ثغرات وأموال مجمدة: قصة “شام كاش” بين الاختراق والمخاطر الرقمية
بقلم هلا يوسف
أثار تطبيق “شام كاش” منذ بدء استخدامه في سوريا تساؤلات كثيرة، لربما لم تخطر في بال المواطنين العاديين، إلا أن خبراء الأمن السيبراني والمختصين بهذا المجال طرحوها، وقدموها كمادة للنقاش. وعلى الرغم من سعي الحكومة السورية لرقمنة المعاملات المالية وتسهيلها على المواطنين عبر هذا التطبيق، إلا أن المشكلات التي واجهتهم عند استخدامه حولته من تطبيق لتسهيل سحب الأموال، إلى تطبيق معقد نوعاً ما بالنسبة لهم.
كل ما ذكر سابقاً مر مرور الكرام، إلا أن الضجة الإعلامية التي قام بها أحد السوريين في ألمانيا عند ادعاءه أنه قام باختراق تطبيق شام كاش، أعطى شعوراً لدى السوريين أن ما تقوم به الحكومة من محاولات للتقدم لم يثمر. لذلك في هذا المقال سننقل لكم القصة الكاملة، مع رد المدير الإداري لشام كاش على ادعاء الاختراق، كما سنتطرق إلى أبرز المشكلات التي يعاني منها العملاء في التطبيق، وأبرز المخاطر التي تحيط بالتطبيق بحسب الخبراء في هذا المجال. كما سنجيب عن سؤال مهم: لماذا لا يمكن رفع تطبيق “شام كاش” على المتاجر الرسمية؟ وكيف يمكن حل الموضوع؟
بين ادعاءات الاختراق ورد إدارة “شام كاش”
بدأت القصة عندما قام أحد أصدقاء المبرمج السوري أنس عيون السود بإيداع مبلغ مالي في تطبيق “شام كاش” بعد عودته إلى سوريا قادماً من مصر، ليصطدم لاحقاً بتجميد حسابه دون معرفة السبب. حاول حل المشكلة بمراجعة مقر الشركة في إدلب، حيث تم إبلاغه بضرورة الانتظار لفترة لمراجعة الحالة، ما دفع أنس للتدخل مع مجموعة من أصدقائه بطريقته الخاصة وبدعم قانونيين.
يشير أنس إلى أنه كان قد حذر سابقاً من وجود ثغرات أمنية في التطبيق، لكنه رأى أن ذلك أمر طبيعي في ظل الظروف التي تمر بها سوريا بعد سنوات الحرب، مؤكداً أن مثل هذه المشكلات يمكن أن تحدث حتى في الدول المتقدمة، إلا أن عدم رد إدارة التطبيق دفعه إلى إعداد تقرير تقني يتضمن الثغرات التي اكتشفها، مع شكاوى المستخدمين، وأرسله إلى جهات معنية في ألمانيا، ما أدى بحسبه إلى إيقاف التطبيق مؤقتاً. وأوضح أن جميع إجراءات عمله كانت قانونية بالكامل، وأن هدفه حماية المستخدمين السوريين، بعد تعرضهم لفقدان الملايين من أموالهم خلال العام الماضي بسبب المحافظ غير الآمنة. كما كشف عن تعرضه لتهديدات نتيجة الإجراء الذي اتخذه.
في المقابل، انتشرت على منصات التواصل الاجتماعي شكاوى متعددة من مستخدمي التطبيق حول تجميد الحسابات أو صعوبة سحب الأموال، مع تأخر واضح في الرد من الدعم الفني، إذ كانت الردود غالباً آلية مثل عبارة “طلبكم قيد المراجعة”. وأثار غموض السياسات القانونية والتنظيمية للتطبيق تساؤلات لدى المستخدمين حول الجهات المصرفية التي يتبع لها التطبيق ومعايير حماية الأموال، خاصة مع الاتهامات بوجود ثغرات أمنية.
رد إدارة التطبيق والتدابير الأمنية
بعد انتشار خبر اختراق التطبيق كالنار في الهشيم على مواقع التواصل الاجتماعي، ومحاولات المواطنين الدخول لحساباتهم، صرح المدير الإداري لتطبيق “شام كاش” أحمد الكيلاني أن التطبيق مؤسسة حكومية تقدم خدمات مجانية للقطاع العام، ولديها قسم قانوني يتابع الحسابات ويجمدها عند ورود شكاوى احتيال أو شبهات قانونية، إضافة إلى حماية الحسابات من الأموال المشبوهة. وأكد أن معظم التجميدات مرتبطة بمبالغ صغيرة وحالات سرقة محدودة نتيجة مشاركة بعض المستخدمين لمعلومات حساسة مع أطراف غير موثوق بها، أو استخدام حساباتهم الشخصية لأغراض غير مسموح بها مثل الصرافة أو تجارة العملات. كما طلب من المستخدمين الذين جمدت حساباتهم مراجعة أحد مراكز “شام كاش” المعتمدة في دمشق أو حلب أو اللاذقية أو إدلب أو سرمدا بريف إدلب.
