الطبقة الوسطى من المحتالين
عندما تتصدر تحقيقات عمليات الاحتيال في مجال العملات المشفرة عناوين الأخبار، تكون الأرقام مذهلة — إمبراطوريات «الإرشاد» التي تبلغ قيمتها 10 ملايين دولار، وعمليات «الاختفاء المفاجئ» التي تصل قيمتها إلى مليارات الدولارات، وشبكات غسل الأموال التي ترعاها الدول. لكن وراء تلك العمليات التي تستحوذ على عناوين الأخبار يكمن نظام بيئي واسع من فرق الاحتيال من المستوى المتوسط التي تتسبب مجتمعة في أضرار جسيمة دون أن يلفت ذلك الانتباه.
هؤلاء ليسوا أفرادًا يعملون بمفردهم. إنهم منظمون، ويقومون بالتجنيد عبر المنتديات، ويستخدمون روبوتات «Telegram» لأغراض الأتمتة، ويتتبعون ضحاياهم في جداول بيانات «جوجل» تمامًا كما يتتبع أي فريق مبيعات شرعي العملاء المحتملين. إنهم يمثلون الطبقة الوسطى العاملة في مجال الجرائم الإلكترونية — متطورة بما يكفي لتتوسع، وصغيرة بما يكفي لتفلت من الأنظار.
يتناول هذا التحقيق ثلاثة فرق من هذا النوع تم توثيقها في موقع PhishDestroy's سجلات ScamIntel المستودع:
فريق ميركوري
الحالة: نشط. عملية ثنائية المحور تنفذ عمليات احتيال في البورصة وعمليات احتيال في الكازينو في آن واحد عبر روبوتين على تطبيق Telegram. وهيكل قائم على نظام المرشدين، ويتحدث أعضاؤه اللغة الروسية.
WasabiSquad
الحالة: نشط. عملية ثلاثية الأبعاد تستهدف الضحايا من خلال منصات تداول مزيفة ومنصات مقامرة وروبوتات استثمارية. وتشترك في البنية التحتية مع MercuryTeam.
فريق 717
الحالة: مؤرشف. تم تفكيك عملية تضم 125 عضوًا بفضل جمع المعلومات الاستخباراتية والإبلاغ المنسق. وهذا دليل على فعالية استراتيجية تعطيل الأنشطة.
النتيجة الرئيسية
يتشارك كل من MercuryTeam وWasabiSquad رابط جدول بيانات Google نفسه — دليل على وجود مشغلين متطابقين أو تحالف منسق بشكل وثيق.
لماذا تُعد الفرق المتوسطة المستوى مهمة؟
مقابل كل خبر رئيسي يتحدث عن مليار دولار، هناك مئات الفرق مثل هذه تعمل يوميًا. فهي تقوم بالتجنيد بشكل مكثف، وتتطور بسرعة، وتستنزف بشكل جماعي ملايين من أموال الضحايا في جميع أنحاء العالم. ويُعد فهم هيكلها أمرًا ضروريًّا لتعطيل أنشطتها على نطاق واسع.
MercuryTeam: العمليات ثنائية الاتجاه
تدير شركة MercuryTeam نموذج الاحتيال ثنائي المتجهات — تنفيذ عمليات احتيال متعلقة بالبورصات وعمليات احتيال متعلقة بالكازينوهات في آن واحد من خلال روبوتين مخصصين على تطبيق Telegram. ويؤدي هذا النهج إلى توسيع نطاق استهداف الضحايا إلى أقصى حد: فالمستخدمون الذين قد لا ينخدعون ببورصة مزيفة قد ينجذبون إلى عرض كازينو، والعكس صحيح.
البنية التحتية لروبوتات Telegram
| روبوت | اسم المستخدم على Telegram | معرّف الروبوت | المتجه |
|---|
| الروبوت الأساسي | @MercuryTeam_bot | 6631580796 | الاحتيال في البورصة |
| روبوت الكازينو | @MercuryCasi_bot | 6431207710 | الاحتيال في الكازينوهات |
إن بنية الروبوتات المزدوجة ليست مصادفة. فمن خلال فصل عمليات البورصة وعمليات الكازينو في روبوتات منفصلة، تحقق MercuryTeam التقسيم التشغيلي — إذا تم الإبلاغ عن أحد الروبوتات أو حظره، يستمر الآخر في العمل. وتتفاعل الضحايا مع أي روبوت يتطابق مع ملف تعريف نقاط ضعفهم.
