قراءة قانونية في قرار متعلق بقرصنة واختراق القن السري – استمرار سحب المبالغ المالية من حساب الزبون بعد التعرض على البطاقة البنكية – قيام المسؤولية البنكية
يوسف بنشهيبة
باحث في العلوم الجنائية والأمنية
قرار محكمة النقض عدد: 372
الصادر بتاريخ: 27يوليوز2017
في الملف التجاري عدد: 1356/3/1/2016
بنك _ قرصنة واختراق القن السري _ استمرار سحب المبالغ المالية من حساب الزبون بعد التعرض على البطاقة البنكية _ قيام المسؤولية البنكية.
إن المحكمة لما اعتبرت صوابا أن المطلوب محق في استرجاع ما تم سحبه من حسابه بكيفية غير قانونية، في ظل عدم ثبوت صدور أي إخلال عنه، سواء بفقدانه للبطاقة أو تسريبه لقنها السري، أو صدور أي إهمال عنه عند تواجده بالخارج، وفي ظل قيام مسؤولية البنك عن استمرار سحب المبالغ المالية من حساب الزبون بعد التعرض على البطاقة البنكية، وعن عدم توفره على نظم معلوماتية مؤمنة ضد جرائم الاختراق والقرصنة، واستبعدت تطبيق الفصلين 268 و269 من قانون الالتزامات والعقود المتعلقين بالقوة القاهرة على النازلة الماثلة، ما دام أن وقوع الجرائم الإلكترونية من الأمور التي يمكن توقعها. يكون قرارها غير خارق لأي مقتضى وجاء معللا بما فيه الكفاية.
تلخيص الوقائع:
من خلال القراءة الأولى للقرار أعلاه، يتضح أنه يتعلق بنازلة مفادها أن زبون إحدى المؤسسات البنكية بالمغرب، وعند اطلاعه المعتاد على كشف حسابه تفاجأ بعمليات سحب مالية أنجزت خارج المغرب، استعملت فيها بطاقته البنكية من نوع (ماستر كارد)، بالرغم من أن البطاقة البنكية بقيت في حوزة الزبون، ولم يتم تسجيل أي تعرض بالسرقة أو الضياع بشأنها، وقد تبين لاحقا أن العمليات المنجزة تمت بعملة الدولار الأمريكي في فترة ما بين 27 مارس و29 أبريل 2014، بعد ذلك قام هذا الزبون بالتعرض لدى مؤسسته البنكية بتاريخ 31/03/2014، لكن عمليات السحب ظلت مستمرة، مما جعل الزبون يتقدم بدعوى يطالب فيها البنك بردّ المبالغ المسحوبة وتعويضه عن الضرر، بدعوى أن بطاقته تعرضت للقرصنة والاختراق، وأن البنك لم يتخذ الإجراءات اللازمة لحماية نظامه المعلوماتي.
قضت المحكمة الابتدائية بمدينة مراكش بالحكم لصالح الزبون، وألزمت البنك بالتعويض، وهو الحكم الذي تم تأييده من طرف محكمة الاستئناف.
غير أن البنك طعن بالنقض، متمسكًا بكون السحب تم بطريقة قانونية وبأن الزبون هو من يتحمل المسؤولية، نظرًا لاحتمال تفريطه في حماية رمزه السري أو إفشائه لمعلومات بطاقته البنكية.
القراءة التحليلية للقرار:
من خلال القراءة الأولى للقرار، الملاحظ هو أننا أمام جريمة من الجرائم السيبيرانية (الجرائم المعلوماتية)، وليس أمام جريمة الكترونية، حيث المعروف أن الجرائم المعلوماتية ترتكب بواسطة وسائل التكنولوجيا الحديثة وهي جرائم ذات خصوصية وطابع خاص، حيث تتسم بسرعة ارتكابها، وبسرعة اندثار الدليل الرقمي، وأيضا كونها من الجرائم العابرة للقارات، وترتكب من طرف أشخاص لهم إلمام كبير بلغة البرمجة وأدوات وأنظمة الاختراق.
