رسائل عملاء البنوك والتقنية المالية: التنبيهات وOTP والاحتيال

هذا الدليل موجّه إلى مسؤولي المنتجات والقنوات الرقمية والامتثال في البنوك وشركات المدفوعات وجهات الإقراض والتقنية المالية. يرسم لك الرسائل التي ينبغي أن يتلقاها العميل المالي، ونوع القناة والقالب المناسب لكل منها، ومتطلبات الأمان والجهات التنظيمية التي تحدد ما يجوز إرساله وأين.

ما الرسائل التي يحتاج البنك أو شركة التقنية المالية إلى إرسالها؟

تنقسم المراسلات المالية إلى خمس رحلات: تنبيهات العمليات، والمصادقة، وضوابط البطاقة، وتذكيرات السداد، وتحذيرات الاحتيال. وكلها رسائل تشغيلية، ولذلك ينبغي أن يصمّمها فريقا المنتج والمخاطر، لا أن تُعامل كحملات.

لا يهمّ عمود القوالب إلا حيث تسمح الجهة التنظيمية باستخدام WhatsApp. وتصنّف Meta القالب ضمن فئة تحديثات المعاملات (Utility) عندما يكون غير ترويجي ومرتبطًا بحساب العميل أو عمليته؛ راجع دليلنا عن فئات القوالب.

ماذا تتوقع الجهات التنظيمية من المراسلات المالية؟

تتوقع الجهات التنظيمية عمومًا إشعارًا في الوقت المناسب بنشاط الحساب، ومصادقة قوية للعميل، وحماية بيانات العملاء، وقنوات واضحة للشكاوى. وتختلف القواعد الدقيقة من بلد إلى آخر وتتغير كثيرًا، لذا اقرأ التعاميم الحالية ولا تعتمد على الملخصات.

أمثلة خليجية للمراجعة

• المملكة العربية السعودية. تشترط ضوابط التحقق الدنيا الصادرة عن ساما، وهي تنطبق على فئات التقنية المالية مثل المحافظ الإلكترونية والتمويل، إشعارات SMS عند التسجيل وإعادة تسجيل الجهاز وتغيير حالة الحساب والعمليات، وتطلب أن تذكر الرسائل غرضها واسم المؤسسة. وعلى البنوك أيضًا مراجعة تعاميم ساما المصرفية بشأن تنبيهات SMS وضوابط الخدمات المصرفية الإلكترونية في الدليل التنظيمي لساما.
• الإمارات العربية المتحدة. في أبريل 2026 نقلت وسائل إعلام إماراتية تعميمًا للمصرف المركزي يطلب من المؤسسات المالية المرخصة التوقف عن استخدام تطبيقات المراسلة الفورية، ومنها WhatsApp، في مشاركة بيانات العملاء أو تأكيد العمليات أو إرسال رموز المصادقة، مستندًا إلى مخاطر الاحتيال وموطنة البيانات. كما تصف ملخصات القطاع إشعارًا للمصرف المركزي في 2025 يتجه بعيدًا عن الاكتفاء برمز OTP عبر SMS أو البريد الإلكتروني عاملًا وحيدًا للمصادقة. تأكد من الأمرين عبر الدليل التنظيمي للمصرف المركزي وفريق الامتثال لديك.
• في دول أخرى. تضع جهات تنظيمية كثيرة قواعد للمصادقة القوية للعميل وواجب العناية بالمستهلك. اربط كل نوع من الرسائل بالقاعدة التي توجبه أو تقيّده.

قواعد المنصات

تحظر سياسة WhatsApp للمراسلات التجارية طلب مشاركة أرقام البطاقات أو الحسابات المالية كاملة، وتدرج تحصيل الديون وبعض منتجات الإقراض ضمن الاستخدامات المحظورة. أما SMS فيتطلب اسم مرسل مسجّلًا في أسواق كثيرة، منها الإمارات والسعودية؛ راجع تسجيل اسم المرسل.