الهيكل التنظيمي
تستخدم شركة MercuryTeam نموذج المرشد مع الفروع. يقوم المشغلون ذوو الخبرة بتدريب المجندين الجدد الذين يقومون بدورهم بإنشاء فروع شبه مستقلة. ويتيح هذا الهيكل، الذي يشبه نظام الامتياز التجاري، للفريق التوسع بسرعة مع الحفاظ على الأمن التشغيلي. ويتعلم المجندون الجدد تقنيات التعامل مع الضحايا، وكيفية التعامل مع النصوص المعدة مسبقًا، وإجراءات الانسحاب من الموجهين المكلفين بهم قبل أن يبدأوا العمل بمفردهم.
التواجد في المنتدى
تقوم شركة MercuryTeam بالتوظيف والإعلان من خلال lolz.live، وهو أحد أكبر منتديات الاحتيال باللغة الروسية. وموضوع التجنيد الخاص بهم: lolz.live/threads/6129774/
تتبع الضحايا
يتم تتبع بيانات الإيرادات والضحايا من خلال جدول بيانات Google مشترك — وهي تفصيلة تكتسب أهمية بالغة عند دراسة عمليات «WasabiSquad».
تقييم استخباراتي
تمثل شركة MercuryTeam تطور حالات الاحتيال في القطاع المتوسط: يؤدي النهج القائم على المتجهين المزدوجين إلى مضاعفة نطاق هجماتهم، في حين يضمن نموذج «المُرشد» جودة متسقة عبر جميع الفروع. عملية تُدار باللغة الروسية، حيث تتم جميع عمليات التنسيق عبر تطبيق Telegram. تم الاحتفاظ بالأدلة الكاملة في سجلات ScamIntelLogs.
WasabiSquad: التهديد الثلاثي
في حين أن فريق MercuryTeam يُشغّل ناقلين، فإن فريق WasabiSquad يرفع العدد إلى ثلاثة — حيث تجمع بين البورصات المزيفة ومنصات المقامرة وروبوتات الاستثمار في عملية واحدة. ويستهدف هذا النهج متعدد الجوانب حالات نفسية مختلفة تمامًا للضحايا: متداول العملات المشفرة، والمقامر، والمستثمر السلبي.
البوت والبنية التحتية للويب
| الأصل | المعرّف | النوع |
|---|
| الروبوت الأساسي | @WasabiSquad_Bot | روبوت Telegram (المعرّف: 7380099926) |
| الموقع الإلكتروني | wasabihub.one | منصة الويب |
| موضوع في المنتدى | lolz.live/threads/7933252/ | التوظيف والإعلان |
ثلاثة مسارات للهجوم
الاحتيال في البورصة
منصات تداول العملات المشفرة المزيفة المصممة لسرقة الودائع. يعتقد الضحايا أنهم يتداولون على منصة شرعية ويودعون أموالاً لا يمكن سحبها.
الاحتيال في مجال المقامرة
منصات المقامرة المزورة التي تعد بالربح، لكنها تشترط «إيداعات للتحقق» قبل السحب — وهي إيداعات يتم استنزافها على الفور.
الاحتيال عبر روبوتات الاستثمار
روبوتات الاستثمار الآلية التي تعد بعوائد مضمونة. يقوم الضحايا بإيداع العملات المشفرة على أمل تحقيق أرباح من التداول الخوارزمي، لكنهم لا يحصلون على شيء.
رابط جدول البيانات
يستخدم WasabiSquad نفس جدول بيانات Google الذي يستخدمه MercuryTeam لتتبع الضحايا والإيرادات. وهذه هي النتيجة الأهم على الإطلاق التي توصل إليها هذا التحقيق.
