هندسة مسار الكشف

تُعد مسارات الكشف العمود الفقري التكنولوجي لمزودي خدمات الدفع (PSPs) والبنوك ومنصات المخاطر. وهي مسؤولة عن استيعاب بيانات التجار، وتحليل محتوى الموقع، وإعادة بناء تدفقات الدفع، وتقييم المخاطر في الوقت الفعلي.

يوضح هذا القسم الهندسة التقنية التي تستخدمها شركات مثل Stripe و Adyen و PayPal لتحديد إخفاء المدفوعات و تهرب التجار.

---

🏗 تدفق الطلب

عندما يبدأ العميل معاملة أو عندما يتقدم تاجر بطلب للحصول على حساب، تتدفق البيانات عبر سلسلة صارمة من الفحوصات.

flowchart TD
    User([العميل / المستخدم]) -->|زيارة| Site["موقع التاجر<br/>المخفي أو المرئي"]
    Site -->|بيانات الدفع| Gateway["بوابة الدفع<br/>Tokenization"]
    Gateway -->|بيانات المعاملة| RiskEngine["محرك مخاطر PSP<br/>المسار"]
    Crawlers([برامج الزحف والمسح]) -->|بيانات خارجية| RiskEngine

    subgraph Analysis["تحليل المسار"]
        RiskEngine --> F["1. تحليل البصمة"]
        RiskEngine --> C["2. جلب المحتوى"]
        RiskEngine --> B["3. التسجيل السلوكي"]
    end

    Analysis --> Decision{"محرك القرار"}
    Decision -->|أخضر| Allow["سماح"]
    Decision -->|أصفر| Review["مراجعة"]
    Decision -->|أحمر| Block["حظر"]

    %% Styles
    style User fill:#0ea5e9,stroke:#0369a1,color:#fff
    style Site fill:#6366f1,stroke:#4338ca,color:#fff
    style Gateway fill:#0891b2,stroke:#0e7490,color:#fff
    style RiskEngine fill:#7c3aed,stroke:#5b21b6,color:#fff
    style Crawlers fill:#fb923c,stroke:#ea580c,color:#fff
    style Analysis fill:#1e293b,stroke:#0f172a,color:#fff
    style F fill:#15803d,stroke:#14532d,color:#fff
    style C fill:#4f46e5,stroke:#3730a3,color:#fff
    style B fill:#0f766e,stroke:#115e59,color:#fff
    style Decision fill:#475569,stroke:#334155,color:#fff
    style Allow fill:#16a34a,stroke:#166534,color:#fff
    style Review fill:#eab308,stroke:#a16207,color:#000
    style Block fill:#dc2626,stroke:#7f1d1d,color:#fff

مراحل المسار

1. الاستيعاب (Ingestion): جمع البيانات الخام (تفاصيل المعاملة، رؤوس HTTP، بصمات الجهاز).
2. الإثراء (Enrichment): إضافة سياق خارجي (بيانات WHOIS، سمعة IP، حجم المعاملات التاريخي TPV).
3. التحليل (Analysis): تشغيل الفحوصات الخوارزمية (نماذج السرعة، عدم تطابق المحتوى، تجميع الرسم البياني).
4. اتخاذ القرار (Decisioning): البوابة المنطقية النهائية (موافقة، رفض، أو وضع في قائمة الانتظار للمراجعة اليدوية).

---

🧠 منطق المحرك خلف الكواليس

1. زاحف الويب / جالب المحتوى

"عيون" محرك المخاطر. يقوم بزيارة عنوان URL الذي قدمه التاجر للتحقق من شرعيته.

