يتلقى مدير مالي في الدار البيضاء رسالة إلكترونية أنيقة ومنسقة بعناية: “إجراء مطلوب، سجل شركتك في نظام الفوترة الإلكترونية الجديد قبل الموعد النهائي”. وفي الأسبوع نفسه، يراسله مورد قديم موثوق ليخبره بأنه “حدّث حسابه البنكي استعدادا للنظام الجديد”، ويطلب تحويل الدفعة القادمة إلى حساب جديد. تبدو الرسالتان روتينيتين تماما. كلتاهما شكل من أشكال الاحتيال في الفواتير الإلكترونية، وإصلاح الفوترة الإلكترونية (facturation électronique) بالمغرب لن يوقف أيا منهما.
هذا هو الجانب المقلق في هذه القصة. فالإصلاح الذي يطبقه المغرب بموجب المادة 145 من المدونة العامة للضرائب (Code Général des Impôts) مشروع حقيقي وجاد لسد الفجوة الضريبية. لكنه ليس نظاما لتأمين المدفوعات. وفهم ما يتحقق منه هذا النظام بالضبط، وما لا يتحقق منه، هو الخطوة الأولى لحماية شركتك من الاحتيال في الفواتير الإلكترونية.
ما الذي يتغير فعلا في الفوترة الإلكترونية بالمغرب، ولماذا يستمر الاحتيال في الفواتير الإلكترونية رغم ذلك
يدفع إصلاح المغرب، الذي جاء عبر قانون المالية لسنة 2024، البلاد نحو نموذج “المصادقة المسبقة” (clearance)، ويسمى أيضا المراقبة المستمرة للمعاملات. فبدلا من أن تصدر الشركة فاتورة ثم تصرح بها لاحقا، تُرسل الفاتورة إلى منصة تديرها المديرية العامة للضرائب (DGI) للتحقق منها قبل أن يكون لها أثر قانوني وضريبي.
تتحقق منصة المديرية العامة للضرائب من صيغة الفاتورة، وتوقيعها الإلكتروني المؤهل، والمعرف الموحد للمقاولة (ICE) الخاص بطرفي المعاملة، والحقول الإلزامية للبيانات. ولا تُقبل سوى الصيغ المهيكلة: UBL 2.1 وصيغة XML الخاصة بمعيار UN/CEFACT CII. أما الفاتورة بصيغة PDF، أو المسحوبة ضوئيا، أو المرسلة ببساطة عبر البريد الإلكتروني، فلن تكون مطابقة. ويجب بعد ذلك أرشفة الفواتير المصادق عليها لمدة عشر سنوات بصيغة غير قابلة للتعديل. والمديرية العامة للضرائب هي الجهة المصادقة المركزية عند الانطلاق، على أن يُعتمد لاحقا مزودو خدمات معتمدون (CSP).
يجري التطبيق على مراحل: الشركات الكبرى أولا، أي التي يفوق رقم معاملاتها السنوي 200 مليون درهم، أي نحو 1655 شركة، ثم المقاولات الصغرى والمتوسطة في حدود 2027-2028، فالمقاولات الصغيرة جدا بعد ذلك، لتغطي في النهاية نحو 1.2 مليون مقاولة مغربية. ومن المفترض أن تحصل الشركات الصغيرة التي لا تملك نظام تخطيط موارد المؤسسة (ERP) على بوابة إلكترونية مجانية، بينما تتصل الشركات التي تستعمل ERP عبر التبادل الإلكتروني للبيانات (EDI). ويصف يونس إدريسي قيطوني، المدير العام للضرائب، هذا الإصلاح بأنه إجراء وقائي ضد التهرب الضريبي لا إجراء قسري، لكن هذا القصد لا يغير شيئا مما يتحقق منه النظام تقنيا.
