الكشف عن شبكة احتيال أوسع نطاقًا من خلال التحليل الجنائي للمواقع الإلكترونية
نادراً ما تعمل المواقع الإلكترونية المتورطة في عمليات الاحتيال والنصب الإلكتروني بمعزل تام عن غيرها. فحتى عندما يحاول القائمون على الموقع إخفاء هويتهم، فإن البنية التحتية التقنية والسجلات التاريخية والصلات بخدمات إلكترونية أخرى قد توفر أدلة قيّمة للتحقيق.
تنويه: تستند دراسة الحالة هذه إلى حالة حقيقية Cybertrace التحقيق. ومع ذلك، تم تغيير الأسماء والنطاقات والتفاصيل التعريفية لحماية المعلومات والمصادر السرية للتحقيق.
في الآونة الأخيرة Cybertrace في إطار التحقيق، قام محققونا بفحص موقع إلكتروني متعلق بالدفع يُشتبه في ارتباطه بشبكة احتيال استثماري دولية أوسع.
يُظهر التحقيق كيف يمكن لتحليل الأدلة الجنائية للمواقع الإلكترونية أن يتجاوز مجرد تحديد هوية مسجّل النطاق. فمن خلال فحص البنية التحتية التاريخية، والنطاقات المرتبطة، والنطاقات الفرعية، وواجهات المواقع الإلكترونية، وغيرها من المؤشرات التقنية، يستطيع المحققون أحيانًا الكشف عن علاقات غير ظاهرة من الموقع الإلكتروني المُتاح للجمهور.
التحقيق
Cybertrace سبق أن طورت معلومات استخباراتية تتعلق بالبنية التحتية لمعالجة المدفوعات المرتبطة بعمليات الاحتيال الاستثماري الدولي.
تم جمع المعلومات الاستخباراتية من خلال مزيج من التحليل الفني، والاستخبارات مفتوحة المصدر (OSINT) ، والاستخبارات البشرية (المخبرين) التي تم الحصول عليها أثناء التحقيقات في عمليات الاحتيال الخارجية.
أثناء إجراء المزيد من التحليلات، Cybertrace تم تحديد بيئة خادم تستخدمها العديد من المواقع الإلكترونية والخدمات المتعلقة بالدفع ذات المخاطر العالية.
مع ذلك، لم يُعتبر استخدام مواقع ويب مختلفة لنفس عنوان IP دليلاً كافياً على ملكيتها أو إدارتها من قِبل نفس الأشخاص. فقد كان عنوان IP مرتبطاً بشبكة توصيل المحتوى (CDN )، ما يعني أن مواقع ويب غير مرتبطة قد تتشارك في نفس البنية التحتية. وكان هذا التمييز مهماً.
غالبًا ما تتضمن التحقيقات الجنائية الرقمية للمواقع الإلكترونية تحديد العلاقات التقنية، ولكن يجب على المحققين أيضًا تحديد ما إذا كانت هذه العلاقات ذات أهمية حقيقية أم أنها مجرد نتيجة لشيوع استخدام مزودي خدمات الاستضافة أو الأمن أو التكنولوجيا. وهنا تبرز أهمية الخبرة لتجنب الربط الخاطئ بين الكيانات، أو لمعالجة الثغرات في المعلومات والأدلة التي قد تبقى دون حل لولا ذلك.
النظر إلى ما هو أبعد من عنوان IP
Cybertrace لذلك تم فحص مؤشرات فنية إضافية.
كشف التحليل التاريخي عن وجود العديد من النطاقات الفرعية المتعلقة بالدفع والمرتبطة بالبنية التحتية. وأظهرت دراسة معمقة وجود أوجه تشابه بين العديد من المواقع الإلكترونية، بما في ذلك نطاقات فرعية متشابهة في بنيتها خاصة بالتجار والإدارة والحسابات والدفع.
كما عرضت المواقع الإلكترونية قوالب صفحات وواجهات متشابهة إلى حد كبير.
تشير هذه المؤشرات مجتمعةً إلى احتمال وجود ترابط بين عدد من الخدمات التي تحمل علامات تجارية منفصلة، وذلك من خلال منصة أساسية مشتركة أو بيئة خلفية أو مزود خدمة مشترك. وكانت السجلات التاريخية مفيدة بشكل خاص.
انتقلت بعض المواقع الإلكترونية لاحقًا إلى بيئات استضافة مختلفة، مما يعني أن تكوينها التقني الحالي لم يعد يكشف عن العلاقة السابقة. وقد سمح تحليل البنية التحتية التاريخية بذلك. Cybertrace لتحديد الروابط التي كان من الصعب اكتشافها من خلال فحص المواقع الإلكترونية فقط كما كانت موجودة في وقت التحقيق.
تحديد شبكة مواقع ويب أوسع
كما كشف التحقيق عن شبكة أوسع بكثير من النطاقات ذات الصلة المرتبطة بالموقع الإلكتروني قيد التحقيق.
سبق أن أعادت عدة نطاقات تستخدم صيغًا مختلفة من نفس اسم العلامة التجارية توجيه المستخدمين إلى الموقع الإلكتروني الرئيسي، أو كانت مرتبطة به بطريقة أو بأخرى. يشير هذا إلى أن الموقع الإلكتروني يشكل جزءًا من منظومة إلكترونية أوسع، وليس نطاقًا معزولًا. يُعد هذا النوع من التحليل ذا قيمة خاصة في تحقيقات الاحتيال.
