حملة الساعة الذكية لسرقة بيانات البنوك

لو ظهر لك إعلان على Facebook أو Instagram بيقولك إنك كسبت ساعة ذكية مجانًا أو إنك ممكن تدخل سحب على جائزة كبيرة، خد بالك جدًا قبل ما تضغط.

في يونيو 2026، كشفت شركة CTM360 عن حملة تصيد إلكتروني أطلقت عليها FreeWatch، وتستهدف عملاء البنوك في منطقة الشرق الأوسط وشمال أفريقيا والخليج، باستخدام إعلانات وهمية عن الساعات الذكية ومواقع تنتحل شكل بوابات البنوك. الهدف هو سرقة بيانات الدخول إلى الخدمات البنكية، إلى جانب رموز التحقق لمرة واحدة OTP، ثم استخدامها في عمليات احتيالية.

والخطير هنا إن الموضوع مش مجرد صفحة مزيفة تطلب منك اسم المستخدم والباسورد وخلاص. الحملة تستخدم أسلوبًا أكثر تطورًا، بحيث يتم التعامل مع البيانات التي تدخلها بشكل لحظي، وهو ما يجعل الضحية تشعر أنها تتعامل مع موقع البنك الحقيقي.

---

🎁 إزاي بتبدأ عملية الاحتيال؟​

الفكرة تبدأ بإعلان مغري جدًا، مثل:

• ساعة ذكية مجانية.
• فرصة للفوز بجائزة.
• عرض خاص باسم بنك أو مؤسسة مالية.
• إعلان يستخدم شعار وهوية بصرية تبدو مرتبطة بجهة موثوقة.

الإعلان قد يظهر على منصات التواصل الاجتماعي، وبعد الضغط عليه يتم تحويل المستخدم إلى صفحة أو محادثة تقوده في النهاية إلى موقع مزيف.
وهنا تبدأ المشكلة الحقيقية. 🚨
الموقع بيكون مصمم بشكل قريب جدًا من الموقع الرسمي للبنك، بحيث يصعب على المستخدم العادي اكتشاف الفرق من الشكل فقط.
CTM360 أوضحت أن الحملة تعتمد على انتحال هوية البنوك وإنشاء بوابات تصيد مقنعة لجمع بيانات العملاء الحساسة.

---

🔐 إيه اللي بيحصل لما تدخل بيانات البنك؟​

المهاجم لا يريد فقط معرفة اسم المستخدم وكلمة المرور.
الهدف هو الحصول على البيانات بطريقة تسمح له بمحاولة الوصول إلى الحساب الحقيقي في نفس الوقت.
بشكل مبسط، السيناريو بيكون كده:

1. تشوف إعلان الساعة الذكية وتضغط عليه.
2. تنتقل إلى صفحة تبدو مرتبطة بالبنك.
3. الموقع المزيف يطلب بيانات الدخول.
4. البيانات التي تدخلها يتم جمعها بواسطة المهاجم.
5. قد يتم استخدام البيانات في محاولة دخول إلى الخدمة البنكية الحقيقية.
6. بعدها قد يطلب الموقع منك إدخال رمز OTP أو رمز تحقق آخر.
7. يتم استخدام الرمز ضمن عملية الاحتيال أو الاستيلاء على الحساب.

CTM360 تصف الحملة بأنها تعتمد على التفاعل اللحظي مع بيانات الضحية، بما يسمح للمهاجمين باستخدام بيانات الدخول ورموز OTP بسرعة لتنفيذ عمليات احتيالية.
وده هو الجزء الأخطر: الضحية ممكن تفتكر إنها فقط بتحاول الحصول على الجائزة، بينما البيانات التي أدخلتها يتم استخدامها في الخلفية.

---

📱 إيه حكاية Mobile Token والـ Deep Link؟​

في بعض السيناريوهات المتقدمة، قد تحاول صفحة التصيد توجيه المستخدم إلى تطبيق أو آلية تحقق مرتبطة بالبنك، بدل ما تكتفي بطلب كلمة المرور.
الفكرة هنا إن المهاجم يحاول إكمال مراحل المصادقة خطوة بخطوة، ويطلب من الضحية إدخال رمز التحقق الذي يظهر لها.
لكن مهم جدًا عدم اعتبار أي طلب لرمز OTP أو Mobile Token دليلًا على أن الموقع حقيقي.
رمز التحقق جزء من عملية الحماية، وليس جائزة. 🔒
لو موقع أو شخص على WhatsApp أو أي منصة تواصل طلب منك رمز الدخول أو OTP بحجة إنك هتكسب ساعة أو جائزة، توقف فورًا.

---

🤖 هل المواقع المزيفة معمولة بالذكاء الاصطناعي؟​

النتيجة النهائية فعلًا ممكن تكون مقنعة جدًا، لكن الأدق إننا نقول إن المهاجمين يستخدمون تقنيات وأدوات حديثة لإنشاء مواقع تصيد شديدة التشابه مع المواقع الأصلية.
CTM360 تشير إلى تطور مواقع التصيد وانتحال العلامات التجارية، كما توضح أن تقنيات التحليل الآلي والذكاء الاصطناعي أصبحت مستخدمة في اكتشاف وتحليل البنية التحتية لمواقع التصيد.
لذلك ما تعتمدش على شكل الموقع فقط علشان تعرف إذا كان حقيقيًا أم لا.

ممكن الموقع يكون:

• نفس ألوان البنك.
• نفس الشعار.
• نفس ترتيب الحقول.
• نفس طريقة تسجيل الدخول تقريبًا.
• ومتجاوب بشكل ممتاز على الموبايل.