"نفس جدول البيانات. نفس أعمدة التتبع. نفس معادلات الإيرادات. إما أن هؤلاء هم نفس الأشخاص الذين يرتدون أقنعة مختلفة، أو أنهم يثقون ببعضهم البعض بما يكفي لمشاركة قاعدة بيانات ضحاياهم بالكامل."
— تقييم استخباراتي من PhishDestroy
تداخل البنى التحتية الحيوية
إن جدول بيانات Google المشترك بين MercuryTeam وWasabiSquad ليس مجرد تفصيل تقني بسيط — بل هو دليل على الوحدة التشغيلية. هناك فريقان يتمتعان بعلامتين تجاريتين متميزتين، وبوتات Telegram مختلفة، ومواضيع منفصلة في المنتديات، ويستخدمان نفس المستند الخلفي لتتبع الضحايا والإيرادات. وهذا يشير إما إلى نفس المشغلون يديرون كلا العلامتين التجاريتين أو أ تحالف رسمي مع بنية تحتية مالية مشتركة.
فريق 717: دليل على فعالية استراتيجية «التشويش»
من بين الفرق الثلاثة التي شملها هذا التحقيق، تتميز «717Team» بسمة فريدة: تم أرشفته. في مصطلحات ScamIntelLogs، تعني كلمة «مؤرشفة» أن العمليات قد توقفت وأن الفريق لم يعد يمارس عمليات الاحتيال بشكل نشط. وهذا ليس نجاحًا نظريًّا — بل هو دليل موثق على أن جمع المعلومات الاستخباراتية، وحفظ الأدلة، والإبلاغ المنسق يمكن أن يؤدي إلى القضاء على عمليات الاحتيال المنظمة.
فريق 717 بالأرقام
$2,946
تم التأكيد على استنزافه
روابط الإدارة والشبكة
| الدور | المعرّف | التفاصيل |
|---|
| المسؤول | @imdebank | معرّف Telegram: 7149807602 |
| رابط الشبكة | فريق روبليفكا | قام المسؤول @imdebank بربط هذه العملية المنفصلة |
| روبوت | @team717_bot | روبوت Telegram الرئيسي (غير نشط حاليًا) |
| المنتدى | lolz.live | Hub للتوظيف والتنسيق |
البنية التحتية للنطاقات (12 نطاقًا أو أكثر)
| المجال | الغرض |
|---|
| checkscore.cc | منصة احتيال رئيسية |
| cryptomus-payment.com | بوابة دفع مزيفة |
| check-score.ru | النسخة التي تستهدف روسيا |
| + 9 نطاقات إضافية موثقة في ScamIntelLogs |
لماذا يُعد «المُحفوظ» أمرًا مهمًا
الحالة المؤرشفة لفريق 717Team هي أهم نقطة بيانات في هذا التحقيق برمته. وهو ما يثبت أن فرق الاحتيال المتوسطة الحجم يمكن تم إحباطها من خلال جمع المعلومات الاستخباراتية بشكل منهجي. وكانت الخطوات التي أثمرت عن النجاح هي: (1) تحديد البنية التحتية، (2) تتبع المحافظ والأعضاء، (3) الحفاظ على الأدلة، (4) تنسيق الإبلاغ عبر المنصات المختلفة. ويمثل المبلغ المؤكد الذي تم استنزافه، والبالغ 2,946.25 دولارًا، الخسائر الموثقة — ومن المرجح أن يكون الرقم الحقيقي أعلى من ذلك، لكن العملية تم إيقافها قبل أن تتوسع أكثر.
فريق «روبليفكا تيم»
تم ربط الحساب «Admin @imdebank» (رقم التعريف: 7149807602) بـ فريق روبليفكا، وهي عملية احتيال منفصلة تم توثيقها في تقريرنا عملية الاحتيال الروسية «TON» التحقيق. ويؤكد هذا الترابط بين الفرق استنتاجًا رئيسيًّا، وهو أن هذه العمليات ليست معزولة. فالعملاء يتنقلون بين الفرق، ويتشاركون البنية التحتية، ويحافظون على شبكات تستمر في العمل حتى بعد تعطيل الفرق الفردية.