كيف تُصمَّم تنبيهات العمليات وضوابط البطاقة؟

ينبغي أن تتيح التنبيهات للعميل أن يتعرّف على العملية أو يرفضها خلال ثوانٍ. ويعني ذلك بنية ثابتة ومعرّفات مقنّعة وإجراءً واحدًا واضحًا.

تنبيه العملية (SMS)

{{bank}}: عملية شراء بمبلغ {{amount}} درهم لدى {{merchant}} على البطاقة المنتهية بـ {{last4}}، {{date}} {{time}}. لست أنت؟ اتصل على {{official number}}. لا نطلب منك الرقم السري أو OTP أبدًا.

تأكيد ضبط البطاقة (داخل التطبيق أو SMS)

{{bank}}: تم تجميد بطاقتك المنتهية بـ {{last4}} في {{time}} من تطبيق {{bank}}. إن لم تكن أنت من قام بذلك، اتصل على {{official number}}.

قواعد التصميم:

1. ضع المبلغ والعملة والتاجر في المقدمة.
2. قنّع أرقام البطاقات والحسابات بحيث تظهر آخر أربعة أرقام فقط.
3. استخدم اسم المرسل نفسه في كل الرسائل الأمنية.
4. اذكر رقم هاتف مطبوعًا على البطاقة أو في التطبيق، لا رابطًا.
5. لا تدمج التنبيه بعرض ترويجي أبدًا؛ فذلك يضعف الثقة وقد يغيّر فئة القالب.
6. أرسل نسختين بالعربية والإنجليزية بحسب لغة العميل المفضلة.

كيف ينبغي أن تعمل رسائل OTP والمصادقة؟

استخدم أقوى وسيلة تتوقعها جهتك التنظيمية، وعامل OTP عبر SMS أو WhatsApp عاملًا واحدًا حيثما ما زال مسموحًا. يغطي دليل OTP لدينا التسليم والصلاحية وأنماط الاحتيال بتعمّق.

أهم قواعد OTP المالي:

• اربط الرمز بالإجراء: "رمز تحويل مبلغ 2,500 ريال إلى المستفيد المنتهي حسابه بـ 4410."
• اجعل مدة الصلاحية قصيرة وحُدّ عدد المحاولات.
• أضف عبارة "لا تشارك هذا الرمز، فموظفونا لن يطلبوه منك أبدًا".
• راقب ضخّ الحركة (traffic pumping): أحجام OTP غير المعتادة نحو نطاقات مميزة التكلفة أو دول غير متوقعة؛ راجع منع احتيال SMS pumping.
• وحيثما يُسمح بقوالب مصادقة WhatsApp، تدعم Meta صيغ نسخ الرمز والنقرة الواحدة وzero-tap.

كيف نتعامل مع تحذيرات الاحتيال وتذكيرات التحصيل؟

يجب أن يستحيل تقليد تحذيرات الاحتيال بإتقان؛ وأن تكون تذكيرات التحصيل منصفة ودقيقة وتُرسل عبر القنوات المسموحة فقط.

إجراءات تحذير الاحتيال

1. اكتشف العملية المشبوهة وعلّقها أو ارفضها وفق قواعدك.
2. أرسل رسالة SMS بتفاصيل العملية دون رابط.
3. اطلب من العميل التأكيد في التطبيق أو بالاتصال بالرقم الرسمي.
4. صعّد إلى اتصال صادر إذا لم يصل رد خلال المهلة التي تحددها.
5. سجّل كل رسالة ورد لاستخدامها في معالجة النزاعات.

تذكيرات التحصيل

أرسل تذكيرًا محايدًا بالاستحقاق قبل تاريخه مع المبلغ والتاريخ وخيارات السداد الرسمية. وفي الحسابات المتأخرة، التزم بقواعد حماية المستهلك المحلية في شأن تكرار التواصل وساعاته وصياغته، وتجنب WhatsApp نظرًا لسياسته بشأن تحصيل الديون. ولا تراسل أطرافًا ثالثة بشأن دين أحد العملاء.

