التصفية السريعة
يُعرف «السكيمينغ» بأنه سرقة بيانات بطاقات الدفع في لحظة استخدام البطاقة، وذلك بواسطة جهاز يتم توصيله سراً بقارئ البطاقات الشرعي أو تركيبه بداخله. وتعمل المحطة الطرفية بشكل طبيعي، وتُنجز المعاملة، ولا يلاحظ حامل البطاقة أي شيء يشير إلى حدوث أي شيء. وتُستخدم البيانات التي تم التقاطها لاحقًا في إنتاج بطاقات مزورة أو لإجراء عمليات شراء عبر الإنترنت.
لا تزال عمليات نسخ بيانات البطاقات تتركز في الأماكن التي تكون فيها أجهزة الدفع غير مراقبة ودون إشراف: أجهزة الصراف الآلي، ومضخات الوقود، والأكشاك المستقلة.
| ما الذي يتم التقاطه | بيانات مسار البطاقة، وغالبًا رقم التعريف الشخصي (PIN) |
| مصفاة | يقوم بقراءة الشريط المغناطيسي، وعادةً ما يتم ذلك عن طريق غطاء موضوع فوق فتحة البطاقة |
| لمعان | جهاز رفيع يُدخل في القارئ ويعمل على اعتراض اتصالات الرقاقة |
| التقاط رقم التعريف الشخصي (PIN) | كاميرا ذات ثقب إبرة أو لوحة مفاتيح متراكبة فوق اللوحة الحقيقية |
| المناطق الأكثر عرضة للخطر | أجهزة الصراف الآلي، ومضخات الوقود، وأكشاك الخدمة الذاتية |
| الاستخدام في المراحل النهائية | البطاقات المزورة، عمليات السحب من أجهزة الصراف الآلي، عمليات الشراء دون وجود البطاقة |
كيفية عمل عملية «السكيمينغ»
أ مصفاة وهو جهاز قراءة يُوضع فوق فتحة البطاقة أو داخلها، ويقوم بنسخ الشريط المغناطيسي أثناء مرور البطاقة. وتتميز الإصدارات الحديثة بأنها رفيعة، ومصممة خصيصًا لتناسب طراز الجهاز المحدد، كما أنها تعتمد بشكل متزايد على الاتصال اللاسلكي، مما يغني المشغل عن الحاجة إلى العودة لاستلام الجهاز — وهو ما أدى إلى إزالة الفرصة الرئيسية للقبض عليهم.
أ تلميع يتناول البطاقات الذكية. وهي عبارة عن دائرة رقيقة كالورق تُدخل في فتحة القارئ، وتوضع بين الشريحة ونقاط التلامس في الجهاز، وتسجل عملية التبادل. ولا يمكنها استنساخ الشريحة — حيث إن استجابة التشفير الخاصة بالشريحة فريدة لكل معاملة بحكم تصميمها — لكنها تلتقط بيانات كافية من البطاقة لتكون مفيدة في أماكن أخرى، لا سيما حيث يُقبل استخدام الشريط المغناطيسي كبديل.
التقاط رقم التعريف الشخصي (PIN) وهذا هو النصف الآخر، وهو ما يحول البيانات المسروقة إلى أموال نقدية. حيث تقوم كاميرا ذات ثقب إبرة موضوعة فوق لوحة المفاتيح، أو لوحة مفاتيح مزيفة موضوعة فوق اللوحة الحقيقية، بتسجيل عمليات الإدخال. وتُستخدم بيانات البطاقة التي لا تحتوي على رقم التعريف الشخصي (PIN) في عمليات الشراء؛ بينما تُستخدم بيانات البطاقة التي تحتوي على رقم التعريف الشخصي (PIN) في عمليات السحب.
يعتمد نمط التوزيع على الفرص المتاحة. فمضخات الوقود موجودة في الهواء الطلق، وغالبًا ما تكون مزودة بقفل عام، ويمكن فتحها في أقل من دقيقة. أما أجهزة الصراف الآلي البعيدة عن الفروع، فتبقى دون فحص لفترات طويلة. وكلاهما يستخدمه أشخاص في عجلة من أمرهم ولا يوجد لديهم سبب لتفقد الجهاز.