فالمصادقة المسبقة تتحقق من الوثيقة: بنيتها، وتوقيعها، ومعرفاتها الضريبية. لكنها لا تتحقق من العلاقة التجارية القائمة خلف الفاتورة، ولا تقول شيئا عن كون الحساب البنكي المذكور فيها هو الحساب الحقيقي. فالفاتورة قد تكون مطابقة تماما ومصادقا عليها من المديرية العامة للضرائب، ومع ذلك تحمل تعليمات دفع احتيالية. وهذا هو السبب في أن الاحتيال في الفواتير الإلكترونية لا يختفي مع تطبيق الإصلاح: فالامتثال الضريبي وأمن المدفوعات مشكلتان منفصلتان في معظمهما، ولا يُعالج هذا المشروع سوى واحدة منهما فقط.
التهديد الأول: تصيد إلكتروني وهمي باسم المديرية العامة للضرائب
الميزة الكبرى التي يملكها المهاجمون حاليا هي الغموض. فحتى وقت كتابة هذا المقال، كان المرسوم التطبيقي للإصلاح لا يزال في انتظار النشر من طرف الأمانة العامة للحكومة، ولم يظهر في الجريدة الرسمية (Bulletin Officiel) أي جدول زمني أو عتبات دقيقة. وقد تداولت بعض الصحف المغربية تاريخ فاتح شتنبر 2026 كموعد للانطلاق، لكن هذا التاريخ غير مؤكد رسميا ولا ينبغي التعامل معه كحقيقة ثابتة. كما أن بوابة الفوترة الإلكترونية الخاصة بالمديرية العامة للضرائب لم تُفتح بعد لعموم الشركات.
هذه الفجوة بين “الإصلاح قادم” و”لم ينشر أحد بعد القواعد الدقيقة أو البوابة النهائية” هي بالضبط النافذة التي يستغلها الاحتيال. فهي تتيح للمهاجم إرسال رسالة مقنعة من نوع “سجل شركتك الآن”، لأن معظم المستقبلين لا يملكون جدولا زمنيا رسميا يقارنون به الرسالة. وقد نبّهت بعض الجهات المتخصصة إلى خطر إضافي: يمكن بسهولة الخلط بين اسم بوابة المديرية العامة للضرائب للفوترة الإلكترونية واسم خدمة دفع مغربية أخرى قائمة لا علاقة لها بها. وهذا ليس اتهاما، بل تفصيل دقيق قد لا ينتبه إليه موظف مستعجل.
لن تطلب منك إدارة ضريبية حقيقية النقر على رابط “لتفعيل” الفوترة الإلكترونية، ولن تطلب بيانات الدخول أو شهادة التوقيع عبر البريد الإلكتروني، ولن تهدد بغرامات بشأن نظام لا تاريخ رسمي مؤكدا لبدايته. وإذا ضغطت عليك رسالة إلكترونية لإنجاز تسجيل عاجل في الفوترة الإلكترونية، تحقق منها أولا لدى محاسبك أو عبر القنوات الرسمية للمديرية العامة للضرائب، بنفس الانضباط الذي تتعامل به مع أي رسالة احتيال تنتحل صفة جهة رسمية.
التهديد الثاني: احتيال تغيير الحساب البنكي للمورد
هذا هو الشكل الكلاسيكي للاحتيال في الفواتير الإلكترونية، ولا يمس الإصلاح هذا النوع من الاحتيال بأي شكل. يخترق المهاجم البريد الإلكتروني لأحد الموردين، غالبا عقب هجوم تصيد سابق، أو ينتحل نطاق بريده الإلكتروني بشكل قريب بما يكفي لخداع نظرة سريعة. ومن ذلك الصندوق البريدي، يرسل إلى قسمك المالي مراسلة تبدو روتينية: “لقد غيّرنا بنكنا، يرجى استعمال الحساب البنكي أدناه في الفواتير القادمة”.
فإذا حدّث فريقك سجلاته ودفع الفاتورة التالية إلى ذلك الحساب، ذهبت الأموال مباشرة إلى مجرم. وقد تكون الفاتورة نفسها صحيحة من كل النواحي الأخرى، بالمبلغ الصحيح والشركة الصحيحة والمرجع الصحيح، مع تغيير وجهة الدفع فقط. وهذا ما يجعل الاحتيال في الفواتير الإلكترونية فعالا إلى هذا الحد: فهو يستهدف مسارا يثق فيه فريقك بالفعل، لا نظاما يتشكك فيه.
