حول هذا التقرير: أُجريت الدراسة من قبل PWN-ALL — وهي شركة تجارية تعمل في مجال أمن المعلومات. يستند هذا المقال إلى التحليل الذي أجرته الشركة بنفسها، ولا يُعد بيانًا رسميًا صادرًا عن أجهزة إنفاذ القانون. تم إخفاء أسماء النطاقات وعناوين IP وبيانات الحسابات المصرفية وبيانات تسجيل الدخول ورموز التوثيق والمعلومات الشخصية لحماية المتضررين، ولحفظ المواد لتتم مراجعتها من قبل الجهات المختصة، ولمنع وصول أطراف ثالثة إلى البيانات الحساسة.

مكالمة من الرقم +882

وردت مكالمة واردة من رقم يبدأ بـ +882.

هذا ليس رمزًا هاتفيًّا لبلد معين. وفقًا لتصنيف الاتحاد الدولي للاتصالات، يُستخدم الرمز +882 للشبكات الدولية. ولا يشير الرمز نفسه إلى وجود عملية احتيال، كما أنه لا يسمح بتحديد الموقع الفعلي للمتصل.

قدم المتحدث نفسه على أنه موظف في شركة استثمارية كبرى وعرض عائدًا يتراوح بين 20 و40% سنويًا.

بدأت المحادثة على النحو التالي تقريبًا:

«مرحبًا، هل أنتِ ألينا؟ اسمي أفرام، وأنا أمثل صندوقًا استثماريًّا من المملكة المتحدة...»

ثم تبع ذلك السيناريو النموذجي للاحتيال الاستثماري. يُزعم أن البنوك تدفع عمداً فوائد منخفضة للعملاء، وتعيق التحويلات إلى الصناديق الاستثمارية، ولا تسمح للأشخاص بالتصرف في أموالهم بأنفسهم.

غالبًا ما تُصنف مثل هذه العمليات ضمن مخططات «تقطيع الخنزير» (pig butchering). لا يطلب عامل الهاتف مبلغاً كبيراً على الفور. في البداية، يبني علاقة ثقة، ويدرس الحالة المالية والعاطفية للشخص، ويحصل على أول تحويل مالي صغير، وبعد ذلك فقط يبدأ في زيادة مطالبه.

قررنا مواصلة المحادثة لتحديد البنية التحتية التقنية المرتبطة بهذه المكالمة.

كيف بحث المحتال عن نقطة ضعف

تم استخدام ملف تعريفي مُعد مسبقًا للتواصل:

  • امرأة، 38 عامًا؛
  • مطلقة وتربي طفلاً؛
  • ليس لديها دخل ثابت؛
  • تمتلك شقة.

خلال أول 50 دقيقة، لم يتطرق المشغل تقريبًا إلى أدوات استثمارية محددة. وبدلاً من ذلك، كان يسأل عن الأسرة، والدخل، والخطط، والصعوبات المالية.

وقد استُخدمت الإجابات التي حصل عليها على الفور في المحادثة. وتحول العرض تدريجيًا من فرصة مجردة لكسب المال إلى قرار شخصي مزعوم: تأمين مستقبل الطفل، وتكوين دخل ثابت، وتحقيق الاستقلال عن البنوك.

في البداية، كان المشغل يقلل من قيمة الأدوات المالية التقليدية. ثم كان يخلق إحساسًا بوجود فرصة نادرة، ويجد موضوعًا مؤلمًا عاطفيًا، ويربط حله بالإيداع الأول.

بالنسبة للملف الشخصي المختار، كان الدخل غير المستقر ومستقبل الطفل هما نقطتا الضغط الرئيسيتان.

صندوق بريطاني غير مسجل في السجلات

تحت ذريعة الرغبة في دراسة العرض بمزيد من التفصيل، طلبنا إرسال المستندات.