تعرض الزبون لدى مؤسسته البنكية بتاريخ 31/03/2014 وبالرغم من تسجيل
هذا التعرض إلا أن نزيف البطاقة البنكية ظل مستمرا، وظلت عمليات السحب مستمرة، حيث بلغت 20 عملية منذ تسجيل التعرض داخل التاريخ أعلاه، إلى غاية تاريخ 29/04/2014، انطلاقا مما سبق، يمكن طرح سؤال جوهري في غاية الأهمية، وهو لماذا بقيت عمليات السحب مستمرة ؟
ويمكن الإجابة عن هذا السؤال في نقطتين وهما:
النقطة الأولى: عدم توفر المؤسسة البنكية على نظام معلوماتي آمن يمكنها من التصدي للهجمات المعلوماتية التي يقوم بها بعض الأشخاص، إما بشكل منفرد أو من خلال مجموعات أو منظمات (هاكرز ـ قراصنة القبعة السوداء).
وفي هذه الحالة تعتبر مسؤولية المؤسسة البنكية ثابتة في حالة تقصيرها في واجباتها الأمنية، والتي تقوم على تثبيت نظام معلوماتي آمن يحمي معطيات المؤسسة البنكية ومعطيات الزبناء ذات الطبيعة الخاصة والحساسة، كما أن هذه الاختراقات قد تطال بعض تطبيقات المؤسسات البنكية التي يتم توفيرها للزبناء على متن هواتفهم، والتي تقدم مجموعة من الخدمات عن بعد، في إطار رقمنة الخدمات، دون عناء الانتقال إلى مؤسستهم البنكية، ومن الأمثلة عن هذه الخدمات، الاطلاع على رصيد الحساب، تحويل واستقبال الأموال، وخدمات أخرى.
كما أن عمليات الاختراق التقني قد تطال بعض الحواسيب و السيرفرات المقابل لها باللغة الإنجليزية Server))، وباللغة العربية (الخادم) وتعطل أيضا الأنظمة البنكية.
)، وهو من البرمجيات الخبيثة، ويمكن تشبيهها “بفيروس الفدية”،Ransomware)
الذي كان قد اجتاح العالم، وتقوم هذه البرمجية الخبيثة بحجب البيانات والمعطيات عن المؤسسة البنكية، وتجعلها غير قادرة للوصول إليها، وهو ما يسمى:
التشفير، وينقسم هذا التشفير إلى أنواع رئيسية أخرى…، ويتم فكMalwar)
هذا التشفير مقابل مبالغ مالية، وهو ما يعرف(بالفدية).
عدم توفر المؤسسة البنكية على نظام معلوماتي آمن، يجعلها هدف سهل في مرمى الهجمات السيبيرانية، (الجرائم المعلوماتية)، كما سبق الذكر، والعديد من المخاطر الأمنية والتقنية، من بينها: سرقة معلومات العملاء، حسابات، بطائق بنكية…
الجدير بالذكر أن هناك مجموعة من النصوص القانونية تلزم المؤسسات البنكية على التوفر على نظام معلوماتي آمن وفعال للتصدي للهجمات السيبيرانية[1]، ومراقبة المخاطر المالية والتقنية، ومن هذه القوانين:
القانون رقم 20.05 المتعلق بالأمن السيبيراني في المادة الثالثة والتي جاء فيه : “يجب على كل هيئة أن تسهر على أن تكون نظم معلوماتها مطابقة للتوجهات والقواعد والانظمة والمراجع والتوصيات الصادرة عن السلطة الوطنية”.[2]
كما نصت أيضا هذه المادة في فقرتها الثانية: “يجب على كل هيئة تحييد المخاطر التي تهدد أمن نظم معلوماتها واتخاد الإجراءات التقنية والتنظيمية اللازمة لإدارة هذه المخاطر…[3]
المادة 6: “يجب على كل هيئة أن تعين مسؤولا عن أمن نظم المعلومات يتولى السهر على تطبيق سياسة أمن نظم المعلومات”[4]
يلاحظ من خلال هذه المادة أنها جاءت على صيغة الوجوب والإلزام، بمعنى أن أي هيئة مؤسسة عمومية، جماعة ترابية…، يجب أن تتوفر على نظام معلوماتي، سيرفرات، قواعد بيانات، شبكات…، ملزمة قانونا بتعيين شخص خبير في مجال أمن نظم المعلومات RSSIوالذي يعد له القيام بمجموعة من المهام من بينها: وضع وتنفيذ سياسة الأمن المعلوماتي داخل الهيئة، ورصد التهديدات والهجمات الإلكترونية المحتملة، توعية المستخدمين والموظفين حول الممارسات الآمنة، والتنسيق مع السلطات المختصة، من قبيل الوكالة الوطنية لتقنين المواصلات أو المديرية العامة لأمن نظم المعلومات.