غالباً ما تدير شبكات الاحتيال مواقع إلكترونية وعلامات تجارية ونطاقات متعددة. وقد يتم استبدال هذه المواقع أو إعادة توجيه المستخدمين إليها أو التخلي عنها مع ازدياد الشكاوى أو تزايد اهتمام الجهات الرقابية. لذا، فإن النظر إلى موقع إلكتروني واحد لا يُعطي سوى جزء من الصورة.
يمكن أن يكشف البحث التاريخي في المجال والبنية التحتية عن مواقع الويب السابقة والخدمات ذات الصلة والعلاقات التقنية التي لا تزال ذات صلة حتى بعد تغيير مواقع الويب الموجهة للجمهور.
دمج الأدلة التقنية مع المعلومات الاستخباراتية
ثم تمت مقارنة النتائج التقنية بالمعلومات الاستخباراتية Cybertrace تم الحصول على هذه المعلومات بشكل مستقل من مصادر تعمل داخل مراكز الاتصال الاحتيالية في الخارج.
حددت تلك المصادر موقعًا إلكترونيًا مرتبطًا تقنيًا بالبنية التحتية قيد التحقيق، ويُستخدم في عمليات استثمار احتيالية وترتيبات معالجة المدفوعات المرتبطة بها. وقد شكّل هذا دليلًا إضافيًا هامًا.
قد تُشير أوجه التشابه التقنية إلى وجود ترابط بين المواقع الإلكترونية، لكنها لا تُفسر بالضرورة كيفية استخدامها. في هذا التحقيق، عززت المعلومات الاستخباراتية المستقلة المتعلقة بالاستخدام التشغيلي لجزء من البنية التحتية أهمية النتائج التقنية.
لقد وفر تقارب مصادر الأدلة المختلفة في نهاية المطاف أساسًا أقوى لتقييم العلاقة بين الموقع الإلكتروني الذي تم التحقيق فيه وشبكة معالجة المدفوعات الأوسع نطاقًا مما كان يمكن أن يوفره أي مؤشر تقني منفرد بمفرده.
ما توصل إليه التحقيق
Cybertrace تم تحديد أدلة ظرفية هامة تربط الموقع الإلكتروني الذي تم التحقيق فيه بشبكة أوسع لمعالجة المدفوعات مرتبطة بعمليات الاحتيال الاستثماري الدولي.
وقد كشف التحقيق عن وجود بنية تحتية متداخلة، وأوجه تشابه بين أنظمة التجار والإدارة، وشبكات نطاقات ذات صلة، وواجهات مواقع ويب متشابهة إلى حد كبير.
كما حددت الدراسة وجود صلات مع التكنولوجيا المستخدمة في عمليات معالجة المدفوعات الأخرى المرتبطة بنشاط الاحتيال عبر الإنترنت.
الأهم من ذلك، Cybertrace فعل لست نستنتج أن البنية التحتية المشتركة أثبتت الملكية المشتركة.
أشارت الأدلة المتاحة إلى وجود صلة تقنية بين الموقع الإلكتروني والشبكة الأوسع، لكن لم يتم تأكيد الملكية المشتركة أو السيطرة التشغيلية. وكان من الضروري الحصول على مزيد من المعلومات من مزودي الخدمات المعنيين لتحديد هوية الجهات التي تتحكم في بنية تحتية معينة.
هذا التمييز مهم في أي تحقيق جنائي.
لا يقتصر هدف التحليل الجنائي للمواقع الإلكترونية على مجرد إيجاد أوجه تشابه تقنية وإعلان وجود صلة بين موقعين. بل يجب على المحققين دراسة قوة كل مؤشر، والتفسيرات البديلة، وما إذا كانت الأدلة المستقلة تدعم النتيجة نفسها.
ما توضحه هذه القضية
يوضح هذا التحقيق كيف يمكن لتحليل الأدلة الجنائية للمواقع الإلكترونية أن يكشف عن معلومات قد لا تكون مرئية من خلال البحث التقليدي في الموقع الإلكتروني نفسه.
من خلال الجمع بين تحليل البنية التحتية الحالية والتاريخية، وبحوث المجال، وتحديد النطاقات الفرعية، والمقارنات التقنية، ومصادر المعلومات المفتوحة وغيرها من المعلومات الاستقصائية، قد يكون من الممكن الكشف عن شبكات أوسع من المواقع الإلكترونية والخدمات ذات الصلة.
يمكن أن تساعد هذه النتائج في تحديد خيوط التحقيق الجديدة، وإقامة علاقات بين الكيانات عبر الإنترنت، وتحديد مكان توفر المزيد من المعلومات من شركات الاستضافة، ومقدمي التكنولوجيا، ومسجلي النطاقات، أو جهات خارجية أخرى.
لا تُسفر التحقيقات الجنائية للمواقع الإلكترونية دائمًا عن تحديد هوية الشخص الذي يقف وراء الموقع. مع ذلك، عندما تتلاقى عدة مصادر مستقلة للأدلة، فإنها تُحسّن بشكل كبير فهمنا لكيفية عمل الموقع ومن أو ما قد يكون مرتبطًا به.