اختراق البريد الإلكتروني المهني (business email compromise أو BEC)، وهو المصطلح الجامع لهذا النوع من الهجمات، ليس مشكلة هامشية. فقد سجّل مركز شكاوى الجرائم الإلكترونية التابع لمكتب التحقيقات الفدرالي الأمريكي 24,768 شكوى متعلقة باختراق البريد الإلكتروني المهني في الولايات المتحدة سنة 2025، بخسائر معلنة بلغت 3.05 مليار دولار، أي ما يعادل في المتوسط نحو 123,000 دولار لكل حادثة مبلّغ عنها، فوق أكثر من 55 مليار دولار من الخسائر المعلنة خلال العقد الماضي. وهذه أرقام أمريكية، أوردناها لبيان حجم الظاهرة، لا كتقدير للخسائر في المغرب. والسرعة عامل حاسم أيضا: وجدت دراسة لشركة كاسبرسكي حول المغرب أن نحو 49% من حالات الاحتيال عبر تطبيقات المراسلة التي تنجح تكتمل خلال 30 دقيقة من أول اتصال، وهو ما يفسر لماذا تُعد وقفة إلزامية قبل الدفع من أنجع الإجراءات الوقائية المتاحة.
التهديد الثالث: سطح الهجوم الجديد الذي تنشئه الفوترة الإلكترونية نفسها
يخلق الإصلاح أيضا عناصر جديدة تستحق الحماية لم تكن موجودة من قبل. فربط نظام ERP بمنصة المديرية العامة للضرائب، سواء مباشرة أو عبر مزود خدمات معتمد، يعني بيانات اعتماد API جديدة تمنح صلاحية الوصول إلى البيانات الضريبية والفوترية للشركة. وهذه البيانات تستحق صلاحيات محدودة بمبدأ الحد الأدنى من الامتيازات، وتدويرا دوريا، ومراقبة، لا كلمة مرور مشتركة في جدول بيانات.
والتوقيع الإلكتروني المؤهل اللازم للمصادقة على الفواتير هو من الناحية العملية بيانات اعتماد بمستوى الدفع: فإذا خُزّن بإهمال، أصبح بمقدور من يملكه إصدار فواتير تحمل التوقيع القانوني لشركتك. والأرشيف غير القابل للتعديل الممتد على عشر سنوات هدف بدوره، إذ يمثل مستودعا كبيرا ومنظما للبيانات المالية يستهوي أي طرف يخطط لعملية مقبلة من الاحتيال في الفواتير الإلكترونية. وأخيرا، يصبح مزودو الفوترة الإلكترونية الخارجيون ومزودو الخدمات المعتمدون جزءا من مخاطر سلسلة التوريد لديك، فتحقق منهم بالدقة نفسها التي تتحقق بها من أي مورد يلامس أموالك مباشرة. والحرص على حماية أنظمتك من الاختراق ينطبق هنا بنفس المبادئ: أقل الامتيازات الممكنة، والتحديث المستمر، والمراقبة الدائمة.
كيف تحمي شركتك من الاحتيال في الفواتير الإلكترونية
مجموعة قصيرة ومنضبطة من الإجراءات تسدّ معظم الثغرة التي يتركها الإصلاح مفتوحة.
- التحقق عبر معاودة الاتصال الهاتفي عند كل تغيير للحساب البنكي. اتصل برقم هاتف كان لديك مسبقا، وليس الرقم الوارد في الرسالة الإلكترونية، وتأكد شفهيا قبل تحديث أي بيانات.
- الموافقة المزدوجة فوق عتبة معينة. يجب أن تحصل المدفوعات التي تتجاوز مبلغا متفقا عليه على موافقة شخص ثان لم يُبادر بالعملية.
- المصادقة الثنائية (MFA) على كل صناديق البريد الإلكتروني المالية. هذه الخطوة الإضافية للدخول، بعد كلمة المرور، تجعل بيانات الدخول المسروقة أقل فائدة بكثير للمهاجم.
- بروتوكولات SPF وDKIM وDMARC على نطاق شركتك. هذه معايير مصادقة البريد الإلكتروني تجعل من الأصعب على أي جهة إرسال رسائل تبدو صادرة عن نطاقك أو عن نطاق مورد موثوق.
