حساب‌های اجاره‌ای؛ بانک‌ها بعد از احراز هویت چقدر مسئول‌اند؟

تسنیم: حساب‌های اجاره‌ای، نئوبانک‌ها را با یک سؤال جدی روبه‌رو کرده‌اند؛بعد از احراز هویت،چه کسی واقعاً پشت حساب است؟

ماجرا با یک پیام آشنا شروع می‌شود؛ پیامی که ممکن است برای هر کاربری عادی به نظر برسد: «بیا عکس یادگاری که با هم داریم رو ببینیم.» یک کلیک کافی است تا کاربر وارد صفحه‌ای شود که پشت آن، سناریوی کلاهبرداری طراحی شده است. کمی بعد، قربانی متوجه می‌شود موجودی حسابش برداشت شده و پول به حساب دیگری انتقال یافته است.

در ادامه پیگیری‌ها، نام یک حساب بانکی دیگر در میان می‌آید؛ حسابی که به نام یک فرد واقعی است اما بنا بر بررسی‌های انجام‌شده، در اختیار شخص دیگری قرار گرفته است. این همان چیزی است که در ادبیات بانکی و انتظامی از آن با عنوان «حساب اجاره‌ای» یاد می‌شود؛ حسابی که مالک قانونی آن با استفاده‌کننده واقعی یک نفر نیست.

حساب اجاره‌ای البته پدیده تازه‌ای نیست و محدود به بانکداری دیجیتال هم نمی‌شود. پلیس فتا طی سال‌های گذشته بارها درباره واگذاری حساب، کارت و دسترسی بانکی به دیگران هشدار داده و اعلام کرده است که این حساب‌ها می‌توانند برای انتقال وجوه حاصل از جرائم مورد استفاده قرار گیرند.

اما گسترش بانکداری دیجیتال، یک سؤال تازه را پررنگ‌تر کرده است، وقتی افتتاح حساب بدون مراجعه به شعبه انجام می‌شود و بخش بزرگی از خدمات بانکی به‌صورت آنلاین ارائه می‌شود، بانک‌ها چگونه باید حساب‌هایی را که بعد از افتتاح در اختیار افراد دیگری قرار می‌گیرند، شناسایی کنند؟

حساب اجاره‌ای از کجا شکل می‌گیرد؟

نقطه شروع ماجرا را نباید با فرآیند افتتاح حساب اشتباه گرفت. مقررات بانک مرکزی، ارائه غیرحضوری خدمات پایه بانکی را به رسمیت شناخته و برای آن الزامات مشخصی در زمینه احراز هویت الکترونیکی و شناسایی مشتری تعیین کرده است. حتی در ضوابط مربوط به خدمات غیرحضوری، بانک‌ها موظف شده‌اند پیش از ارائه این خدمات، فرآیند شناسایی مشتری و احراز هویت الکترونیکی او را انجام دهند. 

بنابراین مسئله حساب اجاره‌ای لزوماً این نیست که بانک در لحظه افتتاح حساب نمی‌داند مشتری چه کسی است. در بسیاری از این موارد، بانک دقیقاً می‌داند حساب به نام چه فردی است و اطلاعات هویتی او نیز در سامانه‌های بانکی ثبت شده است.

مشکل زمانی شکل می‌گیرد که همان فرد بعد از افتتاح حساب، کارت، تلفن همراه، اینترنت‌بانک یا ابزار دسترسی به حساب خود را در اختیار شخص دیگری قرار می‌دهد. از این لحظه، «صاحب حساب» و «استفاده‌کننده حساب» می‌توانند دو نفر متفاوت باشند. همین تفاوت، نقطه‌ای است که شناسایی هویت اولیه به‌تنهایی پاسخگوی آن نیست.

در نظام بانکی، شناسایی مشتری فقط به لحظه افتتاح حساب محدود نمی‌شود. بانک‌ها مکلف به رعایت الزامات مبارزه با پولشویی و پایش عملیات مشکوک هستند و مقررات نیز برای شناسایی و گزارش معاملات مشکوک سازوکارهایی پیش‌بینی کرده است. حتی در آیین‌نامه اجرایی قانون مبارزه با پولشویی، استقرار فرآیندهای نظارت خودکار برای شناسایی عملیات مشکوک و استفاده از ابزارهای کشف تقلب مبتنی بر داده‌کاوی و الگوی رفتار مالی پیش‌بینی شده است. 

بنابراین پرسش مهم بعد از افتتاح حساب این نیست که «این حساب متعلق به چه کسی است؟» این موضوع باید از قبل مشخص شده باشد. پرسش مهم‌تر این است که «این حساب چگونه مورد استفاده قرار می‌گیرد؟»

اگر حسابی که ماه‌ها گردش معمولی داشته، ناگهان در مدت کوتاهی از چندین حساب مختلف پول دریافت کند و بلافاصله همان مبالغ را به حساب‌های دیگری منتقل کند، این تغییر رفتار می‌تواند برای سیستم بانکی یک علامت هشدار باشد. چنین رفتاری به خودی خود به معنای وقوع جرم نیست، اما می‌تواند مبنای افزایش سطح کنترل و بررسی بیشتر قرار گیرد.

