التصيد الإلكتروني ومسؤولية البنك 2026: متى يجب الرد

عندما تصبح رسالة نصية كافية لإفراغ حسابك

وصلتك رسالة نصية من رقم يشبه رقم بنكك، تطلب منك النقر على رابط لتحديث بياناتك أو تجنّب تجميد حسابك. ضغطت على الرابط، أدخلت بياناتك، وبعد دقائق وصلتك إشعارات بتحويلات لم تُصدرها. هذا هو التصيد الإلكتروني (Phishing) بأبسط صوره — وقد أصبح السبب الأول للخسائر المصرفية الفردية في المملكة.

السؤال الذي يشغل ذهن كل ضحية: هل البنك يتحمل المسؤولية؟ الجواب ليس بسيطاً، وهو يختلف اختلافاً جوهرياً عما تنشره المنصات الأخرى التي تكتفي بالقول "بلّغ الشرطة". المنظومة النظامية في المملكة — وفي مقدمتها مبادئ حماية عملاء ساما 2023 — تُرسي إطاراً واضحاً لتوزيع المسؤولية بين البنك والعميل، وتُلزم البنوك بردود مُحددة ومُوقَّتة.

هذا المقال يُجيبك على السؤال الجوهري الذي يتجاهله المنافسون: متى يكون البنك ملزماً نظاماً برد المبلغ، ومتى تقع الخسارة على العميل، وكيف تسلك مسار الشكوى بفعالية؟

التصيد الإلكتروني: صوره الشائعة في السعودية

التصيد الإلكتروني ليس أسلوباً واحداً؛ بل عائلة من الأساليب تتطور باستمرار. أبرز صوره التي ترصدها الشكاوى المصرفية في المملكة:

أولاً: التصيد عبر الرسائل النصية (Smishing) رسائل SMS تنتحل هوية البنك أو وزارة حكومية أو شركة شحن، تحمل روابط لمواقع مزيفة تطلب بيانات الدخول أو رقم البطاقة ورمز CVV. قد يكون رقم المُرسِل مطابقاً لرقم البنك الرسمي عبر تقنيات انتحال الهوية (Caller ID Spoofing).

ثانياً: التصيد عبر البريد الإلكتروني رسائل تبدو من النطاق الرسمي للبنك، تطلب تحديث البيانات أو تحذّر من نشاط مريب. الرابط يوجّه لصفحة هجومية تلتقط البيانات.

ثالثاً: الاحتيال الهاتفي (Vishing) مكالمة من شخص يدّعي أنه موظف أمن المعلومات في البنك، يُخبرك بعملية مشبوهة تستوجب تأكيد هويتك برمز OTP وصلك. ما إن تُعطيه الرمز حتى يُكمل تحويلاً هو بدأه.

رابعاً: التصيد عبر وسائل التواصل إعلانات مزيفة أو روابط في تعليقات تقود لصفحات تطلب بيانات بنكية بدعوى الحصول على مكافأة أو جائزة.

خامساً: التطبيقات المزيفة تطبيقات بنكية وهمية تُنشر خارج المتاجر الرسمية، تلتقط بيانات الدخول وتُرسلها للمحتال.

مبدأ مسؤولية البنك عن حماية عملائه — تعليمات ساما 2023

مؤسسة النقد العربي السعودي (ساما) أصدرت مبادئ حماية عملاء الخدمات المالية التي تُرسي واجبات واضحة على البنوك تجاه مستخدمي خدماتها الرقمية. المبدأ الجوهري: البنك مسؤول عن أمان المنظومة التي يُقدّمها لعملائه، وأي قصور فيها يُوجب عليه التعويض.

التزامات البنك المحددة وفق هذا الإطار:

• توفير مصادقة ثنائية قوية لكل عملية مالية، بمستوى يتناسب مع حجم المخاطر.
• إرسال إشعارات فورية بكل عملية مصرفية تُنفَّذ على الحساب.
• الاستجابة لبلاغات الاحتيال خلال مدد محددة وتجميد العمليات المشبوهة فوراً عند الطلب.
• تزويد العميل بقناة واضحة ومتاحة للإبلاغ عن الاحتيال على مدار الساعة.
• تحليل بلاغات الاحتيال والرد عليها خلال عشرة أيام عمل من تاريخ استلام الشكوى الرسمية.
• توعية العملاء بمخاطر التصيد، مما يُرسّخ واجب العناية الواجبة على الطرفين.