وتجذر الاشارة إلى أن مجال الأمن المعلوماتي هو مجال يتداخل فيه ما هو تقني وتنظيمي وقانوني كذلك.
المادة 7: “يجب على كل هيئة أن توفر الوسائل المناسبة لمراقبة ورصد الأحداث التي قد تمس بنظم أمن معلوماتها ويكون لها وقع بالغ على استمرارية للخدمات التي تقدمها” [5]
المادة 17: “القانون يلزم المسؤول عن البُنية التحتية بإعداد قائمة بأنظمة المعالجة الحسّاسة وإرسالها في صيغتها المحينة إلى السلطة الوطنية”[6]
المادة 19: “أي نظام معالجة معلوماتي حساس يجب أن يخضع للمصادقة عليه قبل استغلاله، ومواد أخرى جاء بها هذا القانون…[7]
القانون 09-08 المتعلق بحماية الاشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي[8]، يشكل هذا القانون أهمية كبرى في المجال البنكي، لكون المؤسسات البنكية تتعامل مع مجموعة من البيانات الشخصية الخاصة بزبناءها أسماء العملاء، حسابات بنكية، معاملات، بطائق بنكية …، حيث يلزم هذا القانون كل من يقوم بمعالجة بيانات شخصية، سواء بجمعها، أو تسجيلها، أو تخزينها، أو استعمالها…، أن يتصرف بطريقة تحمي هذه البيانات، وأن عدم تطبيق المؤسسات البنكية لهذه الالتزامات تجاه حماية البيانات، من تسريب، اختراق… يحملها بذلك المسؤولية القانونية والمدنية.
المادة 1 حددت أن معالجة البيانات يكون فقط بشروط قانونية، وبما يحترم الحقوق الأساسية للأشخاص. [9]
المادة 3: عرفت “المعالجة” و”البيانات الشخصية” و”المسؤول عن المعالجة” أو” معالج”— وعملية المعالجة هي العملية التي تقوم بها المؤسسات البنكية.[10]
المادة 5: ألزمت ”المسؤول عن المعالجة” أو من يمثله إخبار كل شخص عن وجود قاعدة قانونية تسمح بالمعالجة — والبنك يجب أن يحصل على موافقة من أجل معالجة هذه البيانات.[11]
الفرع الثالث الالتزام بسرية وسلامة المعالجات والسر المهني وتحديدا المادة 24 من نفس القانون التي “ألزمت المسؤول عن المعالجة القيام بكل الإجراءات التقنية والتنظيمية الملائمة لحماية المعطيات ذات الطابع الشخصي، لضمان سلامة البيانات ومنع الوصول غير المصرّح به”.[12]
ومن خلال القانون رقم 09.08 والقانون رقم 20.12 يمكن القول على أن المؤسسة البنكية ليست ملزمة فقط بتأمين أنظمتها المعلوماتية، ولكن ملزمة في نفس الوقت أيضا بتطبيق قواعد حماية المعطيات ذات الطابع الشخصي، من خلال القانون رقم 08.09.
القانون رقم 12-103 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها[13]
إن ما يهمنا في مضمون القانون أعلاه وهو الجانب المتعلق بالالتزام بالحماية والأمن المعلوماتي.