لماذا لم تنجح البطاقات الذكية في القضاء على عملية «السكيمينغ»؟
جعلت رقائق EMV تزوير البطاقات أمراً صعباً، فانتقلت عمليات الاحتيال إلى أساليب أخرى بدلاً من أن تتوقف.
- الشريط المغناطيسي لا يزال موجودًا. تحمل معظم البطاقات بطاقة احتياطية للاستخدام في حالات الطوارئ وللأغراض الدولية، وحيثما يتم قبولها، تظل بيانات الشريط الممغنط صالحة للاستخدام.
- لا يتطلب الاستخدام دون وجود البطاقة وجود البطاقة على الإطلاق. يكفي إدخال الرقم وتاريخ انتهاء الصلاحية والاسم المستخرج من شريط البطاقة عند التعامل عبر الإنترنت، حيث لا توجد شريحة إلكترونية للتحقق من الهوية.
- تم تحديث المحطات الطرفية غير المراقبة ببطء. وقد تأخرت محطات الوقود على وجه الخصوص سنوات عديدة عن الفئات التجارية الأخرى في تطبيق معيار EMV، مما أدى إلى بقاء عدد كبير من أجهزة قراءة الشريط المغناطيسي في أكثر المواقع التي تفتقر إلى الرقابة.
والدرس العام الذي يجدر بنا استخلاصه هو: إن آلية التحقق التي تثبت صحة البطاقة لا تفيد في شيء عندما لا يتم تقديم البطاقة عبر القناة المعنية. فالتحقق من صحة البطاقة عبر الشريحة هو إجراء أمني حقيقي يُطبق على تفاعل معين، بينما تتجنب تقنية «السكيمينغ» هذا الإجراء لتنتقل إلى تفاعل آخر.
لماذا يعد ذلك مهمًا للتحقق من الهوية
يُعد «السرقة بالتمشيط» مشكلة تتعلق بسرقة البيانات، ولا يمنع التحقق من الهوية تركيب جهاز على مضخة الوقود. والتوضيح الدقيق لهذه الحقيقة أكثر فائدة من الادعاء بخلاف ذلك.
أما المجال الذي ينطبق فيه العمل المتعلق بالهوية فهو في المراحل اللاحقة، لأن البيانات المُستخلصة يجب تحويلها إلى عائدات مالية، وكل مسار لتحقيق ذلك يمر عبر قرار يتعلق بالهوية. ويتم تجميع تفاصيل البطاقات في fullz وتُباع؛ ويستخدمها المشترون لفتح حسابات، أو التسجيل في خدمات الدفع، أو شحن رصيد المحافظ. وهذا هو الاحتيال في تقديم الطلبات، ويمكن التقاطها.
أما فيما يتعلق بعمليات السحب النقدي، فالأمر نفسه. حيث يتم توجيه عمليات السحب والتحويلات من البطاقات التي تم استنزاف رصيدها عبر حسابات تم فتحها لهذا الغرض — وهو إيداع في البنك — ويتم إنشاء هذه الحسابات من قِبل شخص يقدم هوية يمكن التحقق منها.
لذا فإن الموقف الصادق هو موقف محدود وواقعي: فالتحقق لا يمنع «المتطفل»، بل يرفع تكلفة استخدام ما يجمعه «المتطفل».
التصفية السطحية مقارنةً بالتقنيات ذات الصلة
| مصفاة | لمعان | الاستخراج الرقمي | |
|---|---|---|---|
| الهدف | الشريط المغناطيسي | واجهة الرقاقة | صفحة الدفع عبر الإنترنت |
| جهاز مادي | نعم — متراكبة أو داخلية | نعم — داخل الفتحة | لا — نص مدمج |
| يسجل رقم التعريف الشخصي (PIN) | باستخدام كاميرا أو لوحة مفاتيح متراكبة | باستخدام كاميرا أو لوحة مفاتيح متراكبة | يستخرج كل ما يجمعه النموذج |
| يمكن لحامل البطاقة اكتشافها | في بعض الأحيان، عن طريق الفحص | نادرًا | لا |
| موقع نموذجي | أجهزة الصراف الآلي، مضخات الوقود | أجهزة الصراف الآلي، وأجهزة الدفع في متاجر البيع بالتجزئة | مواقع التجارة الإلكترونية المخترقة |
تم إدراج مصطلح «السرقة الرقمية» لأن هذا الاسم يُستخدم حاليًا للإشارة إلى كلا النوعين. وهي هجمة مختلفة — حيث يتم استخدام جافا سكريبت خبيثة على صفحة الدفع لجمع البيانات أثناء كتابتها — ولا تشترك مع الهجمات الأخرى سوى في المبدأ القائل بأن السرقة تحدث عند نقطة الدخول بينما يبدو كل شيء على ما يرام.
