraud.pdf (24 سبتمبر 2026)
- Action Fraud (المملكة المتحدة) — Mandate fraud — https://www.actionfraud.police.uk/a-z-of-fraud/mandate-fraud (24 سبتمبر 2026)
- Take Five to Stop Fraud (UK Finance) — Invoice and mandate fraud — https://www.takefive-stopfraud.org.uk/protect-your-business/invoice-and-mandate/ (24 سبتمبر 2026)
- المركز الوطني للأمن السيبراني البريطاني — Business payment fraud: respond and recover — https://www.ncsc.gov.uk/section/respond-recover/ml-business-payment-fraud (24 سبتمبر 2026)
- Pay.UK — Confirmation of Payee — https://www.wearepay.uk/what-we-do/overlay-services/confirmation-of-payee/ (24 سبتمبر 2026)
- المفوضية الأوروبية — New EU rules make instant euro payments faster and safer (10 أكتوبر 2025) — https://finance.ec.europa.eu/news/new-eu-rules-make-instant-euro-payments-faster-and-safer-2025-10-10_en (24 سبتمبر 2026)
- مصرف أبوظبي الإسلامي — احتيال البريد الإلكتروني الخاص بالأعمال — https://www.adib.ae/ar/fraud-security/protect-yourself/fraud-schemes-business-email (24 سبتمبر 2026)
- البنك التجاري الدولي (CBI، الإمارات) — Business email compromise — https://www.cbiuae.com/en/consumer-education-awareness/consumer-banking-security/business-email-compromise/ (24 سبتمبر 2026)
- بنك حبيب إيه جي زيورخ (الإمارات) — Email payment fraud — https://habibbank.com/uae/downloads/cea/EmailPaymentFraud/EmailPaymentFraud.html (24 سبتمبر 2026)
- بوابة حكومة الإمارات — Cyber safety and digital security — https://u.ae/en/information-and-services/justice-safety-and-the-law/Safety/cyber-safety-and-digital-security (24 سبتمبر 2026)
- مصرف الإمارات العربية المتحدة المركزي — Fraudulent reporting — https://centralbank.ae/en/our-operations/risk-management/cyber-security-centre-of-excellence-1/fraudulent-reporting/ (24 سبتمبر 2026)
