هجمات الصوت بالتزييف العميق على الفرق المالية: دليل الدفاع

يوم الخميس، الساعة 4:50 عصرًا. الصوت على الخط صوت المدير المالي: إيقاع الكلام نفسه، واللهجة نفسها، ونفاد الصبر المألوف نفسه. يطلب أن تخرج دفعة سرية قبل نهاية الدوام. كل ما في الصوت صحيح. الشيء الوحيد الخاطئ أن المدير المالي لم يُجرِ هذه المكالمة قط.

لم يعد هذا السيناريو افتراضًا منذ سنوات. ففي شركة الهندسة Arup انضم موظف مالي إلى مكالمة فيديو مع أشخاص بدوا ويتحدثون مثل المدير المالي للشركة وعدد من زملائه؛ ثم أجرى 15 تحويلًا بلغ مجموعها نحو 25.6 مليون دولار أمريكي. كان كل المشاركين الآخرين في المكالمة تزييفًا عميقًا. ولم تزدد التقنية منذ ذلك اليوم إلا تطورًا. فبحسب إعلان Gartner البحثي بتاريخ 22 سبتمبر 2025 تعرّضت 62% من المؤسسات لهجوم تزييف عميق خلال العام الماضي. وسجّل تقرير CrowdStrike العالمي للتهديدات 2025 ارتفاع التصيد الصوتي في النصف الثاني من 2024 بنسبة 442% مقارنة بالنصف الأول. ويقول تقرير Verizon لتحقيقات اختراق البيانات 2026 إن العنصر البشري أدّى دورًا في 62% من الاختراقات.

يتناول هذا الدليل النقطة التي تصطدم فيها هذه التقنية بوظيفة واحدة: الأشخاص المخوّلون باعتماد خروج الأموال. هذه الفرق تقف في قلب المخاطر البشرية في القطاع المالي. نشرح لماذا تُستهدف الفرق المالية، وكيف تُظهر ثلاث حالات موثقة جيدًا ما ينجح وما لا ينجح، وعملية تحقق تصمد حتى لو كان الصوت مثاليًا.

لماذا تذهب المكالمات إلى الإدارة المالية؟

صوت التزييف العميق ليس هجومًا جديدًا، بل أداة تضاعف قوة هجوم قديم. احتيال الرئيس التنفيذي الذي ينتحل فيه المهاجم شخصية تنفيذي كبير ليطلب دفعة عاجلة أقدم بكثير من الذكاء الاصطناعي. واحتيال اختراق البريد الإلكتروني للأعمال (BEC) ما زال من أكثر أنواع الجرائم كلفة: أبلغ مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (IC3) في تقريره السنوي لعام 2025 عن خسائر BEC تقارب 3 مليارات دولار أمريكي. وما يضيفه الصوت المستنسخ هو طبقة الثقة التي لم يستطع البريد الإلكتروني تقليدها قط: صوت مألوف يجيب عن أسئلتكم في الوقت الفعلي.

ولفتت الجهات الرقابية الانتباه صراحةً إلى هذا التحول. فقد حذّرت FinCEN التابعة لوزارة الخزانة الأمريكية في تنبيهها الصادر في نوفمبر 2024 المؤسسات المالية من ازدياد المعاملات المشبوهة التي تتضمن محتوى تزييف عميق، من وثائق الهوية المولّدة بالذكاء الاصطناعي إلى انتحال التنفيذيين. ويتوقع مركز الخدمات المالية في Deloitte أن ترتفع خسائر الاحتيال المدعوم بالذكاء الاصطناعي التوليدي في الولايات المتحدة من 12.3 مليار دولار في 2023 إلى 40 مليار دولار في 2027. هذا توقّع لا قياس؛ لكن الاتجاه واضح.

ومنطق الاستهداف بسيط. تجمع الفرق المالية بين صلاحية الدفع وثقافة الاستجابة السريعة للتنفيذيين؛ وكثيرًا ما يمكن تخمين عمليات الاعتماد (من يعتمد ماذا وفوق أي مبلغ) من الخارج. المهاجم الذي يستنسخ صوت الرئيس التنفيذي لا يحتاج إلى اختراق أي نظام. يحتاج إلى شخص واحد يعدّ الصوت إثباتًا للهوية. واحتيال الفواتير يعمل بالمنطق نفسه: الطلب عادي، والضغط اجتماعي، والمال يخرج عبر قنوات مشروعة.