• لقطة HTML: يلتقط DOM الثابت للتحقق من الكلمات الرئيسية المحظورة (مثل "كازينو"، "أدوية").
• عروض JavaScript: يستخدم متصفحات بلا رأس (مثل Puppeteer، Playwright) لتنفيذ JS. هذا يكشف عن الإخفاء من جانب العميل حيث يتغير المحتوى بعد التحميل.
• تدوير وكيل المستخدم (User-Agent): يتنكر الزاحف كمستخدم iPhone أو Chrome Desktop قياسي لتجاوز نصوص "كشف الروبوتات" البسيطة التي يستخدمها المخفون.
• المسح المسبق مقابل المسح المباشر:
  • الموافقة المسبقة: مسح عميق لكل صفحة أثناء عملية الانضمام (Onboarding).
  • مباشر: عمليات إعادة مسح دورية وعشوائية للكشف عن تكتيكات "الطعم والتبديل".

2. إعادة بناء تدفق الدفع

لا تنظر المحركات المتقدمة إلى الصفحة الرئيسية فحسب؛ بل تحاكي عملية الشراء.

• محاكاة الدفع: يضيف الروبوت عنصرًا إلى سلة التسوق ويستمر في الدفع للتحقق من أن صفحة الدفع مستضافة على نفس النطاق.
• تتبع إعادة التوجيه: يتتبع عمليات إعادة التوجيه 301/302 وعلامات Meta Refresh.
  • إشارة خطر: إذا كان Shop-A.com يعيد التوجيه إلى Payment-B.com دون علاقة عمل واضحة.
• فحص Iframe: يتحقق مما إذا كان نموذج الدفع مضمنًا في iframe من نطاق مختلف وغير معروف.

3. التحليلات السلوكية (منطق الواجهة الخلفية)

يحلل بيانات وصفية لحركة المرور بدلاً من المحتوى المرئي.

• نماذج السرعة (Velocity Models):
  • القاعدة: "التجار الجدد في فئة 'الكتب' يعالجون عادةً < 500 دولار/يوم."
  • الشذوذ: التاجر #123 عالج 50,000 دولار في الساعة الأولى. -> تنبيه.
• MCC مقابل حجم التذكرة:
  • القاعدة: MCC 5192 (الكتب) عادةً ما يكون حجم تذكرته 15-50 دولارًا.
  • الشذوذ: المعاملات باستمرار بقيمة 499 دولارًا. -> تنبيه.
• عدم التطابق الجغرافي:
  • الادعاء: "نحن مخبز محلي في لندن."
  • الواقع: 95% من عناوين IP من البرازيل. -> تنبيه.

---

🕵️‍♂️ التهرب في بيئة التجربة (Sandbox) مقابل الإنتاج

استراتيجية إخفاء شائعة هي الطعم والتبديل (Bait and Switch).

1. الانضمام (Sandbox): يقوم التاجر بتحميل قالب "متجر قمصان" متوافق. يوافق عليه روبوت الاكتتاب الآلي.
2. الإنتاج (Live): بعد 24 ساعة، يقوم التاجر بتبديل المحتوى إلى "اشتراكات IPTV".

الإجراء المضاد: يستخدم مقدمو خدمات الدفع المراقبة المستمرة (أو "المسح الأبدي").

• مقارنة اللقطات (Snapshot Diffing): يلتقط النظام لقطة شاشة للصفحة الرئيسية كل 24 ساعة ويقارنها بلقطة "Master" من عملية الانضمام.
• تنبيه تغيير كبير: إذا انخفضت درجة تشابه النص عن 80% (على سبيل المثال، تم استبدال "قطن" بـ "قائمة قنوات")، يتم تعليق الحساب.

---

🔮 مستقبل الكشف: التعلم الآلي

تستخدم المسارات الحديثة التعلم غير الخاضع للإشراف للكشف عن مجموعات التجار.

• التجميع (Clustering): العثور على تجار لا يشاركون أي تفاصيل واضحة (اسم/بريد إلكتروني) ولكنهم يشتركون في بصمات تقنية دقيقة (نفس هيكل CSS، نفس ASN للاستضافة، نفس نص "من نحن").
• قواعد بيانات الرسم البياني: رسم خرائط لشبكات العلاقات. إذا تم حظر التاجر A بسبب الاحتيال، والتاجر B يشارك نفس معرف Google Analytics، يتم حظر التاجر B تلقائيًا.

التالي: طرق الكشف المتقدمة