التصيد برموز QR: الاحتيال بالرموز والروابط في الرسائل النصية

التصيد برموز QR: الاحتيال بالرموز والروابط في الرسائل النصية

تمسح رمز QR فيفتح هاتفك موقعًا مباشرة. لم تقرأ أي عنوان، ولم تكتب شيئًا، ولم تختر وجهتك: الرمز قرر عنك. هذه الراحة بالذات هي ما يستغله التصيد برموز QR (ويسمى quishing، من QR وphishing): رموز وروابط مختصرة تخفي وجهتها لتقودك إلى مواقع مزيفة تسرق معلوماتك أو مالك.

التصيد برموز QR ليس تقنية منفصلة عن التصيد عبر الرسائل النصية: إنه الخدعة نفسها برابط أحسن إخفاءً. فإذا كانت رسالة الطرد المزيفة (انظر دليلها في أدلة المواقف) لا تزال تسمح لك برؤية نطاق مشبوه إن انتبهت، فإن الرمز لا يكشف لك شيئًا قبل أن تمسحه.

أين تظهر الرموز المزيفة

• الملصقات في الأماكن العامة. رمز مزيف يُلصق فوق رمز حقيقي على لافتة دفع أو ملصق إعلاني أو واجهة محل. تمسحه فتصل إلى صفحة تقلّد خدمة دفع حقيقية، وتُدخل بيانات بطاقتك.
• قوائم المطاعم والمقاهي. رمز ملصق فوق الرمز الأصلي. الهدف في الغالب دفعك إلى تثبيت تطبيق مزيف أو إرسالك إلى موقع تصيد بأي ذريعة.
• إشعارات مزيفة على ورق. ورقة تُترك على زجاج سيارتك أو تحت بابك تزعم وجود مخالفة أو فاتورة غير مسددة، مع رمز «للدفع السريع». إنه طُعم الرسائل المزيفة نفسه، لكن على الورق.
• الطرود والتوصيل. رموز على ملصقات أو في رسائل («امسح الرمز لإعادة برمجة التسليم»)، وهي نسخة من احتيال الطرود.
• الرسائل والبريد الإلكتروني برموز. تطلب منك الرسالة مسح رمز بدل الضغط على رابط، أحيانًا بذريعة «التحقق بخطوتين» أو «الأمان». والحيلة تساعدهم أيضًا على تجاوز مرشحات التصيد التي تفحص الروابط لا الصور.
• العملات الرقمية والمدفوعات. رموز يُزعم أنها تحوي عنوان استلام أو «استردادًا» لمبلغ. وما إن يُرسل المال حتى لا سبيل لاستعادته.

القاعدة: انظر إلى الوجهة قبل الدخول

مع الرابط العادي تستطيع قراءة العنوان قبل الضغط عليه. أما مع الرمز فلا، لذلك عليك أن تضيف هذه الخطوة بنفسك:

1. امسح، لكن لا تدخل بعد. معظم الهواتف تعرض الرابط الكامل قبل فتحه. تلك لحظة القرار: اقرأه كاملًا دون عجلة.
2. تحقق من النطاق. يجب أن يكون النطاق الرسمي للخدمة، دون شرطات زائدة أو امتدادات غريبة. إذا قادك رمز يُفترض أنه لجهة معروفة إلى نطاق لا يخصها، فهو مزيف.
3. إذا لم يكن الأمر واضحًا، فلا تدخل: اذهب أنت إلى القناة الرسمية. افتح التطبيق الرسمي لمصرفك أو للمتجر أو للخدمة التي تريد الدفع لها، وأنجز المعاملة هناك. إنها الطريقة نفسها التي نشرحها في دليل التحقق من مكالمة أو رسالة البنك ضمن أدلة المواقف.
4. اشتبه في الرموز المستعجلة. «امسح الآن»، «إشعار أخير»، «سيُعاد طردك اليوم». الاستعجال توقيع الاحتيال، في الرموز كما في الرسائل.