ثلاث مكالمات، ثلاثة دروس

قراءة الحالات الثلاث معًا مفيدة على نحو غير معتاد؛ لأن الفرق بين خسارة بعشرات الملايين ومحاولتين أُفلت منهما بصعوبة لم يكن تقنية الكشف قط. لم تنقذ الأذن أحدًا.

في Ferrari كان الصوت المنتحل للرئيس التنفيذي Benedetto Vigna مقنعًا، حتى لكنة جنوب إيطاليا كانت في مكانها. لكن التنفيذي على الخط فعل شيئًا لا يستطيع أي استنساخ تجاوزه: سأل عن الكتاب الذي أوصاه به Vigna مؤخرًا. فأغلق الرئيس التنفيذي المزيّف الخط. وفي LastPass لاحظ الموظف العلامات التي دُرّب عليها تحديدًا: تواصل من خارج قنوات العمل المعتادة، وإلحاح مصطنع. أما في Arup فقد أزالت مكالمة الفيديو نفسها الشك الأول الذي شعر به الموظف تجاه رسالة تصيد. أدّى الاجتماع المزيّف دور الطمأنة، ولم يكن بين تلك الطمأنة والتحويلات أي ضابط إجرائي.

لا يحتاج الصوت المستنسخ أن يخدع أذنكم إلى الأبد؛ يكفي أن يخدعها بما يكفي ليتغلب الإلحاح على الإجراء. التحقق يجب أن يعيش في العملية لا في المستمع.

كيف تُحضَّر مكالمة مستنسخة؟

فهم سلسلة الإنتاج يُظهر أين ينجح الدفاع. الخطوة الأولى هي الاستطلاع: يستخدم المهاجمون OSINT لاختيار الصوت والهدف وذريعة مقنعة؛ اجتماعات المستثمرين، ومقاطع المؤتمرات، والهياكل التنظيمية على LinkedIn، والبيانات الصحفية. الخطوة الثانية هي الاستنساخ نفسه: وجدت أبحاث McAfee عن استنساخ الصوت أن أدوات متاحة مجانًا تستطيع إنتاج تطابق صوتي بنسبة 85% من تسجيل مدته ثلاث ثوانٍ فقط. الخطوة الثالثة هي القناة: تفضّل الهجمات الهواتف الشخصية وواتساب، حيث لا ينظر أمن البريد ولا سجلات المكالمات أبدًا. وهذه هي النقطة العمياء نفسها التي تستغلها الموجة الأوسع من التصيد الصوتي والتصيد بالرسائل النصية. وتعكس بعض الحملات المسار وتستخدم تصيد معاودة الاتصال: تترك رسالة بريد رقم هاتف، فتبدأ الضحية المكالمة وتأتي إليها واثقةً أصلًا.

ثم يأتي السيناريو: استحواذ سري، أو حالة طارئة لدى مورّد، أو موعد نهائي لجهة رقابية. عاجل دائمًا، وسري دائمًا؛ وينتهي دائمًا بدفعة أو ببيانات دخول. ويصف إعلان FBI للعامة بتاريخ ديسمبر 2024 هذه السلسلة كاملة، من الصوت المستنسخ إلى الوثائق المولّدة بالذكاء الاصطناعي التي تدعم الذريعة.

كيف يبدو ذلك في شركة خليجية؟ (مثال خيالي)

السيناريو التالي خيالي بالكامل؛ الشركة والأشخاص من نسج الخيال.

يتلقى رئيس الحسابات في «شركة الريان للتوزيع»، وهي شركة توزيع متوسطة الحجم، مساء الخميس رسالة واتساب من حساب يحمل صورة المدير العام: «نحن في مفاوضات استحواذ سرية، سأتصل بك بعد قليل، لا تخبر أحدًا.» وبعد عشر دقائق تأتي مكالمة يقول فيها صوت المدير العام إن دفعة مقدمة لمورّد أجنبي يجب أن تخرج اليوم؛ وستصل بيانات الفاتورة من العنوان [email protected]. ولدى رئيس الحسابات إجراء داخلي: كل دفعة تتجاوز 250,000 ريال تحتاج إلى اعتماد ثانٍ ومعاودة اتصال من الرقم المسجّل في الدليل. يُنهي المكالمة ويتصل بالمدير العام على رقمه الداخلي المسجّل. المدير العام في اجتماع ولا علم له بهذا الطلب. لا تخرج الدفعة؛ ويبلّغ رئيس الحسابات إدارة أمن المعلومات بالحادثة.

