כך פועלות רשתות ההונאה הסיניות בקופות ובאפליקציות

הונאות קמעונאיות בארה"ב משנות צורה: במקום גנבים שמעמיסים עגלות ובורחים מהחנות, יותר ויותר מקרים מתבצעים מול עיני העובדים — בקופות שירות עצמי, דרך ארנקים דיגיטליים ובאמצעות חשבונות לקוח שנפרצו. לפי חוקרי אכיפה ואנשי אבטחת תשלומים, מאחורי חלק ניכר מהמקרים עומדות רשתות מאורגנות בעלות קשרים לסין, שמצליחות להמיר פרטי אשראי גנובים לכרטיסי מתנה, למוצרי אלקטרוניקה ולמזומן, בהיקפים שמגיעים, לטענת המשטרה, עד כמיליארד דולר בשנה.

שבע דקות בקופה — ועשרות עסקאות קטנות

אחת הדוגמאות שנחקרו אירעה בסניף של לואו'ס בלואיזיאנה. לפי אדם פארקס, עוזר סוכן מיוחד בכיר ב-Homeland Security Investigations, החשוד ניגש לקופת שירות עצמי, סרק שוב ושוב כרטיסי מתנה בסכומים של 95 דולר ושילם באמצעות הטלפון הנייד. בסרטוני האבטחה הוא נראה כלקוח רגיל, בעוד עובד החנות מסתובב בקרבתו מבלי לזהות חריגות.

לפי פארקס, האיש היה חלק ממערך רחב יותר, ובזמן העסקאות קיבל הנחיות באמצעות אוזניות אלחוטיות. לדבריו, לאחר שיצא מהחנות הוא המשיך לבצע רכישות דומות אצל קמעונאים נוספים, ואז שב לאותו סניף וחזר על הפעולה. החשוד לא נעצר עד כה, אך עדיין נחשב יעד חקירתי.

הדפוס הזה חשוב משום שהוא ממחיש את יתרון השיטה עבור העבריינים: כל עסקה נראית קטנה יחסית, לעיתים מתחת לרף שמעורר תגובה מיידית, אבל צבירה של עשרות ומאות עסקאות כאלו יוצרת נזק מצטבר עצום.

מהודעות על אגרות כביש ועד ארנק דיגיטלי גנוב

המסלול מתחיל לעיתים קרובות בהונאה מוכרת לצרכן: הודעות טקסט המתריעות על אגרת כביש שלא שולמה, רישוי רכב שעומד לפוג או הליך אכיפה כביכול. המטרה היא לגרום לנמען למסור פרטי אשראי, סיסמאות דוא"ל או מידע אישי נוסף. גורמי מקצוע מציינים כי כלי בינה מלאכותית מקלים על הפושעים לייצר הודעות משכנעות יותר ובהיקף גדול יותר.

ג'ף אוטו, מנהל השיווק של Riskified, הסביר כי ברגע שלנוכלים יש גם גישה לכרטיס אשראי וגם לסיסמת הדוא"ל של הקורבן, הם יכולים לצרף את הכרטיס למכשיר שנמצא בשליטתם. לדבריו, כאשר הבנק שולח התראה או קוד חד-פעמי כדי לאשר את צירוף הכרטיס, העבריינים כבר מסוגלים לגשת לתיבת המייל, לאתר את הקוד ולהשלים את התהליך לפני שהלקוח מבחין בכך.

מכאן הדרך קצרה לרכישות בחנות באמצעות tap-to-pay או לקניות אונליין מתוך אפליקציות קמעונאיות שבהן שמורים כרטיסי אשראי ופרטי משתמש.

כרטיסי המתנה הם תחנת מעבר לכסף הגדול

לפי החוקרים, כרטיסי מתנה הם אחד המוצרים האטרקטיביים ביותר לרשתות ההונאה. אפשר לקנות אותם במהירות, למכור אותם בהנחה קלה תמורת מזומן, או להשתמש בהם כדי לרכוש מוצרים יקרים שקל לשנע ולמכור מחדש. פארקס אמר כי בארגוני פשיעה מאורגנים השיטה משמשת גם לרכישת מוצרים בעלי ביקוש גבוה בסין, למשל מכשירי אייפון בתצורה אמריקאית, שנמכרים שם בפרמיה.

היתרון מבחינת הרשתות כפול: הן עוקפות מגבלות בנקאיות מחמירות בארה"ב ובסין, ומכניסות סכומי כסף גדולים יותר חזרה למסלול שנראה לגיטימי. במקום העברת מזומן ישירה, ההמרה נעשית דרך סחורה או ערך דיגיטלי שניתן לפדות בהמשך.

החוליה החלשה: אפליקציות קמעונאיות וחשבונות ישנים

לצד העסקאות הפיזיות, מתרחבת גם הונאה דרך אפליקציות ואתרי מסחר. לפי אוטו, דליפות מידע, פישינג והנדסה חברתית מאפשרים לעבריינים להשתלט על חשבונות לקוח, להיכנס אליהם עם שם משתמש וסיסמה ולבצע רכישות באמצעות אמצעי תשלום שכבר נשמרו בהם.

בבדיקה שנעשתה במסגרת הכתבה נצפו בערוצי טלגרם פרטי התחברות לחשבונות של קמעונאים גדולים שנמכרו בסכומים של דולרים בודדים. אוטו אמר כי חשבונות ותיקים, כמו כתובות מייל ישנות הפעילות שנים רבות, נתפסים לעיתים כאמינים יותר במערכות בקרת הונאה בסיסיות — ולכן דווקא הם עלולים לחמוק מבדיקות פשוטות.

לדבריו, הבעיה המבנית היא שקמעונאים מחזיקים מידע רגיש מאוד, כולל כרטיסים שמורים ופרטי זיהוי, אך לא תמיד משקיעים באותה רמת הקשחה, ניטור ואימות שמקובלת באפליקציות בנקאיות. מבחינת הפושעים, זהו יעד נוח יותר: גישה למידע יקר ערך בסביבה עם פחות מחסומים.

למה קשה לעצור את זה בזמן

הרשויות המקומיות בארה"ב מתקשות לא פעם לטפל בתיקים כאלה. קפטן מאט לוסון ממשרד השריף במחוז נוקס בטנסי אמר כי מדובר בחקירות מורכבות, ולעיתים אם היקף הגניבה בכל אירוע בודד אינו עובר סף מסוים או אינו מתפתח לעבירה פדרלית, העבריינים ממשיכים לפעול כמעט ללא הפרעה.

פארקס הוסיף כי בדרג השטח פועלים לעיתים "חיילים" זוטרים שחייבים כסף לרשתות הברחה ופשיעה, ולכן מגויסים לבצע את הרכישות בחנויות ולהעביר את הסחורה הלאה. מעצרים, לדבריו, מתבצעים לא פעם דווקא בשלב הזה — אך אלה בדרך כלל הדרגים הנמוכים ביותר במבנה הארגוני.

במבט רחב יותר, המגמה הזו מלמדת עד כמה הגבול בין פשיעה פיננסית, מסחר דיגיטלי ופשיעה מאורגנת מיטשטש. עבור הקמעונאים מדובר לא רק באובדן מכירות או בכרטיסי מתנה שנפדו במרמה, אלא גם בשחיקה באמון הלקוחות, בעלויות אבטחה גבוהות יותר ובלחץ גובר לחזק את מנגנוני האימות סביב חשבונות, ארנקים דיגיטליים ותשלומים עצמיים.