وبعد فترة وجيزة، وصلتنا نشرة إعلانية من رقم «واتساب» بريطاني باسم «Delegmed Investment Fund Limited». وفي الوقت نفسه تقريبًا، اتصل المشغل مرة أخرى وواصل المحادثة، محاولًا ألا يترك لنا وقتًا للتحقق بأنفسنا.

تضمن الكتيب مؤشرات العائد المعلنة ووصفًا للمنتجات الاستثمارية. كانت الرسوم التوضيحية تحمل علامات بصرية تدل على أنها محتوى مُولَّد، وقد أكد فحص الصور النقطية المرفقة ذلك على مستوى البيانات الوصفية: فقد احتوت ملفات PNG على بيان C2PA مع علامة تشير إلى إنشائها في ChatGPT في 14 يوليو 2026. C2PA هو معيار مفتوح لتحديد منشأ المحتوى الرقمي: تُضاف هذه البيانات الوصفية بواسطة أداة عند إنشاء الملف، وتسجل كيف ومتى تم الحصول على الصورة. يمكن حذف البيانات الوصفية أو تزويرها، لذا فهي في حد ذاتها لا تثبت شيئًا، لكنها في هذه الحالة تطابقت مع الدلائل المرئية.

كانت الشركة تُقدَّم على أنها صندوق استثماري بريطاني، لذا قمنا بالتحقق من الاسم الدقيق في مصدرين عامين:

  • سجل الكيانات القانونية «Companies House»؛
  • سجل الخدمات المالية التابع لهيئة التنظيم والرقابة المالية في المملكة المتحدة — FCA.

وحتى تاريخ 2 أغسطس 2026، لم نجد تطابقًا تامًا مع الاسم Delegmed Investment Fund Limited في سجل الشركات (Companies House)، بما في ذلك المعلومات المتعلقة بالشركات النشطة والمصفاة، ولا في سجل الخدمات المالية (Financial Services Register) التابع لهيئة الرقابة المالية البريطانية (FCA).

يوفر سجل الشركات (Companies House) معلومات عامة عن الشركات المسجلة في المملكة المتحدة، بما في ذلك حالتها القانونية وعنوانها ومسؤوليها وسجل وثائقها.

تشير هيئة الرقابة المالية البريطانية (FCA) إلى أن أي نشاط تقريبًا لتقديم خدمات مالية خاضعة للتنظيم في المملكة المتحدة يتطلب ترخيصًا أو تسجيلًا، ويجب التحقق من الشركات المعنية من خلال سجل الخدمات المالية.

إن عدم وجود الاسم في السجلات لا يثبت في حد ذاته وجود مخطط إجرامي. ومع ذلك، فإن هذا الأمر يتعارض بشكل مباشر مع ادعاء المشغل بأنه يمثل صندوق استثمار بريطاني.

قمنا بفحص سيناريوهين آخرين.

الأول هو ما يُعرف بـ«الشركة المقلدة» (clone firm): وهي مخطط يتم فيه استخدام اسم أو رقم تسجيل أو عنوان شركة مرخصة فعليًّا، مع تغيير بيانات الاتصال فقط. قمنا بمقارنة البيانات الواردة في الكتيب مع سجلات الشركات المرخصة في سجل الخدمات المالية (Financial Services Register): ولم نجد أي تطابق. أما السيناريو الثاني فهو قائمة تحذيرات هيئة السلوك المالي (FCA Warning List)، وهي قائمة عامة بالشركات التي تحذر الهيئة المستهلكين من التعامل معها دون ترخيص. في 2 أغسطس 2026، لم يكن الاسم Delegmed Investment Fund Limited فيه.

حساب شخصي تم إنشاؤه مسبقًا

بعد السؤال عن المكان المحدد الذي ستتم فيه الاستثمارات، أرسل المشغل رابطًا إلى موقع على نطاق .com.

تم تسجيل النطاق في 27 يونيو 2026، أي قبل أقل من شهر من إجراء التحليل.

تم إنشاء اسم المستخدم وكلمة المرور مسبقًا. وبعد تسجيل الدخول، ظهرت في الملف الشخصي الاسم ورقم الهاتف وعنوان البريد الإلكتروني.