ما يعلّمه هذا المثال أنه لا يهم أبدًا هل ميّز رئيس الحسابات الصوت أم لا. ما أنقذه هو عملية تستند إلى قرار ليس قراره.

عملية التحقق للفرق المالية

1. لا تجعلوا معاودة الاتصال من رقم معروف محلّ تفاوض. كل طلب صوتي أو مرئي يطلب خروج أموال أو تغيير بيانات الدفع أو مشاركة بيانات الدخول يُتحقق منه عبر قناة منفصلة: أنهوا المكالمة واتصلوا بالرقم الموجود في دليل المؤسسة. لا تستخدموا أبدًا الرقم الذي اتصل بكم ولا الرقم المعطى أثناء المكالمة. ويوصي FBI إضافةً إلى ذلك باستخدام كلمة أو عبارة سرية متفق عليها مسبقًا للاعتمادات عالية المخاطر. عاملوها ضابطًا من الضوابط لا الضابط الوحيد؛ فكل ما يمكن مشاركته يمكن تسريبه.

2. ابنوا ضوابط تفترض أن الهوية لا يمكن التحقق منها. اعتماد مزدوج فوق مبلغ محدد، وفصل من يبدأ الدفعة عمن يعتمدها، وفترة انتظار إلزامية للمستفيدين المضافين أو المعدّلين لأول مرة. تنجح هذه الضوابط لأنها لا تكترث بمدى إقناع صاحب الطلب. فخسارة Arup تطلّبت شخصًا واحدًا يستطيع إجراء خمسة عشر تحويلًا بناءً على اجتماع واحد.

3. احموا مسار تغيير بيانات المورّد. تغييرات البيانات المصرفية هي القريب الهادئ لمكالمة الرئيس التنفيذي الدرامية، ومنها في الواقع يتدفق معظم مال احتيال BEC. كل تغيير في بيانات الدفع لدى المورّد يُتحقق منه مع شخص معروف لدى المورّد، من رقم محدد مسبقًا، مهما بدا الطلب مشروعًا.

4. اجعلوا قول «لا» للرئيس التنفيذي آمنًا. النجاة في Ferrari أتاحها تنفيذي شعر بأنه مخوّل لمساءلة رئيسه التنفيذي. اكتبوا ذلك: لن يُعاقب أحد على تأخير دفعة للتحقق منها، والتنفيذيون الحقيقيون يتوقعون التحقق. والطلب الذي يجمع الإلحاح والسرية ويثني عن التحقق هو أقوى علامة احتيال قد تصادفونها.

5. تمرّنوا، ثم قيسوا. السياسة التي لم يتمرّن عليها أحد تنهزم أمام صوت يعرفه الجميع. نفّذوا محاكاة صوت بالتزييف العميق مخصصة لأدوار المالية والخزينة، واختبروا هل تُجرى معاودة الاتصال فعلًا تحت ضغط الوقت. انقلوا النتائج إلى Human Risk Score؛ فيحصل أصحاب صلاحية الدفع، أي من يكون ثمن خطئهم الأعلى، على توجيه موجّه بدل تدريب سنوي عام. وحين تقع محاولة أبلغوا عنها: أولًا داخليًا لفريق الأمن، وإن خرجت أموال ففورًا لمصرفكم.

وللبنوك وشركات التمويل في المملكة العربية السعودية يتصل هذا مباشرة بإطار ساما للأمن السيبراني، الذي يطلب في القسم 3.1.6 أن يغطي برنامج التوعية التهديدات الناشئة ومنها التصيد الموجّه واستهداف كبار المسؤولين، وفي القسم 3.1.7 تدريبًا متخصصًا للأدوار الرئيسية. هذه صياغة تلخيصية لا نص رسمي.

الخلاصة

كان الصوت بصمة حيوية تملكها مؤسستكم مجانًا: تعرف المدير المالي، فتثق بالمدير المالي. أزال الاستنساخ الرخيص للصوت هذا الافتراض، ولن يعود. الفرق المالية التي تدير هذا الوضع جيدًا ليست التي تشتري كاشفًا للتزييف العميق؛ بل التي تنقل الثقة من الإدراك البشري إلى العملية، وتتمرّن على تلك العملية بما يكفي لتصمد أمام صوت مقنع يتصل عصر الخميس. ستواصل التقنية خلف هذه المكالمات تطورها. ومعاودة الاتصال من رقم معروف ستظل تنجح.