الحالات التي تُلزم البنك برد المبلغ

هذا هو القلب الذي يتجاهله كثيرون: التفريق الدقيق بين الحالات التي يُلزَم فيها البنك نظاماً بالرد. البنك مسؤول ويجب عليه التعويض في الحالات الآتية:

1. ضعف نظام المصادقة الثنائية أو غيابها

إذا نفّذ المحتال تحويلاً دون أن يُطلب منه رمز OTP إضافي، أو اعتمدت الخدمة على كلمة مرور وحدها دون طبقة تحقق ثانية لعمليات ذات قيمة عالية — فالبنك قصّر في معيار الحماية المطلوب. هذا من أقوى أوجه مسؤولية البنك.

2. تأخر البنك في الاستجابة بعد الإبلاغ

إذا أبلغت البنك فور اكتشاف العملية المشبوهة، وتأخر في تجميد الحساب أو في وقف التحويل المعلّق، ونتج عن هذا التأخر خروج مزيد من الأموال — فيُحمَّل البنك مسؤولية الأضرار الإضافية الناجمة عن هذا التأخر تحديداً.

3. الخلل التقني في منظومة البنك

إذا ثبت أن ثغرة أمنية في تطبيق البنك أو في بنيته التحتية أتاحت للمحتال الوصول للحساب — حتى لو استخدم المحتال أيضاً بيانات العميل — فالخلل التقني من جانب البنك يُقوي المسؤولية المشتركة بل قد تصل للمسؤولية الكاملة.

4. تنفيذ عملية مشبوهة دون تحقق إضافي

إذا نفّذ البنك تحويلاً بمبلغ كبير أو لمستفيد جديد أو لدولة أجنبية دون تطبيق إجراءات مراجعة إضافية رغم مخالفته النمط المعتاد لسلوك العميل — فالبنك أخل بواجب الرقابة الاستباقية.

5. الفشل في إشعار العميل

إذا ثبت أن البنك لم يُرسل إشعاراً فورياً بالعملية ولم يعلم العميل بها إلا متأخراً، فحُرم من فرصة الإبلاغ في الوقت المناسب — يُشكّل هذا عنصراً في مسؤولية البنك.

الحالات التي يتحمّل فيها العميل الخسارة

النزاهة القانونية تقتضي ذكر الجانبين. ثمة حالات لا يُلزَم فيها البنك نظاماً بالتعويض الكامل، أو تُحمَّل فيها الخسارة على العميل:

1. الإفصاح الطوعي الواعي عن البيانات

إذا أعطى العميل كلمة مرور الإنترنت البنكي أو رمز OTP لشخص آخر طوعاً — حتى لو كان ذلك بتأثير الخداع — فالبنك سيستند إلى أن العميل تجاوز تعليمات الأمان الموثّقة. التحدي هنا إثبات حدود الإهمال وما إذا كانت تعليمات البنك التوعوية واضحة وكافية.

2. الإهمال الجسيم في حفظ البيانات

كتابة كلمة المرور في مكان مرئي، أو مشاركتها مع أفراد الأسرة، أو استخدام نفس كلمة المرور في مواقع متعددة، أو إهمال تحديثات الأمان — كل ذلك يُثبت إهمالاً من جانب العميل يُخفّف مسؤولية البنك أو ينفيها.

3. التعامل مع روابط من مصادر واضح فيها الاحتيال

إذا أثبت البنك أنه نشر تحذيرات واضحة وتوعية مستمرة بنوع الاحتيال المُستخدَم، وأن الرابط الذي نقر عليه العميل كان واضح الاختلاف عن الموقع الرسمي، تضعف حجة العميل.

4. التأخر غير المبرر في الإبلاغ

إذا اكتشف العميل العملية المشبوهة وانتظر أياماً قبل الإبلاغ، فهذا التأخر يُعقّد إمكانية التجميد والاسترداد، وقد يُستخدم حجةً لتخفيف مسؤولية البنك.

جدول توزيع المسؤولية: سيناريوهات عملية

الإطار النظامي: نظام مكافحة الاحتيال المالي ومبادئ الحماية

إلى جانب نظام مكافحة الاحتيال المالي، تُشكّل المنظومة النظامية ثلاث ركائز متكاملة:

نظام مكافحة جرائم المعلوماتية 1428هـ — يُجرّم التصيد الإلكتروني واختراق الأنظمة والاستيلاء على الأموال عبر الوسائل الرقمية، ويُقرر عقوبات تصل إلى السجن ثلاث سنوات وغرامة مليوني ريال.

