كيف تراقب التغييرات في صفحة الدفع: ماذا تراقب ومتى

مراقبة التغييرات في صفحة الدفع تعني أن تعرف، في الوقت المناسب للتصرف، متى بدأ شيء في صفحة الدفع يعمل بطريقة لم يصرّح بها المتجر. يشمل ذلك الملفات على الخادم، والسكربتات التي تحمّلها الصفحة، وترويسات الأمان، والأهم من ذلك ما يظهر على شاشة المشتري. كل طبقة تحتاج إلى طريقة مختلفة، ولا توجد طريقة واحدة ترى الطبقات الأربع.

لماذا تراقب صفحة الدفع وليس الموقع فقط

صفحة الدفع هي الصفحة الوحيدة التي يتحول فيها الهجوم إلى مال في اللحظة نفسها. الشيفرة التي تنسخ البطاقة أو تستبدل رمز QR الخاص بـ Pix (نظام المدفوعات الفورية التابع للبنك المركزي البرازيلي) لا تحتاج إلى العمل إلا هناك، ولهذا تبقى عادة معطّلة في بقية الموقع. وفي سبتمبر 2026، لاحظت متاجر برازيلية أصابتها شيفرة من هذا النوع عَرَضًا تجاريًا أولًا، هو زيادة حالات التخلي عن الدفع عبر Pix، قبل أي تنبيه تقني.

ومراقبة صفحة الدفع مطلوبة أيضًا. منذ 31 مارس 2025، يطلب المتطلب 11.6.1 من PCI DSS آلية تكشف التغييرات غير المصرّح بها في محتوى الصفحة وفي ترويسات الأمان، مع فحص أسبوعي على الأقل، أو بالوتيرة التي يحددها تحليل مخاطر تجريه الشركة نفسها.

ماذا تراقب: الطبقات الأربع

1. الملفات على الخادم

ملفات المنصة والقالب والإضافات. التغيير خارج عملية نشر مخطط لها هو العلامة الأكثر كلاسيكية على الاختراق.

ما لا تراه هذه الطبقة: الشيفرة التي تأتي من عنوان خارجي ولا توجد إلا في المتصفح.

2. السكربتات التي تحمّلها الصفحة

قائمة بكل ما تجلبه صفحة الدفع: ملفات المتجر نفسه، وأدوات التحليل، والدردشة، وبكسل الإعلانات، وسكربتات مزوّد الدفع. هذا هو الحصر الذي يطلبه المتطلب 6.4.3 من PCI DSS، مع مسؤول وسبب وضمان سلامة لكل عنصر.

ما لا تراه هذه الطبقة: سكربت مصرّح به يغيّر سلوكه دون أن يغيّر اسمه، أو إضافة في متصفح العميل.

3. ترويسات الأمان

التعليمات التي يرسلها الخادم إلى المتصفح مع الصفحة، مثل السياسة التي تحدد من أين يمكن تحميل السكربتات وإلى أين يمكن إرسال البيانات. إذا خفّف أحدهم هذه السياسة، يبقى الباب مفتوحًا دون أن يتغير أي ملف.

ما لا تراه هذه الطبقة: هجوم يستخدم خدمة مسموحًا بها من قبل. في يونيو 2026، وصف باحثون شيفرة لسرقة بيانات البطاقات تستخدم خدمة دفع معروفة نقطةَ ارتكاز، تحديدًا لتمرّ عبر السياسات التي تثق بتلك الخدمة.

4. ما تعرضه شاشة العميل

رمز QR الخاص بـ Pix، ونص Pix Copia e Cola (رمز الدفع النصي الذي ينسخه العميل ويلصقه في تطبيق البنك)، ورقم الدفع (linha digitável) في boleto (القسيمة المصرفية البرازيلية)، وعنوان المحفظة، والنموذج الذي يستقبل بطاقة الائتمان وبطاقة الخصم، والوجهة التي يرسل إليها هذا النموذج البيانات. هنا يحدث الاحتيال، وهنا يظهر كاملًا.

ما تتطلبه هذه الطبقة: مقارنة ما على الشاشة بما أصدره المتجر، لا مجرد تسجيل أن شيئًا ما تغيّر.