المادة 34: “تُلزم كل بنك بتوفير تنظيم داخلي وهيكلة ملائمة لتسيير أنشطته، بما فيها إجراءات المراقبة الداخلية، وإدارة المخاطر، وحماية النظام المعلوماتي”.[14]
المادة 78: “يجب على مؤسسات الائتمان أن تحدث لجنة مكلفة بتتبع عملية تحديد وتدبير المخاطر والســهر علــى تنفيــذ جميــع التدابيــر للوقايــة مــن المخاطــر الشــمولية والحــد مــن تأثيراتهــا… (للتوسع أنظر القانون رقم 12-103 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها”)[15]
بالرغم من أن القانون رقم 12-103 لم يذكر بالعبارة الصريحة، عبارة “الأمن المعلوماتي، إلا أن المواد السالف ذكرها ومواد أخرى تشكل الأساس القانوني غير مباشر لوجوب تأمين النظام المعلوماتي.[16]
النقطة الثانية: ما جاء في رد المطلوب في النقض على كون الطالب قد سلم بطاقته البنكية لشخص آخر قصد استعمالها دون الاستناد على أي دليل سوى أن الشخص أجنبي يقيم خارج المغرب، وبالتالي فإن هذا الدفع لا يعزز من موقف المؤسسة البنكية في غياب أي حجة تستند إليها.
الخبرة التي استندت عليها محكمة النقض، والتي قام بها الخبير عز العرب (أ) والتي جاء فيها أن الزبون قام بإرجاع البطاقة البنكية للبنك بتاريخ: 31/03/2014.
السؤال الذي يطرح، لماذا تم الاعتماد على الخبير لإثبات واقعة إرجاع البطاقة البنكية، هل ذلك راجع إلى كون أن إثبات ما يترتب عن هذا التسليم هو من اختصاص الخبير، لكونها مسألة تقنية، بالإضافة إلى أن هذا الاثبات ينبني على إطلاع الخبير على النظام البنكي للتأكد هل تم إلغاء البطاقة من هذا النظام أو تم توقيف العمل بها من عدمه، كما أن محكمة النقض في هذا القرار لم تذكر فيه حيثيات هذه الخبرة، وهذا هو المعمول به في الأصل، و في غياب قدرتنا على الاطلاع على الحكم الابتدائي، تجعل دراسة هذه النقطة بالذات صعبة شيئا ما، حيث أن المتوفر هو عبارة: “أن الخبير أكد أن الزبون قام بإرجاع البطاقة للبنك”.
و لكون تسليم البطاقة البنكية هو واقعة مادية كان يجذر بالزبون أن يستعين أثناء عملية التسليم بمفوض قضائي قصد تحرير محضر معاينة أثناء تسليم البطاقة البنكية للبنك.
في المقابل، نرى أن مجرد إتباث التسليم المادي للبطاقة البنكية للبنك، لا يكفي لإعفاء المؤسسة البنكية من المسؤولية ما لم يُثبت أن البطاقة أُلغيت فعليًا من النظام البنكي، وهذا الإتباث يحتاج إلى خبير تقني، وبالتالي فإننا هنا نتحدث عن التبعات التقنية للتسليم، إلغاء البطاقة أو تجميدها داخل النظام…، وليس عن واقعة التسليم المادي نفسها لذلك.
استندت محكمة النقض على “الخبرة” لتحديد هل البنك فعلاً أوقف البطاقة بعد تسلميها إياها أم لا، وليس لإثبات واقعة التسليم باليد، لكن في المقابل يلاحظ في القرار غياب هل الخبير قام بالفعل بمعاينة أو خبرة تقنية على مستوى النظام البنكي للتأكد من أن البطاقة البنكية تم تعطيلها.
استمرار عملية السحب رغم التقدم بتعرض بتاريخ: 31/03/2014
بالرغم من قيام الزبون بإرجاع البطاقة البنكية للبنك وتقدمه بتعرض بتاريخ 31/03/2014 إلا أن عمليات السحب ظلت مستمرة الى غاية 29/04/2014 أي ما تسجيل التعرض، محددا قيمة ما تم سحبه في 47.460.21 درهما، مما يجعل مسؤولية البنك قائمة.
الطاعن على القرار صرح بخرق مقتضيات الفصلين 268 و296 من قانون الالتزامات والعقود[17] وتمسك بكون أن ما تعرض له الزبون هو قوة قاهرة.