ما لا تستطيع ضوابط التحويل غير المصرح به تحقيقه
التفتيش يكشف عن المخالفات الفاضحة. من المفيد سحب فتحة البطاقة وتغطية لوحة المفاتيح، لكن هذه الإجراءات لا تكشف عن أجهزة النسخ الخفية أو أجهزة التلصص الداخلية، التي لا تترك أي أثر خارجي على الإطلاق.
تعد أجهزة مكافحة التطفل سباق تسلح. تعمل وحدات التشويش والكشف على التصاميم المعروفة، ويتم إجراء هندسة عكسية عليها بدورها.
عادةً ما يكون الكشف عن الحالة بأثر رجعي. يتم الكشف عن معظم أجهزة نسخ البيانات عن طريق ربط حالات الاحتيال بنقطة شراء مشتركة — مما يعني أن الجهاز كان يعمل بالفعل منذ فترة، وأن كل بطاقة استُخدمت خلال تلك الفترة قد تأثرت.
الأسئلة الشائعة
ما الفرق بين كلمة «skimmer» وكلمة «shimmer»؟
يقوم جهاز «السكيمر» بقراءة الشريط المغناطيسي، وعادةً ما يتم ذلك من خلال غطاء موضوع فوق فتحة البطاقة. أما جهاز «الشيمر» فهو جهاز رفيع يُدخل داخل القارئ ويعمل على اعتراض الاتصال مع الشريحة. ولا يستطيع جهاز «الشيمر» استنساخ الشريحة، لأن استجابة الشريحة تتغير في كل معاملة، لكنه يلتقط بيانات البطاقة التي تظل مفيدة عند التعامل عبر الإنترنت أو في الأماكن التي يُقبل فيها استخدام الشريط المغناطيسي كبديل.
هل يمكن نسخ بيانات بطاقة الرقاقة؟
لا يمكن استنساخ الشريحة نفسها من خلال عملية قراءة سطحية. ومع ذلك، لا تزال البطاقة عرضة للاختراق، لأن معظم البطاقات المزودة بشريحة تحتوي أيضًا على شريط مغناطيسي، ولأن رقم البطاقة وتاريخ انتهاء الصلاحية يكفيان لإجراء عمليات الشراء دون الحاجة إلى وجود البطاقة فعليًّا، حيث لا يتم استخدام الشريحة في هذه الحالات.
أين تحدث عمليات السرقة الصغيرة في أغلب الأحيان؟
في الأجهزة غير المراقبة وغير الخاضعة للإشراف — مثل أجهزة الصراف الآلي البعيدة عن الفروع، ومضخات الوقود، والأكشاك المستقلة. يمكن الوصول إلى هذه الأجهزة دون أن يلاحظك أحد، ويستخدمها أشخاص ليس لديهم أي سبب لتفقد الجهاز.
كيف يكتشف الناس أنهم تعرضوا لعملية سرقة بيانات؟
وعادةً ما يكون ذلك نتيجة المعاملات الاحتيالية وليس من خلال عمليات «السكيمينغ». وغالبًا ما تفصل أسابيع بين وقت التقاط البيانات ووقت استخدامها، ويقوم المحققون بتحديد الجهاز المخترق لاحقًا من خلال تحديد نقطة الشراء المشتركة بين جميع البطاقات المتضررة.
مقالات ذات صلة
- الاحتيال باستخدام بطاقات الخصم — لماذا تؤدي بطاقات الخصم المُقوّمة إلى أسوأ النتائج
- الاحتيال في استخدام بطاقات الائتمان — الفئة الأوسع وقواعد المسؤولية الخاصة بها
- التنقية — السوق الذي تُباع فيه البيانات المُستخرجة
- الإيداع في البنك — الحسابات المستخدمة في سحب الأموال