كانت هذه المعلومات معروفة للمشغلين قبل بدء المحادثة الموضوعية. لم يتم تحديد مصدر هذه البيانات. قد تكون ناتجة عن تسرب، أو قاعدة بيانات تم جمعها مسبقًا، أو مصدر تجاري، أو حملة أخرى.

ظاهريًّا، كان الموقع يحاكي منصة استثمارية: حيث كان يعرض الرصيد، وسجل المعاملات، ومؤشرات العائد، ونموذج تعبئة الرصيد.

كان معظم الصفحات ثابتًا. أما «المنطقة الشخصية» فكانت تعمل بشكل مختلف: كانت تجمع خصائص المتصفح والجهاز، وتدعم اتصال WebSocket، وتستقبل قيمًا محددة ديناميكيًا من خادم آخر.

عند الضغط على زر «إيداع»، كان JavaScript يرسل إلى الخادم معلومات عن الحساب والبصمة الرقمية للمستخدم. وكان من المتوقع الحصول في المقابل على سطر يحتوي على التفاصيل المصرفية والرصيد الحالي، على سبيل المثال:

GB...IBAN...|0.00$

كان بإمكان الخادم إصدار بيانات مختلفة لمستخدمين مختلفين. وكان هذا يسمح للمشغلين بتغيير الحساب مباشرةً أثناء المكالمة، دون تحديث الموقع الرئيسي.

بعد تسجيل الدخول، كان الحساب يتصل أيضًا بالمسار /me. في وقت إجراء التحليل، كان هذا المسار يُرجع 404، لكن كود العميل أشار إلى أن الرد كان يمكن استخدامه لتحميل معلمات حساب معين وتسجيل القيم في ذاكرة التخزين المحلية للمتصفح.

خادم Dynamic DNS

كان النطاق الرئيسي ثابتًا بشكل شبه كامل، لكن الوظائف الديناميكية للوحة التحكم كانت تتصل بخادم منفصل لخدمة Dynamic DNS.

أظهر التحليل الأولي وجود عدة خدمات شبكية متاحة. بدا بعضها وكأنه خدمات وهمية أو أفخاخ بسيطة، لكن على منفذين غير قياسيين كانت تعمل تطبيقات ويب منفصلة مع صفحاتها الرئيسية ومعالجات الأخطاء الخاصة بها.

في هذه المرحلة، ظل الغرض من هذه التطبيقات غير واضح.

حدثت نقطة التحول في اليوم التالي، عندما سأل المشغل عما إذا كان التحويل قد تم. أشرنا إلى أننا ننظر في إرسال الأموال، وبعد ذلك طلب منا المتحدث تحميل تأكيد مصرفي بصيغة PDF.

ولهذا الغرض، أرسل لنا رابطًا مباشرًا لصفحة على النحو التالي:

site.com/my/statements/upload-form

لم تكن هناك أي روابط لها لا في القائمة ولا في الحساب الشخصي.

لم يكن النموذج يرسل المستند إلى الموقع الرئيسي، بل إلى إحدى خدمات Dynamic DNS. وعند اختبار معالجة ملف PDF تجريبي كبير الحجم، أرجع التطبيق خطأً مفصلاً في PHP.

كان وضع التصحيح في إطار عمل Yii Framework قيد التشغيل على الخادم. وبدلاً من الرسالة المعتادة، تلقى المستخدم سجل تتبع يحتوي على معلومات داخلية:

  • إصدارات Nginx و Yii؛
  • هيكل المجلدات؛
  • اسم المستخدم المحلي؛
  • مسارات الخادم؛
  • نموذج مسار المستندات التي تم تحميلها؛
  • جزء من معلمات البيئة.

كانت المستندات تُحفظ في مجلدات مقسمة حسب السنة والشهر واليوم. وكان اسم أحد المسارات يحتوي على البنية التالية debildocument.