مبادئ حماية عملاء الخدمات المالية 2023 — الصادرة عن ساما، وتُلزم البنوك بمعايير أمان وشفافية واستجابة واضحة، وتُعدّ المرجع الأساسي في منازعات التصيد المصرفي.

نظام حماية البيانات الشخصية (PDPL) — يُلزم البنوك بحماية البيانات الشخصية للعملاء وعدم الإفصاح عنها، وهو ذو صلة بحالات التصيد التي تنجم عن تسريب بيانات العملاء من الجهة المصرفية ذاتها.

آلية الشكوى ضد البنك عبر ساما

مسار الشكوى ليس عشوائياً؛ بل هو سلّم متدرج يجب سلوكه بترتيب صحيح لضمان قبول قضيتك:

المرحلة الأولى: الشكوى الداخلية للبنك

قدّم شكوى رسمية مكتوبة لقسم خدمة العملاء أو مركز إدارة الشكاوى في البنك، مرفقة بـ:

• كشف الحساب الرسمي يُوضح العمليات المشبوهة.
• لقطات شاشة للرسائل والروابط الاحتيالية.
• تاريخ ووقت اكتشافك للعملية وتاريخ إبلاغك للبنك.
• رقم مرجع أي اتصال سابق مع البنك.

المدة النظامية: البنك ملزم بالرد خلال عشرة أيام عمل.

المرحلة الثانية: منصة ساما للمستهلك المالي

إذا رفض البنك الشكوى، أو لم يرد خلال العشرة أيام، أو جاء رده غير مُقنع — تتجه إلى منصة ساما للمستهلك المالي (camb.sama.gov.sa) وتُقدّم شكواك مرفقة بردود البنك وكامل الأدلة. ساما تُراجع القضية وتُلزم البنك بالتعامل معها.

المرحلة الثالثة: لجنة الفصل في منازعات الأوراق المالية والبنوك

إذا لم تُسوَّ القضية عبر ساما، تُرفع إلى لجنة الفصل في منازعات البنوك المختصة. اللجنة تفصل في النزاعات المصرفية بين العملاء والبنوك، وقراراتها مُلزمة.

المرحلة الرابعة: المحكمة التجارية

للقضايا ذات القيمة الكبيرة أو حين تستوجب القضية دعوى جزائية مصاحبة ضد المحتال، ترفع الدعوى أمام المحكمة التجارية للمطالبة بالتعويض المدني، مع إمكانية المطالبة بالحق الخاص في الدعوى الجزائية أمام المحكمة الجزائية.

المدد النظامية لرد البنك: ما لا يعرفه معظم الضحايا

التفاصيل النظامية حول المدد مهمة جداً وتُؤثر في مسار قضيتك:

عشرة أيام عمل — المدة القصوى التي يجب أن يرد فيها البنك على شكواك الرسمية. تُحسب من تاريخ تسليم الشكوى المكتوبة أو إرسالها عبر القنوات الرسمية للبنك.

فوري — يجب أن يستجيب البنك لطلب تجميد الحساب والعمليات الجارية فور الإبلاغ. التأخر في هذه اللحظة بالذات يُرتّب مسؤولية مباشرة عن الأضرار اللاحقة.

خمسة عشر يوم عمل — المدة التي يُعطاها البنك عادةً للتحقيق في بلاغات الاحتيال المعقدة التي تستلزم جمع سجلات من أطراف متعددة، ويُخطَر العميل خلالها بمستجدات التحقيق.

ثلاثون يوماً — الحد الأقصى عموماً لحل الشكوى نهائياً داخلياً قبل أن يحق للعميل رفعها لساما.

تجاوز هذه المدد دون رد مُقنع أو مُبرر يُعدّ قرينة لصالح العميل في أي منازعة لاحقة.

اللجوء للجنة المنازعات المصرفية ثم المحكمة التجارية

اللجنة تُعدّ الخيار الأسرع والأقل كلفة لقضايا التصيد المصرفي. إجراءاتها أبسط من المحاكم، وتختص بالنظر في المنازعات بين العملاء والبنوك. قراراتها مُلزمة وقابلة للتنفيذ.

المحكمة التجارية الملاذ حين:

• تجاوزت قيمة النزاع حدوداً تستوجب تمثيلاً قانونياً أكثر رسمية.
• استلزمت القضية دعوى مدنية معقدة تشمل أطرافاً متعددة.
• أُرفقت بدعوى جزائية ضد المحتال وتريد المطالبة بالحق الخاص أمام المحكمة الجزائية.