البنية التحتية المشتركة
إن مقارنة هذه الفرق الثلاثة جنبًا إلى جنب تكشف عن أمر أكثر أهمية بكثير من العمليات الفردية — فهي تكشف عن شبكة. أدوات مشتركة، ومنصات مشتركة، ووثائق مشتركة، وفي حالة واحدة على الأقل، وجود ارتباط مباشر بين أفراد الفرق.
تحليل مقارن
| السمة | فريق ميركوري | WasabiSquad | فريق 717 |
|---|
| مسارات الهجوم | البورصة + الكازينو | البورصة + المقامرة + الاستثمار | التبادل + المدفوعات المزيفة |
| المنتدى | lolz.live | lolz.live | lolz.live |
| روبوتات Telegram | روبوتان | روبوت واحد + موقع إلكتروني | روبوت واحد |
| التتبع | جدول بيانات Google | جدول بيانات SAME | التتبع الداخلي |
| اللغة | الروسية | الروسية | الروسية |
| الحالة | نشط | نشط | محفوظ |
نقاط البنية التحتية المشتركة
- جدول بيانات Google مشترك — يستخدم كل من MercuryTeam وWasabiSquad نفس المستند لتتبع الضحايا/الإيرادات
- lolz.live كمركز رئيسي — تقوم الفرق الثلاثة جميعها بالتجنيد والإعلان والتنسيق عبر نفس المنتدى باللغة الروسية
- Telegram كطبقة عملياتية — يعتمد كل فريق على روبوتات Telegram في استقطاب الضحايا والتواصل مع المشغلين
- الموظفون المشتركون بين الفرق — قام مسؤول فريق 717Team @imdebank بربط حسابه بفريق RublevkaTeam، مما يوضح إمكانية تنقل المشغلين بين الفرق
- العمليات باللغة الروسية — تعمل جميع الفرق باللغة الروسية، مما يشير إلى أصل جغرافي وثقافي مشترك
"إنهم يتبادلون جداول البيانات. ويتبادلون المنتديات. ويتبادلون التقنيات. والشيء الوحيد الذي لا يتبادلونه هو اسم علامتهم التجارية — وحتى هذا الفارق قد يكون مصطنعًا."
— ملخص تحليل PhishDestroy
ليسوا فاعلين منفردين
الأدلة واضحة: فرق «MercuryTeam» و«WasabiSquad» و«717Team» ليست عمليات مستقلة تستخدم، بمحض الصدفة، أساليب متشابهة. إن جدول بيانات Google مشترك بين ميركوري وواسابي، الـ منتدى مشترك في جميع هذه المجالات الثلاثة، و تداخل الموظفين تشير جميع العوامل المتعلقة بفريقي «717Team» و«RublevkaTeam» إلى وجود نظام بيئي مترابط. إن تعطيل أحد الفريقين دون فهم الشبكة ينطوي على خطر مجرد انتقال المشغلين إلى علامة تجارية أخرى.
الأدلة والوثائق
تم حفظ جميع المعلومات الاستخباراتية المشار إليها في هذا التحقيق في مستودع ScamIntelLogs التابع لـ PhishDestroy. ويحتوي كل فريق على دليل أدلة مخصص يضم معرّفات الروبوتات، وعناوين المحافظ الرقمية، ولقطات شاشة للمنتديات، وقوائم النطاقات، والتحليلات الهيكلية.
تم إيقاف فريق 717. ويمكن إيقاف الفرق الأخرى أيضًا.
جمع المعلومات الاستخباراتية يؤتي ثماره. حفظ الأدلة يؤتي ثماره. الإبلاغ المنسق يؤتي ثماره. وحالة أرشيف فريق 717 هي دليل حي على ذلك.
ساعدونا في ممارسة نفس الضغط على «MercuryTeam» و«WasabiSquad» وجميع الفرق الاحتيالية المتوسطة الحجم التي لا تزال تعمل.
#ScamTeams#MercuryTeam#WasabiSquad#717Team#Investigation