كما استُخدمت في الكود صيغة balans في /home/pavlo/depositka-2/modul/resp.php:81

debildocument يبدو وكأنه مزيج من شتيمة عامية روسية وكلمة إنجليزية document ويُعد أثرًا لغويًّا أكثر وضوحًا من مجرد balans. ومع ذلك، لا يثبت أي من هذه الأسماء جنسية المطور أو موقع الفريق. فقد يكون الكود قد كُتب بواسطة أحد أعضاء فريق متعدد الجنسيات، أو نُسخ من مشروع آخر، أو احتوى عمدًا على أثر لغوي غريب.

كيف تم العثور على لوحة الإدارة

كشفت استجابة التصحيح عن متغيرات البيئة، ومن بينها:

  • ADMIN_URL;
  • ADMN_PASS.

أشارت الأولى إلى عنوان واجهة الإدارة. أما الثانية فاحتوتت على قيمة مرتبطة بها للوصول. لن نصف تسلسل الفحص اللاحق ولن ننشر بيانات الوصول، لأن ذلك قد يشكل مخاطر إضافية على المتضررين.

تم الكشف عن بيانات تسجيل الدخول من قبل الخادم نفسه في استجابة التصحيح التي تم الحصول عليها أثناء الاستخدام العادي للنموذج الذي أرسله المشغل. وقد اكتفينا بتوثيق بنية لوحة التحكم وطبيعة البيانات المخزنة بالقدر اللازم لتحديد طبيعة الحملة وإعداد الإخطارات لمالكي البنية التحتية: ولم نقم بإجراء أي تغييرات، ولم نقم بتنزيل قاعدة البيانات، ولم نستخدم حق الوصول بعد جمع المعلومات اللازمة لإعداد التقرير المقدم إلى مزود الاستضافة والسلطات المختصة.

كانت لوحة التحكم مطورة داخليًّا وتقع في تطبيق ويب منفصل على نفس البنية التحتية. لم تكن مجرد جدول واحد أو صفحة تركت عن طريق الخطأ: فقد كانت هناك أقسام مستقلة لأنواع مختلفة من المعلومات.

وكانت لوحة التحكم تعرض بشكل منفصل:

  • بطاقات الضحايا المحتملين؛
  • المدفوعات والوثائق المصرفية؛
  • التعليقات الداخلية للمشغلين؛
  • حالات معالجة جهات الاتصال؛
  • التعليمات وسيناريوهات المحادثات؛
  • بيانات روبوتات Telegram وواجهات برمجة التطبيقات الخارجية؛
  • السجلات الفنية؛
  • قوالب مواقع الاستثمار.

وقد تتضمن بطاقة الشخص الاسم، وبيانات الاتصال، والحالة الاجتماعية، وتقييم القدرات المالية، والمبالغ التي تم إيداعها بالفعل، والاعتراضات، والتوصيات للمحادثة التالية.

أظهرت التعليقات الداخلية أن هناك مستخدمين مختلفين كانوا يعملون في لوحة التحكم — وهم موظفو خدمة العملاء الذين كانوا يسجلون ليس فقط المدفوعات، بل أيضًا السمات النفسية للشخص: من يريد مساعدته، وما الذي يخشاه، ولماذا يتردد، وما هي الحجة التي أثبتت فعاليتها سابقًا.

وقد اعتبرنا نشر لقطات شاشة للوحة الإدارة أمراً غير أخلاقي: فالصور كانت ستكشف عن البيانات الشخصية والظروف المالية ووثائق الأشخاص المسجلين في قاعدة البيانات.

Telegram وقوالب الحملات

كشفت إعدادات لوحة التحكم عن بيانات Telegram Bot API وعمليات تكامل خارجية أخرى كانت تُستخدم للإشعارات الداخلية.

اكتشفنا داخل البنية التحتية خدمة منفصلة تعمل بنظام Dynamic DNS، كانت تُستخدم للتحميل المركزي للقوالب — بما في ذلك المكونات التي كانت تُستخدم لتجميع نسخ جديدة من مواقع الاستثمار.

