أصبح تطبيق الخدمات المصرفية على الجوال الفرع الرئيسي للبنك وأكبر سطح هجوم عليه في آن واحد. فالاستيلاء على الحسابات عبر تبديل شرائح الاتصال والهندسة الاجتماعية، والبرمجيات الخبيثة التي تضع شاشات مزيفة فوق التطبيقات الحقيقية، وأدوات الوصول عن بُعد التي يُقنع المحتال العميل بتثبيتها، وعمليات الاحتيال بالدفع المفوّض عبر القضبان الفورية، نمت جميعها مع الاعتماد الرقمي في المنطقة. واستجاب المنظّمون بأطر تتجاوز اختبارات الاختراق بكثير، واستجاب العملاء بتغيير بنوكهم بعد تجربة سيئة.
يغطي هذا الدليل التهديدات الأهم في الشرق الأوسط اليوم، وما تتوقعه الأطر التنظيمية الرئيسية من قناة الجوال، وقائمة التحقق الهندسية التي نطبقها حين نبني التطبيقات المصرفية وندققها.
السعودية: إطار الأمن السيبراني من ساما
إطار الأمن السيبراني من ساما، الصادر أولاً في 2017 والمحدّث منذ ذلك الحين، هو خط الأساس لكل بنك وشركة تأمين وشركة مالية في المملكة. يغطي الحوكمة وإدارة المخاطر والعمليات والأطراف الثالثة، ويُقيَّم عبر نموذج نضج تُبلغ المؤسسات وفقه. وتشمل الضوابط المتعلقة بقنوات الجوال دورة تطوير آمنة، واختبار أمن التطبيقات، ومصادقة قوية عبر نفاذ، وتوقيع المعاملات، وإدارة الجلسات، وفحوص أمن الجهاز، والتسجيل، ومراقبة الاحتيال. وأضاف ساما لاحقاً إرشادات خاصة بمكافحة الاحتيال في المدفوعات، ويتوقع من البنوك التصرف بناءً على المؤشرات السلوكية في الزمن الحقيقي لا بعد الخسارة.
الإمارات والخليج الأوسع: ضمان المعلومات ومكافحة الاحتيال
يضع نظام ضمان المعلومات ونظام حماية المستهلك الصادران عن مصرف الإمارات المركزي توقعات مماثلة: تصميم آمن، ومصادقة متعددة العوامل، وإشعار العميل بكل معاملة، وضوابط على المستفيدين الجدد وتغييرات الحدود، وإطار مسؤولية يدفع البنوك نحو الوقاية. ولدى بنك الكويت المركزي والبنك المركزي العُماني أطر أمن سيبراني على نهج مشابه، ويدير المنظّمون الأربعة حملات منسقة لمكافحة الاحتيال لأن عمليات الاحتيال نفسها تنتقل بين أسواقهم.
التهديدات التي تسبب الخسائر فعلاً
أربعة أنماط تمثل معظم الاحتيال المصرفي على الجوال في المنطقة. الهندسة الاجتماعية حيث يُقنع العميل بالموافقة على معاملة أو مشاركة رمز لمرة واحدة، غالباً من متصل ينتحل صفة البنك أو جهة حكومية. تبديل شريحة الاتصال ونقل الرقم، الذي يهزم رموز الرسائل النصية. برمجيات الوصول عن بُعد والتراكب الخبيثة على أندرويد، التي تلتقط بيانات الاعتماد أو تتلاعب بما يراه العميل. وفتح الحسابات بهويات مسروقة أو مصطنعة، ما يجعل التسجيل خط الدفاع الأول. لاحظ أن معظم هذه الأنماط تهزم تطبيقاً آمناً تقنياً بالالتفاف حوله، ولهذا يجب أن تغطي الضوابط العميل والجلسة لا الشيفرة فقط.