كما أكد الكيلاني أن الإدارة تعمل على رفع مستوى الوعي لدى المستخدمين حول الأمان الرقمي، وتقدم الدعم الفني على مدار الساعة، مع نشر تحذيرات وفيديوهات تعليمية لتجنب الاحتيال. ونفى وجود أي اختراق للتطبيق أو فقدان للأموال، موضحاً أن توقفه مؤقتاً كان بسبب تبليغات متكررة منظمة على الدومين من قبل بعض الأشخاص، وأن جميع الخوادم وقواعد البيانات تعمل بشكل طبيعي تحت إشراف فريق تقني متخصص، مؤكداً أن الأموال محفوظة لدى المصرف المركزي وأن التطبيق آمن.
في حين أوضح التقني محمد اليوسف وهو أحد العاملين في فريق التطبيق، أن العمل مستمر على تطوير خصائص الأمان وتحسين تجربة الاستخدام، مع إدخال ميزات مثل قفل التطبيق بالبصمة أو الرقم السري، وإخفاء الرصيد، وتطبيق واجهات استخدام متعددة، ودعم لغات مختلفة لتسهيل الوصول للمستخدمين غير الناطقين بالعربية. كما حذر فريق الدعم من مجموعات وهمية على وسائل التواصل الاجتماعي تنتحل صفة التطبيق لابتزاز المستخدمين، مؤكداً أن أي جهة تطلب معلومات شخصية خارج القنوات الرسمية هي احتيالية ويجب الإبلاغ عنها فوراً.
الرقمنة شبه الإلزامية للرواتب والمخاطر المرتبطة بتطبيق “شام كاش”
بدأ استخدام تطبيق “شام كاش” في سوريا في مايو 2025، وذلك عندما أصدرت وزارة المالية قراراً يلزم محاسبي الجهات العامة بتحويل رواتب الموظفين إلى حسابات مرتبطة بتطبيق “شام كاش”، ما جعل آلاف الموظفين يعتمدون على التطبيق لاستلام رواتبهم سواء عبر شركتي الحوالات المتعاقدة مثل “الهرم” و”الفؤاد” أو من خلال الأرصدة الإلكترونية للدفع المباشر. وعند مراجعة الموقع الرسمي للتطبيق، يظهر أن الجهة الضامنة له هي “بنك شام”، وهو مكتب صرافة كان نشاطه يتركز في مناطق إدلب التابعة لإدارة “حكومة الإنقاذ”، ومسجل في تركيا دون أي اعتراف دولي أو رقابة تنظيمية. وبالتالي لم يكن مرتبطاً بالمصرف المركزي السوري في فترة حكم النظام السابق.
كما تشير بعض المصادر إلى أن خلفية تطوير تطبيق “شام كاش” لا تزال غامضة، حيث يُرجح أن شركة البرمجيات “نورث سوفت” هي المطور المحتمل، بينما تشير مصادر أخرى إلى وجود صلات محتملة مع شركة الاتصالات التركية الكبرى “تركسل”. وبالتالي فإن غياب أي شركة أم رسمية أو جهة قانونية مسؤولة يجعل المستخدمين عرضة لمخاطر تتعلق بالخصوصية والمسؤولية القانونية، دون وجود ضمانات واضحة لحماية بياناتهم أو أموالهم.
يرى خبراء أن هذا الهيكل المالي يجعل التطبيق يعمل خارج الإطار التقليدي للنظام المالي السوري والدولي، ويثير قلقهم بشأن الرقابة والتنظيم. كما يشيرون إلى أن التطبيق غير مدرج في متاجر التطبيقات الرسمية مثل Android أو iOS، وهو ما يعني أنه لم يخضع للتدقيق الأمني المعتاد، كما صنفته منظمة SMEX كمنصة عالية المخاطر بسبب ضعف تشفير البيانات وغموض ملكيته وغياب سياسة خصوصية واضحة أو جهة تطوير معروفة.
كما أثار الهيكل المالي للتطبيق أيضاً مخاوف اقتصادية، حيث يتم سحب الرواتب عبر شركتي التحويل اللتين كانتا ترتبطان بعلاقات طويلة مع النظام السوري السابق وهي “الهرم” و”الفؤاد”، وتقدر الإيرادات السنوية للعمولات بنحو 3 ملايين دولار، ما يخلق شبه احتكار وتركز القوة المالية في شبكات غير منظمة على حساب البنوك التقليدية.