ونصيحة عملية للرموز الملصقة في الشارع والمحلات: لاحظ إن كان هناك ملصق فوق آخر. إذا بدا الرمز ملصقًا أضيف لاحقًا، أو كان يغطي رمزًا آخر تحته، فلا تستعمله. وادفع من التطبيق الرسمي المثبت على هاتفك.

ماذا تفعل إذا مسحت الرمز وأعطيت معلوماتك

• أدخلت بيانات بطاقتك في الموقع: اتصل فورًا بمصرفك أو بالجهة التي أصدرت بطاقتك، واطلب توقيفها وإصدار بطاقة جديدة. وراقب العمليات في الأسابيع التالية.
• نزّلت تطبيقًا من الرمز: احذفه، وافحص هاتفك ببرنامج مكافحة الفيروسات، وراجع الأذونات التي منحتها له (الرسائل وخدمات تسهيل الاستخدام والإشعارات هي الأخطر).
• مسحت الرمز ثم أغلقت الصفحة فقط: على الأرجح لم يحدث شيء. المسح وحده لا يثبّت شيئًا ولا يسلّم معلومات؛ الخطر يبدأ حين تتفاعل مع الموقع.
• قدّم شكوى إذا خسرت مالًا أو سلّمت معلوماتك: تواصل مع الدرك الوطني عبر الرقم الأخضر 1055 المجاني أو عبر خدمة الشكاوى المسبقة الإلكترونية (صفحة التعريف بالخدمة) ثم تأكيد الشكوى لدى إحدى وحداته بموعد، أو توجّه إلى مصالح الأمن الوطني. أرفق صورًا للرمز (وإن كان في الشارع، صورة الملصق ومكانه) ولقطات للموقع، واحتفظ بكل الأدلة.
• إذا وصلك الرمز في رسالة أو مكالمة، فأبلغ عن الرقم في دليل الأرقام المزعجة.

أسئلة سريعة

هل يمكن أن يخترق مسح رمز QR هاتفي؟ المسح وحده لا: الرمز لا يحوي إلا نصًا (عادة رابطًا). الخطر في الموقع الذي يقودك إليه وفيما تفعله هناك: إدخال معلومات، أو تنزيل ملفات، أو منح أذونات. لهذا يكون الدفاع بمراجعة الوجهة قبل الدخول.

هل الروابط المختصرة (bit.ly وأمثالها) هي المشكلة نفسها؟ نعم: هي أيضًا تخفي الوجهة. بعض خدمات الاختصار المشروعة تتيح معاينة الوجهة (كثير منها بإضافة «+» إلى آخر الرابط)، لكن القاعدة العملية واحدة: إذا لم تعرف إلى أين يقودك الرابط وكان يستعجلك للضغط، فلا تضغط واذهب أنت إلى القناة الرسمية.

هل يمكن أن يرسل لي مصرفي رمز QR مشروعًا؟ نعم، مثلًا لربط التطبيق أو تأكيد عملية... ضمن إجراء بدأته أنت. أما رمز «المصرف» الذي يصلك دون أن تطلب شيئًا فتنطبق عليه القاعدة العامة: لا تستعمله، وادخل أنت إلى التطبيق الرسمي.

كيف أحمي شخصًا كبيرًا في السن من هذا؟ بجملة واحدة: «لا تدفع شيئًا بمسح رمز ملصق في الشارع؛ استعمل التطبيق الذي لديك». وكرّرها معه حتى تصبح عادة. وستجد مقالات أخرى عن الاحتيال الهاتفي في مدونة NoCall.

الخلاصة في سطر واحد: الرمز رابط لا تستطيع قراءته، فاقرأه قبل أن تدخل. امسح، وانظر إلى الرابط، وإذا لم يكن النطاق الرسمي فأغلق واذهب أنت إلى القناة الرسمية. ثانية التوقف تلك تُفشل التصيد برموز QR كله.