بأي وتيرة

لا توجد وتيرة واحدة. القاعدة العملية هي تحديد وتيرة لكل طبقة:

• الملفات على الخادم: عند كل نشر وكل يوم، مع تنبيه فوري لأي تغيير خارج النشر.
• السكربتات والترويسات: مراقبة مستمرة، مع مراجعة بشرية أسبوعية على الأقل، وهو الحد الأدنى في 11.6.1.
• شاشة العميل: عند كل تحميل لصفحة الدفع. رمز QR استُبدل يوم الثلاثاء الساعة 10:00 يكون قد استقبل مالًا في الساعة 10:01.

الطرق وما تراه كل منها

• مراقبة الملفات على الخادم. جيدة للاختراقات التي تمس شيفرة المتجر. لا ترى ما يُركَّب في المتصفح.
• الفحص الخارجي الآلي. برنامج آلي يفتح صفحة الدفع من حين لآخر ويسجّل ما تحمّله. يساعد في بناء الحصر، لكنه لا يرى إلا جلسته هو، وقد تتصرف الشيفرات الخبيثة بشكل مختلف مع الزوار الذين يبدون آليين.
• تقارير المتصفح عن سياسة الأمان. يُبلغ متصفح العميل عندما يحاول شيء التحميل من مكان غير مسموح به. تُظهر هذه التقارير المحاولات المحظورة، لا ما مرّ عبر عنوان مسموح به.
• سكربت مراقبة في الصفحة نفسها. يعمل في متصفح العميل الحقيقي ويرى ما حمّلته الصفحة فعلًا وما تغيّر بعد فتحها.
• التحقق من بيانات الدفع. خطوة أبعد من السابقة: لا يكتفي برؤية أن رمز QR تغيّر، بل يقارنه برمز QR الذي أصدره المتجر ويمنعه إذا لم يتطابق.

الطرق الثلاث الأولى تقول «شيء ما تغيّر». والأخيرة وحدها تقول «العميل على وشك أن يدفع للشخص الخطأ».

كيف تبني تنبيهات يستجيب لها أحد

1. حدّد ما هو مصرّح به. من دون قائمة بالسكربتات والوجهات المتوقعة، يصبح كل تنبيه مجرد ضجيج.
2. افصل العاجل عن الروتيني. سكربت جديد في صفحة الدفع ورمز QR غير مطابق أمران عاجلان. أما تغيير إصدار أداة تحليل فأمر روتيني يُراجع خلال الأسبوع.
3. أرسل العاجل إلى من يستطيع التصرف. قناة فيها مناوب، لا صندوق بريد إلكتروني.
4. اجمع الإشارات التقنية والتجارية. نسبة دفعات Pix المعلقة، والتخلي عن الشراء في صفحة الدفع، وشكاوى الدفع من دون طلب، كلها لا تقل أهمية عن تنبيه ملف.
5. احتفظ بالأدلة. التاريخ، والصفحة، وما تغيّر، ومن وافق عليه. هذا ما يطلبه مدقق PCI DSS، وهو ما يساعد عند شرح الحادث للعميل.

قائمة تحقق سريعة

• قائمة بسكربتات صفحة الدفع، مع مسؤول وسبب لكل منها.
• تنبيه لأي ملف تغيّر خارج النشر.
• سياسة أمان محتوى مع تفعيل التقارير.
• مراقبة في متصفح العميل الحقيقي، لا عبر برنامج آلي فقط.
• التحقق من رمز QR ورمز Copia e Cola ورقم الدفع ونموذج البطاقة مقابل ما أصدره المتجر.
• لوحة يومية بنسبة دفعات Pix المعلقة.
• سجل لكل تغيير معتمد ولكل تنبيه عولج.

لفهم الهجمات التي تمنعها هذه المراقبة، اقرأ Magecart: ما هو وكيف تحمي متجرك الإلكتروني. وللمتطلبات، اطّلع على الامتثال لمعيار PCI DSS.

أين يأتي دور Proteside

يغطي Proteside الطبقتين الثانية والرابعة في متصفح المشتري: يحافظ على حصر سكربتات صفحة الدفع، ويتحقق في كل طلب من أن رمز QR ورمز Copia e Cola ورقم الدفع ونموذج البطاقة هي التي أصدرها المتجر. وعندما لا تكون كذلك، يمنع الاستبدال قبل التأكيد، وينبّه المتجر، ويسجّل الحالة كدليل لـ PCI DSS. اطّلع على كيف يعمل.