ومع ذلك يكون موقعًا احتياليًا بالكامل.

---

🏦 هل كل بنوك مصر مستهدفة؟​

لا، الأفضل عدم فهم الموضوع بالشكل ده.
التقرير المنشور من CTM360 يتحدث عن حملة تستهدف عملاء بنوك التجزئة في منطقة MENA وGCC، وليس عن سرقة بيانات عملاء كل بنك في مصر. لذلك لا يصح القول إن جميع البنوك المصرية تعرضت للاختراق أو أن بيانات جميع عملائها تمت سرقتها.
الفرق مهم جدًا بين: استهداف عملاء البنوك عبر حملة تصيد
وبين: اختراق أنظمة البنوك نفسها.
الحملة التي نتحدث عنها تعتمد على خداع العميل وسرقة بياناته من خلال مواقع وإعلانات احتيالية، وليس بالضرورة اختراق البنية التحتية للبنك نفسه.

---

⚠️ ليه النوع ده من التصيد خطير؟​

لأن المهاجم لا يعتمد على خطأ تقني فقط، لكنه يستغل ثقة المستخدم.
أنت ممكن تشوف شعار البنك، تدخل اسم المستخدم وكلمة المرور، وبعدها تستقبل رمز تحقق على موبايلك.
كل شيء يبدو طبيعيًا.
لكن في الحقيقة أنت تتعامل مع وسيط مزيف بينك وبين البنك.
وده يوضح ليه التصيد الإلكتروني أصبح أخطر من مجرد رسالة غريبة مليانة أخطاء إملائية. المواقع والإعلانات الاحتيالية أصبحت أكثر احترافية، وبعض الحملات تستخدم استهدافًا وت infrastructure متطورة لإخفاء صفحات التصيد أو عرضها لمستخدمين محددين.

---

🛡️ إزاي تحمي نفسك؟​

أهم قاعدة: البنك مش هيطلب منك كلمة المرور أو OTP علشان تكسب ساعة.
ولو شفت إعلان مشابه، اعمل الآتي:

1. ما تضغطش على الرابط الموجود في الإعلان.
2. افتح تطبيق البنك الرسمي بنفسك.
3. لو محتاج تدخل على الموقع، اكتب عنوان البنك بنفسك أو استخدم رابطًا محفوظًا تعرف أنه رسمي.
4. افحص اسم النطاق قبل إدخال أي بيانات.
5. لا ترسل OTP لأي شخص.
6. لا تدخل بيانات الإنترنت البنكي في موقع وصلت له من إعلان أو رسالة غير متوقعة.
7. لو أدخلت بياناتك بالفعل في موقع مشبوه، تواصل مع البنك فورًا من خلال قناة الاتصال الرسمية وغيّر بيانات الدخول حسب تعليماته.
8. راقب حسابك وأي معاملات غير معتادة.

وتوصي CTM360 المستخدمين بعدم الضغط على الروابط المشبوهة، والتحقق من النطاق والموقع الرسمي، وتجنب المصادر التي تطلب بيانات شخصية أو مالية بشكل غير موثوق.

---

🚨 الخلاصة​

حملة FreeWatch أو "الساعة الذكية" مثال واضح على تطور أساليب التصيد الإلكتروني.
المهاجم يبدأ بإعلان مغري، ثم ينقل الضحية إلى موقع ينتحل هوية بنك أو جهة موثوقة، ويحاول جمع بيانات الدخول ورموز التحقق لاستخدامها في عمليات احتيالية.

فلو وصلك إعلان بيقول: 🎁 "مبروك! كسبت ساعة ذكية مجانية، اضغط هنا لاستلامها"
خليك فاكر القاعدة البسيطة: الهدية اللي محتاجة منك اسم مستخدم البنك والباسورد وOTP مش هدية. دي محاولة تصيد. 🎣
وكما بيقولوا: الحداية مبتحدفش كتاكيت. 😄

---

الأسئلة الشائعة​

---------------

هل حملة الساعة الذكية تستهدف البنوك المصرية فقط؟​

لا. تقرير CTM360 يصف حملة FreeWatch بأنها تستهدف عملاء بنوك التجزئة في مناطق MENA وGCC، وليس مصر وحدها.

هل إدخال OTP في موقع مجهول ممكن يسبب مشكلة؟​

نعم. رمز OTP مصمم للمساعدة في التحقق من هويتك أثناء عملية دخول أو معاملة. إعطاؤه لموقع أو شخص غير موثوق قد يسمح للمهاجم باستخدامه ضمن محاولة احتيال.

هل الموقع المزيف لازم يكون شكله سيئًا؟​

لا. مواقع التصيد الحديثة قد تكون شديدة الشبه بالمواقع الأصلية، ولذلك لا تعتمد على التصميم وحده للتحقق من الموقع.

ماذا أفعل إذا أدخلت بيانات البنك في موقع مزيف؟​

اتصل بالبنك فورًا باستخدام رقم أو قناة اتصال رسمية، واتبع تعليماته لتأمين الحساب، وراقب أي معاملات غير معتادة.

هل البنك يطلب OTP للحصول على جائزة؟​

لا ينبغي التعامل مع طلب OTP من موقع أو شخص مجهول على أنه جزء طبيعي من الحصول على جائزة. أي طلب غير متوقع لرمز التحقق يستحق التوقف والتحقق من الجهة عبر قناة رسمية.