من خلال الدفع أعلاه المقدم من طرف الطاعن، لا يمكن اعتبار الجرائم السيبيرانية( الجرائم المعلوماتية) التي تطال النظام المعلوماتي الخاص بالمؤسسات البنكية أو التطبيقات الخاصة بها قوة قاهرة، بل هي من الجرائم والمخاطر التي يمكن توقع حدوثها وبذلك لا يمكن إسقاط الفصل 269 من ق.ل.ع على النازلة.
القوة القاهرة حسب مفهوم الفصل 269 من قانون الالتزامات والعقود، “هي حدث غير متوقع ولا يمكن دفعه أو تفاديه”[18]، في حين أن الجرائم المعلوماتية والمخاطر التي تهدد الانظمة المعلوماتية هي أحداث متوقعة في عصرنا الرقمي، حيث يشهد هذا العصر تطور تكنولوجي هائل، وبالتالي فإن البنك ملزم قانوناً باتخاذ الاحتياطات الكافية للتصدي لهذا النوع من الجرائم، ولا يمكن للمؤسسات البنكية التذرع بالقوة القاهرة للإعفاء من المسؤولية، لأن هذه المؤسسات ملزمة بقوة القانون اعتماد نظم معلوماتية مؤمنة.
الدفع الذي تمسك به الطالب كون أن المطلوب للنقض تعرضت بطاقته البنكية للسرقة، لكن الثابت حسب المحكمة أن المطلوب بقيت بطاقته البنكية بحوزته بالإضافة الى كون المطلوب تقدم بمقال أمام المحكمة الابتدائية بمدينة مراكش أسست دعواه على القرصنة والاختراق والتي طالت بطاقته البنكية من نوع “ماستر كارد”، وبالتالي مقال الدعوى لم يتضمن تعرض البطاقة البنكية للسرقة أو الضياع، مما يكون معه الدفع الذي تقدم به الطاعن على القرار مبني على غير أساس.
الخبرة التي قام بها الخبير عز العرب (أ)، الطاعن في القرار يرى أن تقرير الخبير مجرد استنتاج، لكن السؤال هذه الخبرة هل شملت النظام المعلوماتي للمؤسسة البنكية ؟ وهل شملت هاتف الزبون من أجل التأكد هل قام بتثبيت تطبيق معين أو إثبات هل الهاتف تعرض لبرمجية خبيثة ؟ وهل يحتوى على دليل أو أثر رقمي ناتج عن عملية اختراق سابقة.
تكمن الأهمية الكبرى في قولنا بضرورة إجراء خبرة تقنية على الهاتف، احتمال أن هذا الأخير هو مصدر الاختراق أو وسيلة لتمرير برمجية خبيثة، أو أن الهاتف مستهدف عبر رسائل فيشينغ/ روابط خبيثة سبق للزبون الضغط عليها أو تطبيقات مجهولة المصدر وغير مؤمنة قام بتثبيتها على الهاتف.
لذلك يقوم الخبير باستخراج قانوني يسمى imaging)) وهو عملية من عمليات
التحاليل الرقمية، حيث يقوم الخبير بأخذ نسخة كاملة وقانونية من جهاز رقمي مثل هاتف أو حاسوب أو خادم، بطريقة تحافظ على جميع البيانات بما فيها المحذوفة، دون تعديل أي ملف أصلي، وفي غياب إجراء خبرة تقنية على هاتف الزبون، لا يمكن بالتالي إثبات أن الزبون قد يكون مسؤول عن تصرفاته بسبب إهمال أو سوء استخدام شخصي، أو إعطاء الرقم السري لشخص آخر، أو استخدام البطاقة في مواقع مشبوهة أو غير آمنة…، فهذه الأفعال وأخرى تُعد إهمالًا واضحًا، يتحمل الزبون المسؤولية معه، وتنتفي مسؤولية البنك فيها.