بانکداری دیجیتال قرار نیست به دلیل آنلاین بودن، فرآیندهای شناسایی مشتری را کنار بگذارد. اتفاقاً مقررات بانک مرکزی برای خدمات غیرحضوری، چارچوب مشخصی برای احراز هویت الکترونیکی تعیین کرده است. از طرف دیگر، مزیت فناوری در همین حوزه می‌تواند به کمک بانک‌ها بیاید.

نئوبانک‌ها و بانک‌هایی که خدمات دیجیتال ارائه می‌کنند، در مقایسه با یک رابطه سنتی و شعبه‌محور، داده‌های متنوعی از رفتار کاربر در اختیار دارند؛ از الگوی ورود به حساب و ابزار مورد استفاده گرفته تا تعداد و تکرار تراکنش‌ها، حساب‌های مقصد و تغییرات ناگهانی در رفتار مالی.

یکی از اشتباهات در برخورد با حساب‌های اجاره‌ای این است که تصور شود یک تراکنش مشکوک به‌تنهایی می‌تواند تکلیف یک حساب را روشن کند. در عمل، آنچه می‌تواند یک حساب را پرریسک کند، مجموعه‌ای از رفتارهاست.

برای نمونه، حسابی که به تازگی افتتاح شده و در مدت کوتاهی تعداد زیادی ورودی از افراد ناشناس دارد، سپس وجوه را با فاصله زمانی کوتاه به حساب‌های متعدد منتقل می‌کند، می‌تواند الگوی متفاوتی نسبت به یک حساب شخصی معمولی داشته باشد.

اگر همین حساب با چند حساب دیگر ارتباط مالی مشابه داشته باشد، تصویر روشن‌تری از یک شبکه احتمالی ایجاد می‌شود.

اینجاست که پایش تراکنش‌ها باید از بررسی مبلغ یک تراکنش فراتر برود و ارتباط میان حساب‌ها، سرعت جابه‌جایی پول، تعداد طرف‌های معامله و تغییر رفتار مشتری را هم ببیند.

این مدل نظارت در واقع همان چیزی است که می‌تواند فاصله میان «حساب متعلق به یک فرد» و «حسابی که در اختیار یک شبکه قرار گرفته» را برای بانک آشکار کند.

اما مسئولیت شناسایی حساب‌های اجاره‌ای فقط بر عهده بانک یا نئوبانک نیست. بانک مرکزی به‌عنوان نهاد ناظر شبکه بانکی، هم در تعیین چارچوب ارائه خدمات غیرحضوری نقش دارد و هم مقررات مربوط به شفافیت تراکنش‌ها و مبارزه با پولشویی را به شبکه بانکی ابلاغ می‌کند.

در مقررات موجود، برای مؤسسات اعتباری وظایفی در زمینه نظارت بر تراکنش‌های بانکی تعیین شده است. برای نمونه، بانک مرکزی در بخشنامه مربوط به انضباط تراکنشی بر ضرورت تطبیق تراکنش‌ها با اطلاعات و مستندات مربوط به مبادلات تأکید کرده و واحدهای مبارزه با پولشویی و بازرسی بانک‌ها را نیز مکلف به پیگیری اجرای این الزامات کرده است. 

از این منظر، نقش بانک مرکزی نباید فقط به این محدود شود که بگوید بانک‌ها چگونه حساب افتتاح کنند. بخش مهم‌تر نظارت، این است که مشخص شود بانک‌ها بعد از افتتاح حساب تا چه اندازه در شناسایی رفتارهای پرریسک موفق هستند.

به بیان دیگر، سؤال نظارتی این نیست که چند حساب با احراز هویت صحیح افتتاح شده است؛ سؤال این است که چند حساب پرریسک پیش از آنکه به ابزار کلاهبرداری یا انتقال وجوه مجرمانه تبدیل شوند، شناسایی شده‌اند.

بستن مسیر حساب‌های اجاره‌ای با یک اقدام منفرد ممکن نیست. سخت‌تر کردن احراز هویت به‌تنهایی مسئله را حل نمی‌کند، چون ممکن است فردی با هویت واقعی و مدارک معتبر حساب خود را افتتاح کند و بعد آن را در اختیار دیگری بگذارد.

راهکار مؤثرتر، اتصال سه مرحله به یکدیگر است: احراز هویت دقیق در زمان افتتاح حساب، پایش مستمر رفتار مالی پس از افتتاح و واکنش سریع به الگوهای پرریسک.

همزمان، تبادل سریع اطلاعات میان بانک‌ها، بانک مرکزی، مرکز اطلاعات مالی و مراجع انتظامی و قضایی اهمیت زیادی دارد. چون پول حاصل از یک کلاهبرداری ممکن است در چند دقیقه از یک حساب به حساب دیگری منتقل شود و بعد از آن، ردیابی آن دشوارتر شود. در چنین شرایطی، سرعت واکنش به اندازه دقت شناسایی اهمیت دارد.

