تشريح عملية الاحتيال المسماة «Visa Direct Developer» في بيئة الاختبار
يقوم الاحتيال بأكمله على خلط متعمَّد ومضلِّل بين أمرين مختلفين جوهريًا: بيئة الاختبار التجريبية «Visa Direct Developer» وشبكة المدفوعات الإنتاجية الفعلية Visa Direct.
يستغل المحتالون مصطلح «Visa Direct Developer» (الذي لا يشير إلا إلى بيئة اختبار محاكاة مجانية الاستخدام توفّرها Visa لمطوّري البرمجيات) كما لو كان مكافئًا لقناة Visa Direct الحقيقية، وهي البنية التحتية المرخّصة والخاضعة للتنظيم التي تستخدمها المصارف ومؤسسات الدفع لتحويل الأموال الفعلية عبر منظومة VisaNet.
أما في الواقع، فإن بوابة المطورين Visa Direct لا ترتبط بأي صلة تقنية أو مالية أو تشغيلية بـ VisaNet. فلا يمكنها الوصول إلى أموال حقيقية، ولا بدء معاملات فعلية، ولا التفاعل مع أي بطاقة دفع أو نظام مصرفي حقيقي. والبيئة بأكملها بيئة تجريبية، أي محاكٍ برمجي، مصمّم حصراً لاختبار الشيفرات البرمجية. وكل معاملة «تُرسَل» داخل تلك البيئة تعيد استجابات مُعدّة سلفاً وثابتة بصيغة JSON، وهي وهمية بالكامل، لغرض وحيد هو مساعدة المبرمجين على دمج البرمجيات.
لا تُنقل أي أموال حقيقية، ولا تصل أي معاملة إلى بطاقة أو حساب فعليين، ولا يوجد أي معرّف معروض في البيئة التجريبية على أي نظام Visa حقيقي.
وعليه، فإن أي شخص يدّعي أنه «أرسل أموالًا» باستخدام Visa Direct Developer، لا سيما عند إبراز لقطات شاشة من بوابة المطورين أو مخرجات JSON تتضمن حقولًا مثل «transactionIdentifier»، إنما يقدّم معلومات مزيفة بلا لبس. وهذا أسلوب احتيالي يهدف إلى محاكاة تدفقات أموال مشروعة، في حين أنه لم يُنفَّذ أي دفع قط، ولا يمكن تنفيذه. فبيئة الاختبار التجريبية (sandbox) لا ترتبط بالنظام المالي أكثر مما يرتبط تطبيق الآلة الحاسبة بحسابك المصرفي.
فيما يلي عرض تحليلي تفصيلي لكيفية استغلال المحتالين لهذا الفهم الخاطئ.
| المرحلة | أسلوب المحتال | لماذا يبدو معقولًا | ما يحدث فعلياً |
|---|---|---|---|
| 1 – الإعداد | يسجّل حساب مطوّر (دون ترخيص ودون عناية واجبة) وينشئ مفاتيح API تجريبية وأرقام بطاقات اختبارية. | يستطيع أي شخص القيام بذلك في دقائق معدودة، مما يضفي هالة من المشروعية. | مفاتيح بيئة الاختبار معزولة عن الشبكة الفعلية؛ ولا يمكن تحريك أي أموال. |
| 2 – «إثبات الأموال» المزوَّر | ينفّذ استدعاء PushFunds في بيئة الاختبار، ويلتقط استجابة HTTP 200 OK ومعرّف المعاملة المُلفَّق transactionIdentifier. ثم يقدّم ذلك على أنه لقطات شاشة أو «إيصالات» بصيغة PDF. | تبدو حمولة الاستجابة مطابقة لمعاملة ائتمان أصلية فعلية (OCT). | لا يوجد المعرّف إلا داخل قاعدة بيانات بيئة الاختبار التجريبية (sandbox)؛ ولا يُنقل أبدًا إلى شبكة Visa Net. |