إن عدم فحص الهاتف على المستوى التقني يترك ثغرة قانونية قد تخدم لصالح المطلوب للنقض، حيث يمكن أن يتحمل الزبون المسؤولية إذا ما ثبت أن الهاتف كان مصدرا للاختراق بفعل هو من قام به، كمشاركة القن السري مع شخص معين، أو تطبيق أو إعلان ما…، أي هو تسهيل عملية اختراق البطاقة البنكية.
المؤسسة البنكية بدورها لم تبين على أنها اتخذت جميع الاحتياطات التقنية الكاملة، عن طريق تقديم طلب للمحكمة أساسه إجراء خبرة مضادة، هذه الخبرة والتي يجب أن تشمل النظام المعلوماتي، وتقديم تقرير الخبرة إلى المحكمة لتبني هذه الأخيرة نتائجها على ضوء نتائج هذا التقرير.
وفي قرار محكمة النقض، الطاعن تقدم بطلب خبرة مضادة أمام المحكمة، ورفضت هذه الأخيرة، وفي غياب الاطلاع على الحكم الابتدائي، فإنه من الصعب معرفة ما تضمنه طلب الخبرة وبالتالي فإن المحكمة رفضت طلب الخبرة المضادة.
خلصت محكمة النقض إلى أن المؤسسة البنكية تتحمل كامل المسؤولية فيما تعرض له المطلوب للنقض من جراء سحب مبالغ مالية ناهزت 47.460.21 درهما حيث أن المؤسسة البنكية ملزمة بتوفير نظام معلوماتي آمن مؤمن ضد الجرائم المعلوماتية جرائم الاختراق والقرصنة، واستبعاد تطبيق الفصلين 268 و 269 من قانون الالتزامات والعقود كون أن الجرائم المعلوماتية أو المخاطر التي تمس الأنظمة المعلوماتية من الأمور التي يمكن توقعها في ظل عصر يعرف تطور تكنولوجي هائل.
وقضت محكمة النقض برفض طلب النقض
يوسف بنشهيبة باحث في العلوم الجنائية والأمنية
[1] يُقصد بمصطلح الجرائم السيبيرانية الجرائم المرتكبة باستعمال النظم المعلوماتية وشبكات الاتصال والفضاء الرقمي، وهو مصطلح معرَّب عن الكلمة الأجنبية Cybercrime، المشتقة من لفظ Cyber ذي الأصل اليوناني Kybernētēs الذي يفيد معنى التوجيه والتحكُّم، ومنها تطوّر علم Cybernetics. ويُستعمل هذا المصطلح في الفقه للدلالة على الأفعال غير المشروعة التي تُرتكب عبر الوسائط الرقمية، رغم أن التشريعات الحديثة تميل إلى اعتماد تسميات أدق مثل الجرائم الإلكترونية أو الجرائم.
[2] .ظهير شريف رقم 1.20.69 صادر في 4 ذي الحجة 1441 (25 يوليو 2020) بتنفيذ القانون رقم 05.20 المتعلق بالأمن السيبيراني.
[3] نفس الإحالة.
[4] نفس الإحالة.
[5] نفس الإحالة.
[6] نفس الإحالة.
[7] نفس الإحالة.
[8] ظهير شريف رقم 1.09.15 صادر في 22من صفر 1430(18 فبراير 2009، بتنفيذ القانون رقم 09.08 المتعلق بحماية الاشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي.
[9] المادة 1 من القانون 09-08 المتعلق بحماية الاشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي.
[10] نفس الإحالة.
[11] نفس الإحالة.
[12] نفس الإحالة.
[13] ظهير شريف رقم 1.14.193 صادر في فاتح ربيع الأول 1436، (24 ديسمبر 2014 بتنفيذ القانون رقم 103.12 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها.
[14] المادة 34 من القانون رقم 12-103 المتعلق بمؤسسات الائتمان والهيئات المعتبرة في حكمها.
[15] نفس الإحالة.
[16] من أجل التوسع أكثر أنظر الباب السابع والمتعلق بالعقوبات، أنظر القانون رقم 09.08 المتعلق بحماية الاشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي).
[17] الفصول 268 296 من قانون الالتزامات والعقود.
[18] الفصل269 من قانون الالتزامات والعقود.