يشير الترابط بين لوحة الإدارة والبطاقات المركزية وعمليات التكامل الخارجية والقوالب إلى أن الأمر لم يكن يتعلق بمشغل واحد يمتلك موقعًا واحدًا فقط. فقد صُممت البنية التحتية لإعادة تشغيل الحملات واستبدال التصميم الخارجي دون الحاجة إلى إعادة هيكلة الجزء الخاص بالخوادم.

«إظهار خطأ» والاتصال بالكمبيوتر

تم ذكر برامج RustDesk وTeamViewer وغيرها من برامج الدعم عن بُعد القانونية في المواد الداخلية.

وكانت التعليمات تقترح استخدامها بعد بناء الثقة. كان على المشغل إحداث خطأ في الحساب الشخصي، وتقديمه على أنه مشكلة من جانب المستخدم، وعرض الاتصال من أجل «الضبط» أو «إلغاء حظر العملية».

وكانت منطقية عميل WebSocket متوافقة مع هذا السيناريو:

  • ERROR|ERROR يعرض خطأً مصطنعًا؛
  • ERROR2|https://... ويقوم بإعادة توجيه المستخدم إلى عنوان محدد.

كان أحد خيارات إعادة التوجيه يؤدي إلى تثبيت أداة مرتبطة بـ hVNC. في الملاحظات الداخلية، كان هذا السيناريو مخصصًا لأهداف ثرية بشكل خاص، حيث يُفترض أن أصولها تبلغ 100 ألف دولار أو أكثر.

كانت برامج RAT الخاصة بنظام أندرويد و«البرامج النصية» — وهي تعليمات تشرح للمشغل الحجة التي يجب استخدامها لإقناع الشخص بتثبيت التطبيق ومنح الأذونات اللازمة — تُخزَّن بشكل منفصل.

كيفية التعرف على مخطط من هذا القبيل

كانت الحملة التي تم التحقيق فيها تتميز بعدة علامات مميزة:

  • مكالمة هاتفية غير متوقعة تتضمن عرضًا استثماريًا؛
  • وعد بعائد سنوي يتراوح بين 20 و40%؛
  • الضغط على البنوك وانتقادها؛
  • محاولة تحويل المحادثة بسرعة إلى تطبيق مراسلة؛
  • نطاق مسجل حديثًا؛
  • حساب تم إنشاؤه مسبقًا ويحتوي على بيانات شخصية؛
  • تحويل الأموال إلى أفراد أو شركات غير ذات صلة؛
  • طلب تحميل تأكيد مصرفي؛
  • طلب تثبيت RustDesk أو TeamViewer أو أي أداة أخرى للوصول عن بُعد؛
  • «خطأ فني» مفاجئ أثناء المحادثة بالذات؛
  • ضرائب وعمولات ومدفوعات إضافية لسحب الأموال.

لا تثبت علامة واحدة بالضرورة وجود عملية احتيال. لكن تضافر عدة علامات يُعد سببًا كافيًا لإنهاء التواصل وإجراء تحقق مستقل عبر السجلات الرسمية وجهات الاتصال التابعة للهيئة التنظيمية المالية.

ماذا تفعل بعد إجراء التحويل أو الاتصال عن بُعد

يجب الاتصال بالبنك فورًا، والإبلاغ عن المعاملة الاحتيالية، وطلب إيقاف التحويل أو إلغائه، إذا كان ذلك ممكنًا.

يجب الاحتفاظ بالمراسلات وأرقام الهواتف والوثائق وعناوين المواقع وبيانات الدفع. لا يجوز تحويل أموال إضافية بحجة الضرائب أو العمولات أو التأمين أو إلغاء تجميد الحساب.

إذا كان المشغل قد اتصل بالجهاز، فيجب حذف برنامج الوصول عن بُعد وإنهاء الجلسات النشطة. في حالة الاشتباه في تثبيت برنامج آخر، يجب فصل الجهاز عن الشبكة وتسليمه إلى المتخصصين لفحصه. يجب تغيير كلمات المرور من جهاز آخر معروف بأمانه.