- تعامل مع شهادة التوقيع كبيانات اعتماد للدفع. قيّد الوصول إليها وسجّل كل استعمال لها.
- تحقق من مزود الفوترة الإلكترونية وأي مزود خدمات معتمد قبل ربط أنظمتك، وتأكد من كيفية حمايتهم لبيانات الاعتماد والبيانات المؤرشفة.
- درّب القسم المالي على هذا السيناريو بالذات، لا على التصيد الإلكتروني بشكل عام. أطلعهم على نموذج حقيقي لرسالة تصيد وهمية باسم المديرية العامة للضرائب ونموذج حقيقي لاحتيال تغيير حساب بنكي جنبا إلى جنب، حتى يصبح النمط قابلا للتمييز بسهولة. فمعرفة تفاصيل الابتزاز الإلكتروني وأساليب المهاجمين المشابهة يجعل هذا التدريب أكثر فعالية من مجرد تحذير عام.
ماذا تفعل إذا سبق أن دفعت فاتورة مزورة
تصرف في غضون دقائق. اتصل ببنكك فورا لطلب استرجاع التحويل أو تجميده، فكلما تدخل البنك أبكر، ارتفعت فرص الاسترداد. احتفظ بالرسالة الإلكترونية الأصلية وترويستها الكاملة ومرفقاتها دون إعادة توجيهها أو حذف أي شيء منها. أبلغ عن الحادثة لوحدة مكافحة الاحتيال في بنكك وللجهات المغربية المختصة. وأخيرا، تحقق مما إذا كانت صندوقك البريدي أو صندوق موردك هو الذي تعرض للاختراق: فإذا كان المهاجم لا يزال يملك صلاحية الوصول، فمن المرجح وقوع محاولة ثانية، تماما كما قد يتكرر اختراق حساب واتساب بعد استرجاعه إذا لم تُغلق الثغرة الأصلية، لذا يستحسن استبعاد أي وصول مستمر للمهاجم مبكرا.
الأسئلة الشائعة
هل يقلل إصلاح الفوترة الإلكترونية بالمغرب من مخاطر الاحتيال في الفواتير الإلكترونية؟
يقلل من بعض أشكال التهرب الضريبي عبر التحقق من صيغة الفاتورة وتوقيعها ومعرفاتها الضريبية قبل أن يكون لها أثر قانوني. لكنه لا يتحقق من الحساب البنكي ولا من العلاقة التجارية القائمة خلف الفاتورة، لذلك يبقى الاحتيال في الفواتير الإلكترونية المرتبط بالدفع غير متأثر به.
هل تم تأكيد تاريخ رسمي لبدء العمل بالفوترة الإلكترونية؟
لا. حتى وقت كتابة هذا المقال، لم يُنشر المرسوم التطبيقي ولم يظهر أي جدول زمني رسمي في الجريدة الرسمية. والتواريخ المتداولة في الصحافة، بما فيها فاتح شتنبر 2026، تبقى غير مؤكدة.
ما المقصود باختراق البريد الإلكتروني المهني؟
اختراق البريد الإلكتروني المهني (business email compromise أو BEC) هو احتيال ينتحل فيه المهاجم صفة جهة اتصال موثوقة، غالبا عبر بريد إلكتروني مخترق أو منتحل، لدفع شركة إلى تحويل أموال أو تغيير بيانات الدفع. وهو الآلية الكامنة وراء معظم عمليات احتيال تغيير الحساب البنكي للمورد.
إصلاح الفوترة الإلكترونية بالمغرب خطوة حقيقية نحو الشفافية الضريبية، وعلى الشركات أن تستعد له بجدية. لكن الاستعداد للامتثال ومنع الاحتيال في الفواتير الإلكترونية مشروعان مختلفان تماما. تعامل مع كل طلب لتغيير حساب بنكي، وكل رسالة عاجلة بشأن نظام حكومي جديد، بالانضباط نفسه في التحقق، مهما بدت رسمية. ولمزيد من السياق، اطلع على دراسة شاملة حول الأمن السيبراني في المغرب.