الأمر الأكثر إثارة للتساؤلات يتعلق بالبنية التحتية التي يعتمد عليها تطبيق “شام كاش” حالياً. فقد أشار باحثون إلى أن التطبيق استحوذ على منصة “سوا”، التي كانت متخصصة سابقاً بالتحويلات المالية الخارجية، بما في ذلك أصولها وأنظمتها التشغيلية. هذا الاستحواذ أثار مخاوف العديد من الشركات المالية الأخرى، مما دفع بعضها إلى سرعة عقد شراكات مع “شام كاش” تحسباً لأن تكون هدفاً لاحقاً. وإذا تأكدت هذه المعلومات، فإن الخطوة لا تقتصر على تحديث تقني فحسب، بل تمثل استيلاءً فعلياً على النفوذ الرقمي.
ثغرات الأمان والخصوصية والتحديات التقنية
من الناحية التقنية، يستخدم التطبيق تشفير AES مع مفتاح يُرسل إلى الخادم الذي يحتفظ بالمفتاح الخاص، مما يعني نظرياً أن بيانات المستخدمين يمكن فك تشفيرها داخلياً. كما يطلب التطبيق أذونات واسعة على الهاتف، تشمل الوصول إلى الكاميرا لمسح رموز QR، وإشعارات فورية، واستخدام بصمة الإصبع، وقد يسمح ذلك في حال وجود ثغرات للتطبيقات الخبيثة بالتدخل في البيانات أو تنفيذ عمليات غير مقصودة.
كما أن التطبيق يجمع بيانات حساسة مثل الأسماء وأرقام الهوية وبيانات الاتصال والعمل، وفي بعض الحالات بيانات بيومترية، دون توضيح كيفية تخزينها أو مشاركتها أو الجهات التي يمكنها الوصول إليها، مع بند في شروط الاستخدام يتيح تعديل الاتفاقية دون إخبار المستخدمين، مما يزيد المخاطر القانونية والخصوصية.
ويشير الخبراء إلى أن طبيعة التطبيق شبه الإلزامية تجعل ملايين الموظفين يعتمدون عليه، ما قد يستبعد الفئات التي تفتقر لهواتف ذكية أو معرفة تقنية، مثل كبار السن أو سكان المناطق الريفية، إضافة إلى ضعف البنية التحتية الرقمية والأمن السيبراني في سوريا. وأظهر التحليل الجنائي لمنظمة SMEX أن التطبيق يحصل على صلاحيات واسعة لا يتم توضيحها للمستخدمين، وقد تسمح بمراقبة أو التلاعب بسلوك المستخدمين. وحصل التطبيق على 17 نقطة من أصل 22 في تقييم المخاطر التقنية والخصوصية، ما يضعه ضمن أعلى مستويات المخاطر، ويؤكد الخبراء ضرورة تحسين البروتوكولات الأمنية، وتعزيز الشفافية، وتحديد جهة قانونية مسؤولة قبل اعتماده كمنصة رسمية لصرف الرواتب.
اقرأ أيضاً: حين يبدأ العالم بالابتعاد عن الدولار: ما الذي ينتظر الاقتصادات الهشة مثل سوريا؟
لماذا لا يظهر تطبيق “شام كاش” على المتاجر الرسمية؟
يرى المهندس ومطور التطبيقات بكري علوش أن غياب تطبيق “شام كاش” عن المتاجر الرسمية مثل غوغل بلاي وآب ستور لا يعود بالضرورة لمشاكل تقنية، بل يرتبط بشكل رئيسي بالعقوبات المفروضة على سوريا وصعوبة العمل من داخلها في مجال تطوير التطبيقات. وأوضح في منشور على فيسبوك أن رفع أي تطبيق من حساب مطور مسجل داخل سوريا شبه مستحيل بسبب القيود والعقوبات المستمرة، الأمر الذي يدركه معظم المستخدمين الذين يضطرون أحياناً إلى استخدام خدمات VPN للوصول إلى المتاجر وتحميل التطبيقات.
ويشير علوش إلى أن إنشاء حساب مطور رسمي في المتاجر يتطلب خطوات معقدة تشمل توثيق الحساب، تقديم بيانات قانونية ومالية، ثم المرور بمرحلة رفع التطبيق التي تشمل اختبار التطبيق على عدة مستخدمين لمدة أسبوعين على الأقل. هذه الإجراءات تنطبق حتى على التطبيقات البسيطة، لكنها تصبح أكثر صرامة حين يتعلق الأمر بالتطبيقات المالية مثل “شام كاش”، التي تقدم خدمات سحب وإيداع ودفع إلكتروني، إذ تتطلب وثائق قانونية واضحة وإثبات التزامات مالية والتقيد بالمعايير الدولية.