| 3 – استثارة التزام الضحية | ادعاءات بأن الأموال «في الطريق بالفعل لكنها معلّقة بانتظار الامتثال»، مع المطالبة بدفع رسوم مقدّمة (ضريبة، رسوم إفراج، تصريح AML، وغيرها). | يستطيع الضحية التحقق من أن رقم الحساب الأساسي (PAN) الوارد في الحمولة يعود إلى بطاقته؛ كما يؤكد ملف JSON المبلغ بدقة: وهو دليل نفسي قوي التأثير. | لا يوجد في المكالمة أي رقم تعريف مصرفي (BIN) للجهة المُحصِّلة فعّال، ولذلك لا يمكن أن تتم تسوية الدفعة مطلقًا. |
| 4 – التأخير والذرائع | يحتجّ بـ«اختناق التحويلات عبر الحدود» أو «تراكم الطابور لدى Visa» أو «عدم تفعيل خدمة Visa Direct لدى المصرف المستلم» لكسب الوقت بعد سداد الرسوم. | تحجب المصطلحات التقنية جوهر المسألة، ولا يملك الضحية المعرفة بالبنية اللازمة لدحضها. | وفي نهاية المطاف يتوقف التواصل أو يطلب المحتال دفعات إضافية. |
مؤشرات الإنذار
| المؤشر | لماذا يستحيل ذلك في بيئة التشغيل الفعلية |
|---|---|
| «أُرسل عبر Visa Direct Developer من خزينتنا» | بوابة المطورين ≠ قناة تشغيلية فعلية للمدفوعات المرسلة بمبادرة من الدافع (Push Payment). |
| تُظهر لقطات الشاشة رقم BIN تجريبيًا خاصًا بالجهة المُحصِّلة (عادةً 4 × 0 أو 4 × 9) | لا يمكن توجيه أرقام BIN الاختبارية عبر شبكة Visa Net. |
| لا توجد جهة راعية/مستحوِذة مرخّصة مذكورة؛ والمُرسِل فرد أو شركة ذات مسؤولية محدودة غير معروفة | تشترط Visa رعاية جهة تحصيل (Acquirer) قبل الانتقال بأي مشروع إلى مرحلة الإنتاج. |
| يُشترط دفع رسوم «إفراج» مسبقة | نمط احتيال كلاسيكي قائم على الرسوم المسبقة؛ فمعاملات الائتمان الأصلية (OCT) المشروعة تصل إلى المستفيد دون أي رسوم إضافية تُحمَّل على الضحية. |
كيفية التحقق من الأصالة (قائمة تدقيق فنية)
- اطلبوا سجل معاملة الائتمان الأصلية (OCT) الفعلية من المصرف المُحصِّل للمُرسِل؛ فلن يكون له وجود.
- اسأل المصرف المُصدِر عمّا إذا كان ثمة معرّف معاملة Visa مطابق على الشبكة الفعلية؛ فمعرّف بيئة الاختبار (sandbox) لن يكون له نظير فيها.
- افحصوا رقم تعريف المصرف (BIN) في الحقل acquiringBin: فالقيم مثل 408999 أو 000000 أو أي قيمة لا تقابلها بيانات في قاعدة بيانات أرقام BIN العامة تدل على بيانات اختبارية.
- اطلب من المصرف المُصدِر لديك أو من المصرف المحصِّل لدى المرسل التأكد مما إذا كان transactionIdentifier موجودًا على الشبكة الفعلية.
التخفيف من المخاطر ومسارات آمنة بديلة
الخلاصة التنفيذية
إذا ادّعى طرف مقابل أنه «أرسل أموالًا عبر Visa Direct Developer» وأيّد ادعاءه بلقطات شاشة من بيئة الاختبار (sandbox)، فيجب اعتبار ذلك دليلًا قاطعًا على احتيال الرسوم المسبقة: فبيئة الاختبار أداة عرض توضيحي وليست قناة مدفوعات، ولا يمكن أن تصل أي أموال عبرها على الإطلاق.
الخطوة التالية
اطلب لقاءً تعريفياً
أخبرونا في بضعة أسطر من أنتم وما الذي تفكرون فيه. يصل استفساركم مباشرة إلى المصرف ويُعامَل بسرية.
هل تفضّل التحدث مباشرةً؟ احجز اجتماعًا مرئيًا عن بُعد مدته 30 دقيقة.