یکی دیگر از مسائل مهم در پرونده‌های حساب اجاره‌ای این است که نباید صاحب حساب و عامل اصلی جرم را لزوماً یک نفر فرض کرد.

ممکن است فردی حساب خود را در اختیار دیگری گذاشته باشد و از استفاده مجرمانه آن آگاه نباشد؛ ممکن است فرد دیگری کنترل حساب را در دست گرفته باشد و در نهایت شخص یا شبکه دیگری پشت انتقال پول قرار داشته باشد.

پلیس فتا نیز در هشدارهای خود درباره حساب‌های اجاره‌ای بر مسئولیت و تبعات قانونی واگذاری حساب و کارت تأکید کرده است.

در پرونده‌ای مانند کلاهبرداری اینترنتی، فاصله میان برداشت پول از حساب قربانی و انتقال آن به چند حساب دیگر ممکن است بسیار کوتاه باشد. به همین دلیل، حتی اگر بانک بعد از وقوع تراکنش بتواند حساب مقصد را شناسایی کند، ممکن است بخش قابل توجهی از پول قبلاً از آن حساب خارج شده باشد.

پس یکی از معیارهای مهم در ارزیابی عملکرد شبکه بانکی باید زمان واکنش باشد.

بانک‌ها باید بتوانند در صورت مشاهده الگوهای پرریسک، هشدار را در کوتاه‌ترین زمان ایجاد کنند و در صورت وجود مبنای قانونی، اقدامات کنترلی لازم را انجام دهند. از سوی دیگر، در زمان اعلام وقوع کلاهبرداری نیز ارتباط میان بانک، پلیس و مرجع قضایی باید به اندازه‌ای سریع باشد که امکان ردیابی و توقف وجه از بین نرود.

این موضوع برای نئوبانک‌ها اهمیت بیشتری پیدا می‌کند، چون بخش بزرگی از فعالیت آنها بر بستر دیجیتال انجام می‌شود و انتظار می‌رود فرآیندهای تشخیص تقلب و واکنش به آن نیز متناسب با همین سرعت طراحی شده باشد.

آیا سامانه‌های آنها فقط پس از شکایت مشتری فعال می‌شود یا پیش از آن نیز حساب‌های پرریسک را شناسایی می‌کنند؟ چه تعداد حساب به دلیل تغییر غیرعادی رفتار مالی وارد بررسی می‌شود؟ چند مورد از این هشدارها به کشف تخلف منجر می‌شود؟ در پرونده‌هایی که پول حاصل از کلاهبرداری وارد یک حساب شده، چه مقدار از وجه پیش از انتقال بعدی قابل توقف بوده است؟

این پرسش‌ها درباره یک بانک خاص مطرح نیست. همه بانک‌ها و نئوبانک‌هایی که خدمات پرداخت و حسابداری دیجیتال ارائه می‌کنند، با این مسئله مواجه‌اند و پاسخ آنها می‌تواند تصویر دقیق‌تری از میزان آمادگی شبکه بانکی در برابر کلاهبرداری‌های جدید ارائه دهد.

در واقع، ارزیابی امنیت بانکداری دیجیتال را نمی‌توان فقط با کیفیت احراز هویت مشتری سنجید. احراز هویت نقطه شروع است؛ آنچه امنیت واقعی را مشخص می‌کند، توان بانک در شناخت رفتار حساب و واکنش سریع به رفتارهای غیرعادی است.

حساب اجاره‌ای نیز دقیقاً در همین فاصله شکل می‌گیرد؛ جایی که حساب به نام یک نفر است، اما کنترل و استفاده از آن در اختیار فرد یا شبکه دیگری قرار گرفته است.

اگر قرار باشد مسیر این حساب‌ها بسته شود، راه‌حل نه بازگرداندن مشتری به شعبه است و نه سخت‌تر کردن بی‌دلیل افتتاح حساب. راه‌حل، نظارت هوشمند و مستمر بر رفتار مالی، تحلیل ارتباط میان حساب‌ها، تبادل سریع اطلاعات میان نهادهای مسئول و واکنش به‌موقع به الگوهای مشکوک است.

در نهایت، مسئله بانکداری دیجیتال این نیست که بانک بداند مشتری چه کسی است؛ این مرحله باید از ابتدا حل شده باشد. مسئله مهم‌تر این است که بانک بتواند بفهمد حساب چگونه مورد استفاده قرار می‌گیرد و وقتی الگوی استفاده از آن تغییر می‌کند، چه زمانی و چگونه وارد عمل می‌شود.

در پرونده‌های کلاهبرداری، همین چند دقیقه می‌تواند تفاوت میان ردیابی پول و گم شدن رد آن در زنجیره‌ای از حساب‌ها باشد.