ويضيف علوش أن تحقيق هذه الشروط من داخل سوريا يكاد يكون مستحيلاً، لذلك يلجأ بعض المطورين إلى الاعتماد على أشخاص خارج البلاد لنشر التطبيق عبر حساباتهم، لكن هذا الحل يظل محفوفاً بالمخاطر، إذ يمكن حذف التطبيق أو إيقافه في أي وقت. وفي حالة “شام كاش”، فإن محاولة نشره عبر حساب فردي أو شركة مسجلة في الخارج قد لا تنجح بسبب العقوبات، كما أن أي خطوة مخالفة قد تؤدي إلى تعليق التطبيق أو حظره.
بناءً على ذلك، يرى علوش أن الحل العملي هو إنشاء موقع إلكتروني مستقل لتوفير التطبيق والتحديثات، مع التركيز محلياً على تحسين الأمان وسد الثغرات التقنية قدر الإمكان، بدلاً من الاعتماد على المتاجر الرسمية التي يصعب التعامل معها. لكنه يشير إلى أن الموقع الذي أُنشئ لهذا الغرض تعرض للشكوى المقدمة من المهندس أنس، مما أدى إلى إيقافه بحجة مخالفة قوانين العقوبات الدولية، وهو ما أثر سلباً على ثقة المستخدمين بالتطبيق المحلي.
ويختم علوش بالإشارة إلى أن البديل الآخر في حال استمرار هذه الضغوط سيكون إيقاف خدمات التطبيق بالكامل، وهو خيار غير مرغوب فيه بسبب اعتماد عدد كبير من المستخدمين عليه في معاملاتهم المالية اليومية.
كيف يمكن معالجة الوضع؟
يشير عدد من الخبراء والمراقبين إلى أن الخطوة الأولى الواجب اتخاذها هي إعادة النظر في العمل الإلزامي بتطبيق “شام كاش” لنظام الرواتب، على الأقل بشكل مؤقت. ويقترح هؤلاء استبداله بنهج تدريجي يتيح تجربة أنظمة مالية موثوقة على نطاق محدود قبل تعميمها على جميع الموظفين، مع تقييم دقيق لأدائها ومستوى أمانها قبل تحويلها إلى نظام شامل لإدارة الرواتب.
كما يشدد الخبراء على أهمية إدماج البنوك العامة والخاصة في أي منظومة دفع إلكتروني مستقبلية، بدلاً من الاعتماد على تطبيق واحد أو عدد محدود من شركات تحويل الأموال. ويعتبرون أن هذا الدمج يعزز المنافسة ويقلل المخاطر المالية والتقنية.
ويرى المختصون أن توسيع الوصول إلى الرواتب والخدمات المالية يجب أن يشمل المناطق الريفية والمحرومة، حيث يواجه السكان ضعف البنية التحتية الرقمية أو نقص الإنترنت أو الهواتف الذكية. وأي نظام مالي رقمي يجب أن يأخذ هذه الفجوات بعين الاعتبار لتجنب تعميق التفاوت الاقتصادي والاجتماعي.
كما يشدد الخبراء على ضرورة وضع لوائح واضحة وقابلة للتطبيق تتعلق بأمن البيانات وإدارة المنصات الرقمية والشفافية المالية. فالمستخدمون لديهم الحق في معرفة الجهة المسؤولة عن بياناتهم المالية، مكان تخزينها، كيفية حمايتها، والضمانات القانونية المتاحة في حال تعرضهم للاحتيال أو تسريب المعلومات.
ويحذر البعض من أن عدم تنفيذ هذه الإصلاحات قد يجعل تجربة الدفع الرقمي الحالية سلبية. وفي الجوهر، لا تتعلق المسألة بمجرد صرف الرواتب أو استخدام تطبيقات الهواتف، بل بمستقبل حوكمة الأنظمة المالية في دولة هشة مثل سوريا، وبمدى استخدام التكنولوجيا كوسيلة لتحسين حياة الناس وتعزيز الشفافية، أو كأداة للسيطرة على الموارد والبيانات الخاصة بالمواطنين.
في النهاية، يظهر تطبيق “شام كاش” حجم التحديات التي تواجه التحول الرقمي في سوريا التي تعد من الاقتصادات الهشة. حيث يحتاج إلى بيئة قانونية وحوكمة فعالة وشفافية كاملة لكسب ثقة المستخدمين. وفي غياب هذه المعايير، فإن أي خطوة نحو التحول الرقمي قد تتحول من أداة لتسهيل حياة الناس إلى مصدر للقلق وعدم اليقين. لذلك أصبح من الضروري تحقيق التوازن بين الخطوات المتخذة نحو الرقمنة، وحماية حقوق المواطنين.
اقرأ أيضاً: ماذا يعني أن تتحول سوريا إلى مركز مالي في الشرق الأوسط؟