ضوابط المصادقة والجلسات
اربط التطبيق بالجهاز عند التسجيل بمفاتيح مدعومة بالعتاد، وعامل الجهاز الجديد كحدث عالي المخاطر. استخدم الهوية الرقمية الوطنية (نفاذ، الهوية الرقمية الإماراتية) للتسجيل وللمصادقة المعزّزة في الإجراءات عالية المخاطر، وابتعد عن رموز الرسائل النصية حيثما سمح التنظيم. وقّع المعاملات لا الجلسات: يجب أن يرى العميل المستفيد والمبلغ على الجهاز ويوافق عليهما، مع ربط الموافقة تشفيرياً بتلك القيم. افرض فترات تهدئة على المستفيدين الجدد وزيادات الحدود، وأرسل إشعاراً عبر قناة أخرى. أنهِ الجلسات بسرعة وأعد المصادقة للشاشات الحساسة.
حماية الجهاز ووقت التشغيل
اكشف الأجهزة المكسورة الحماية ومصححات الأخطاء والمحاكيات وأطر الاعتراض، وقرر عمداً ما يفعله التطبيق في كل حالة. اكشف إساءة استخدام تراكب الشاشة وخدمات إمكانية الوصول على أندرويد واحجب الشاشات الحساسة أثناء نشاط تراكب أو جلسة وصول عن بُعد. احمِ الملف التنفيذي بالتعمية وفحوص السلامة، وثبّت الشهادات، ولا تخزّن أي شيء حساس في التخزين المحلي من دون تشفير بمفاتيح مدعومة بالعتاد. هذه ضوابط قياسية في طبقة حديثة للحماية الذاتية للتطبيق في وقت التشغيل؛ والخطأ هو اعتبارها ميزة من مورّد لا جزءاً من نموذج تهديدات التطبيق.
مراقبة الاحتيال في الزمن الحقيقي
الاتجاه التنظيمي في كل مكان نحو المراقبة السلوكية في الزمن الحقيقي: كيف يكتب العميل ويتنقل، وهل هناك مكالمة جارية أثناء المعاملة، وهل الجهاز جديد، وهل المستفيد مرئي من قبل، وهل المبلغ والوقت يناسبان نمط العميل. والنماذج التي تقيّم كل جلسة وكل دفعة مقابل تلك الإشارات وتغذّي الدرجة في سياسة المصادقة تلتقط حالات الهندسة الاجتماعية التي تفوّتها محركات القواعد. وتولّد أيضاً الأدلة التي يطلبها المنظّمون الآن بعد الخسارة.
التطوير الآمن وسلسلة التوريد
تدخل معظم ثغرات التطبيقات عبر حزم تطوير من أطراف ثالثة وإصدارات متعجلة. ودورة تطوير آمنة مع نمذجة التهديدات عند التصميم، واختبار ثابت وديناميكي في خط الإنتاج، وفحص التبعيات، وإدارة الأسرار، واختبار اختراق مستقل قبل كل إصدار رئيسي، هي ما يتوقعه كل إطار. وبالنسبة إلى البنوك التي تسند تطوير الجوال خارجياً، المنظّمون صريحون في أن المساءلة تبقى على البنك، لذا فإن خط إنتاج الشريك وضوابط وصوله وترتيبات ملكية الشيفرة جزء من بيئة ضوابط البنك.
كيف تبني Eurisko التطبيقات المصرفية وتدققها
تبني Eurisko تطبيقات الخدمات المصرفية على الجوال لبنوك في السعودية والإمارات والكويت ولبنان منذ 2009، وفق متطلبات ساما ومصرف الإمارات المركزي وبنك الكويت المركزي، مع ربط الجهاز وتوقيع المعاملات وحماية وقت التشغيل وخطافات الاحتيال مدمجة في طبقة الجوال من Eurisko DXP. وندقق أيضاً التطبيقات القائمة مقابل قائمة التحقق أعلاه والإطار المعني. إن كان تطبيقكم مستحقاً لمراجعة أمنية، أو كنتم تخططون لإعادة بنائه، فبإمكان فريقنا المساعدة.