هناك خطر آخر يتمثل في الاحتيال الثانوي. بعد خسارة الأموال، قد يتصل بالشخص أشخاص يدّعون أنهم محامون أو ممثلو هيئة تنظيمية أو متخصصون في استرداد الأصول. وسيطلبون دفعة مقدمة مقابل الوعد باسترداد الأموال. وغالبًا ما يكون هذا استمرارًا لنفس الحيلة أو استخدامًا لبيانات مستمدة من قاعدة بيانات تم اختراقها بالفعل.

إخطار مزودي الخدمة

لقد أرسلنا إخطارات إساءة الاستخدام إلى مالكي البنية التحتية المستخدمة

  • مزود خدمة استضافة الموقع الثابت؛
  • مشغل خدمة DDNS الذي كان يدير الجزء الديناميكي من النظام؛
  • مزود البنية التحتية، الذي كان الخادم الذي يحتوي على لوحة التحكم الإدارية موجودًا على شبكته.

تضمن كل إخطار مؤشرات ووصفًا للنشاط وإشارة إلى وجود بيانات شخصية لأطراف ثالثة. في 4 أغسطس، تم أيضًا إرسال معلومات عن الحملة إلى هيئة السلوك المالي (FCA) عبر نموذج الإبلاغ عن الأنشطة غير المرخصة وإلى الجهات الأمنية. حتى وقت نشر هذا التقرير: لم يتم تلقي أي ردود؛ النطاق لا يزال نشطًا؛ الخادم الخاص بـ Dynamic DNS لا يزال يستجيب؛ تم تعطيل الحساب الشخصي من قِبل المشغل.

لم نتواصل مع الأشخاص الذين كانت بطاقاتهم موجودة في قاعدة البيانات. ليس لدينا أي أساس قانوني لمعالجة هذه البيانات أو المبادرة بالاتصال، كما أن تلقي مكالمة أو رسالة من شركة غير معروفة بعد حملة احتيالية يعيد إنتاج سيناريو الاحتيال الثانوي المذكور أعلاه. لا يتم الكشف عن عناوين الخوادم والنطاقات والمعرفات الأخرى حتى وقت نشر هذا التقرير: فقد تظل جزء من البنية التحتية نشطة، كما أن النشر السابق لأوانه من شأنه أن يعيق عملية التحقق.

بدلاً من الخاتمة

بدأت هذه القصة بمكالمة هاتفية واحدة ووعد بتحقيق عائدات عالية.

وراء صوت «المستشار الاستثماري» كان هناك نظام يجمع بين موقع إلكتروني مزيف، وبطاقات مركزية، ووثائق دفع، وسيناريوهات داخلية، وروبوتات Telegram، وقوالب، وأدوات الوصول عن بُعد.

لكن الاكتشاف الأهم لم يكن في عدد الخوادم أو أسطر الكود.

لم يكتفِ الحساب المزيف بعرض رصيد وهمي فحسب. بل كان قادراً على الاستجابة لأوامر المشغل، وتوليد خطأ في اللحظة المناسبة، وتحويل محادثة هاتفية عادية إلى سيناريو تقني مُدبّر.

لم يكونوا يبيعون استثمارات. بل كانوا يبيعون الأمل، محولين الخوف على الأسرة، والرغبة في التخلص من الديون، أو مساعدة الأبناء والأحفاد إلى آلية للضغط.

لذلك، كن يقظًا وتحقق دائمًا من المعلومات التي تتلقاها — خاصةً عندما يتعلق الأمر بالمال. لا تثق في العوائد المرتفعة، أو الموقع الإلكتروني الجذاب، أو «مستشار الاستثمار» المقنع لمجرد أن كل شيء يبدو احترافيًا. تحققوا من عمر النطاق، والكيان القانوني، وترخيص المؤسسة المالية، والمعلومات المتعلقة بها في السجلات الرسمية.