أما الدعوى الجزائية ضد المحتال فمسار مستقل عبر النيابة العامة؛ البلاغ يُودَع مع الأدلة، وتُحقق النيابة وتُحيل لمحكمة جزائية تُصدر حكماً بالسجن والغرامة مع إمكانية رد المبالغ.

دراسة حالة عملية

الوقائع: تلقّت السيدة (م.ع) رسالة نصية تزعم أنها من بنكها تطلب تحديث بياناتها بسبب ترقية الأمان. ضغطت على الرابط وأدخلت بياناتها في صفحة مزيفة. خلال دقائق، تحوّل ما يزيد على 45 ألف ريال لحسابات خارجية. اتصلت بالبنك فور الاكتشاف، لكن البنك تأخر ثلاث ساعات في تجميد الحساب، خلالها خرجت دفعة ثانية بقيمة 12 ألف ريال.

التحليل القانوني:

• المبلغ الأول (45 ألفاً): الموقف هنا أعقد. أعطت العميلة بياناتها للموقع المزيف، مما يُقوّي حجة البنك. لكن التحقيق يكشف أن الصفحة المزيفة استخدمت نقطة ضعف في نظام SMS الخاص بالبنك لتوجيه رسائل من رقمه الرسمي — مما يُرجّح المسؤولية المشتركة أو مسؤولية البنك الكاملة.
• المبلغ الثاني (12 ألفاً): البنك مسؤول بوضوح. التأخر ثلاث ساعات في التجميد بعد الإبلاغ الفوري يُرتّب مسؤولية مباشرة عن هذا المبلغ تحديداً.

النتيجة: بعد شكوى موثقة لساما ومساعدة محامٍ، تعويض العميلة عن المبلغ الثاني كاملاً، وأُعيد النظر في المبلغ الأول وفق إجراءات التحقيق مع لجنة المنازعات.

الوقاية: درعك قبل كل شيء

الوقاية من التصيد تبدأ بفهم آليته. المحتال يعتمد على الاستعجال والخوف — "حسابك سيُجمَّد"، "هناك عملية مشبوهة الآن" — وعلى محاكاة المظهر الرسمي.

القواعد التي تمنع التصيد:

• لا تضغط روابط تصلك عبر الرسائل حتى لو بدت من البنك. افتح متصفحك واكتب عنوان البنك يدوياً.
• لا تُعطِ رمز OTP لأي شخص — البنوك الحقيقية لا تطلب منك رمز التحقق عبر الهاتف أبداً.
• تحقق من عنوان الموقع قبل أي إدخال للبيانات. الفرق بين الموقع الرسمي والمزيف أحياناً حرف أو رمز.
• فعّل الإشعارات الفورية لكل عملية على حسابك — حتى أصغر مبلغ.
• راجع كشفك أسبوعياً بحثاً عن أي عملية لم تتذكرها.
• لا تستخدم شبكات Wi-Fi عامة لإجراء عمليات بنكية.
• حدّث تطبيق البنك من المتجر الرسمي فقط، ولا تُحمّل تطبيقات بنكية من روابط خارجية.

متى تحتاج محامياً في قضية التصيد الإلكتروني؟

مسار الشكوى عبر ساما قد تسلكه بنفسك في حالات بسيطة. لكن محامياً متخصصاً ضرورة في هذه الحالات:

رفض البنك غير المُبرر: حين يرفض البنك الشكوى بحجج قانونية أو تقنية تحتاج رداً مختصاً.

المبالغ الكبيرة: كلما كانت القيمة أعلى، كان الاستعانة بمحامٍ أجدى للدفاع عن حقك بشكل كامل أمام اللجان والمحاكم.

تشعب القضية: حين تتضمن دعوى جزائية ضد المحتال ومطالبة مدنية للبنك في الوقت ذاته.

إثبات خلل تقني في نظام البنك: هذا يستلزم خبيراً تقنياً يعمل بتوجيه من محامٍ لتقديم تقرير فني مقبول قانونياً.

مواجهة لجان المنازعات والمحاكم: التمثيل القانوني هنا ليس ترفاً بل حاجة عملية.

مقالات ذات صلة

• الاحتيال الإلكتروني والاختراق المصرفي: استرداد أموالك
• نظام حماية البيانات الشخصية السعودي: دليل الأفراد
• الابتزاز الإلكتروني: دليل 48 ساعة للتصرف
• سب وقذف وسائل التواصل: العقوبات النظامية