مثال تطبيقي: محفظة إلكترونية في الرياض ترسم خريطة رسائلها

تراجع "نخلة باي"، وهي محفظة إلكترونية افتراضية مرخصة في السعودية، رسائلها قبل الإطلاق.

يحصر الفريق كل حدث تربطه ضوابط ساما بإشعار SMS: التسجيل، وإعادة تسجيل الجهاز، وتغييرات حالة الحساب، والعمليات. ويُعدّ لكل حدث قالب SMS بالعربية والإنجليزية يذكر اسم نخلة باي ويوضح الغرض. وتتم الموافقة على المدفوعات داخل التطبيق؛ ولا يُستخدم OTP عبر SMS إلا حيث يعتمده فريق المخاطر عاملًا.

وتُرسل تنبيهات الاحتيال عبر SMS دون روابط، مع طلب التأكيد من العملاء داخل التطبيق. وتُرسل نصائح التوعية بالاحتيال عبر البريد الإلكتروني وداخل التطبيق، ولا تُخلط بالعروض الترويجية أبدًا. وتجري محادثات الدعم في صندوق وارد خاضع للمراقبة، ويُدرَّب الموظفون على ألا يطلبوا أرقام البطاقات أو الرموز إطلاقًا. ويعتمد الامتثال كل قالب قبل نشره، ويراجعه كلما صدر تعميم جديد.

أخطاء شائعة وحدود صريحة

• افتراض أن WhatsApp مسموح لمجرد شيوعه. قد تقيّده الجهات التنظيمية المالية؛ تحقق أولًا.
• الروابط في الرسائل الأمنية. تعوّد العملاء على النقر على روابط يقلدها المحتالون.
• خلط العروض الترويجية بالتنبيهات. يُضعف الثقة وقد ينقل القالب إلى الفئة التسويقية.
• الاعتماد على OTP عبر SMS وحده في الإجراءات عالية المخاطر. تتوقع جهات تنظيمية كثيرة الآن مصادقة أقوى.
• عدم اتساق أسماء المرسلين. لا يستطيع العملاء التمييز بين الرسائل الحقيقية والمزيفة.
• غياب مراقبة التسليم. فشل التنبيهات يعني أن العملاء قد يفوتهم اكتشاف الاحتيال؛ استخدم تقارير التسليم لرصد المشكلات.
• اعتبار الرسائل كافية للامتثال. الرسائل تدعم مراقبة الاحتيال وعمليات النزاعات ولا تحل محلها.

قائمة التحقق قبل إطلاق المراسلات المالية

1. احصر كل حدث يستوجب رسالة للعميل أو يبررها.
2. اربط كل حدث بقناة تقبلها جهتك التنظيمية.
3. اكتب قوالب مقنّعة البيانات وخالية من الروابط بالعربية والإنجليزية.
4. سجّل أسماء المرسل وأسماء القوالب.
5. حدّد صلاحية OTP وعدد المحاولات ومراقبة الاحتيال.
6. ضع قواعد التحصيل في شأن التكرار والساعات والقنوات.
7. احصل على اعتماد الامتثال وحدّد مراجعة بعد كل تعميم جديد.

كيف تساعدك OmniChannels.ai

تعمل OmniChannels.ai بدعم من BroadNet Technologies، وهي شركة اتصالات متخصصة في المراسلة لديها ربط مباشر بمشغّلي SMS، وتحمل شهادة ISO/IEC 27001:2022 وتقرير SOC 2 Type II. وتوفر SMS للتنبيهات وOTP، وقوالب مصادقة WhatsApp (بالنقرة الواحدة وzero-tap ونسخ الرمز) حيثما تسمح بها جهتك التنظيمية، وOTP الصوتي، وقوالب بالعربية والإنجليزية. وتُظهر تقارير التسليم المزوّدة بالمرشّحات والتصدير بصيغة CSV الرسائل الفاشلة، وتتصل الأنظمة المصرفية الأساسية وأنظمة مكافحة الاحتيال عبر REST API وwebhooks الموثّقة للعموم. اطلع على المزيد حول OTP والإشعارات وSMS، أو تواصل مع فريقنا.