التصيد برموز QR: رموز مزيفة وروابط مخفية في الرسائل

التصيد برموز QR: رموز مزيفة وروابط مخفية في الرسائل

تمسح رمز QR فيفتح هاتفك موقعًا مباشرة. لم تقرأ أي عنوان، ولم تكتب شيئًا، ولم تقرر إلى أين تذهب: الرمز قرر عنك. هذه الراحة تحديدًا هي ما يستغله التصيد برموز QR أو quishing (رمز QR مع التصيد الاحتيالي): رموز QR وروابط مختصرة تخفي وجهتها لتقودك إلى مواقع مزيفة تسرق بياناتك أو أموالك.

هذا الأسلوب ليس منفصلًا عن التصيد عبر الرسائل النصية (مثل رسائل المخالفات المرورية المزيفة أو رسائل الشحنات المزيفة): إنه الخدعة نفسها برابط أكثر إخفاءً. فالرسالة المزيفة قد تتيح لك أن ترى نطاقًا مشبوهًا إذا دققت، أما الرمز فلا يريك شيئًا حتى تمسحه.

أين تظهر الرموز المزيفة

• أماكن انتظار السيارات وأجهزة الدفع. ملصقات برمز مزيف توضع فوق الرمز الحقيقي لجهة التشغيل أو لتطبيق الدفع. تمسحه، فتصل إلى موقع يقلّد صفحة الدفع، وتُدخل بيانات بطاقتك.
• قوائم المطاعم والمقاهي. رمز يُلصق فوق الرمز الأصلي. الهدف عادة دفعك إلى تثبيت تطبيق مزيف أو إرسالك إلى موقع تصيد بأي حجة.
• إشعارات المخالفات على زجاج السيارة. إشعارات عقوبة مزيفة برمز «للسداد الفوري». الطُعم نفسه الموجود في رسائل المخالفات المزيفة، لكن على الورق.
• الشحنات والتوصيل. رموز على ملصقات أو في رسائل («امسح لإعادة جدولة التوصيل» أو «لسداد رسوم الجمارك»). رسوم الجمارك الحقيقية شأن مصلحة الجمارك المصرية، فتحقق عبر موقعها الرسمي أو خطها الساخن 15460، لا عبر الرمز.
• رسائل وبريد إلكتروني بها رموز. تطلب منك الرسالة أن تمسح رمزًا بدل الضغط على رابط، أحيانًا بحجة «التحقق بخطوتين» أو «الأمان». والهدف أيضًا تجاوز مرشحات مكافحة التصيد التي تفحص الروابط لا الصور.
• العملات الرقمية والمدفوعات. رموز يُزعم أنها تحتوي على رقم حساب أو محفظة لاستلام مبلغ أو «استرداد». بعد إرسال المال لا رجعة.

القاعدة: انظر إلى الوجهة قبل الدخول

مع الرابط العادي يمكنك قراءة العنوان قبل الضغط. مع الرمز لا يمكنك ذلك، لذا يجب أن تضيف هذه الخطوة بنفسك:

1. امسح الرمز، لكن لا تدخل بعد. معظم الهواتف تعرض الرابط كاملًا قبل فتحه. هذه لحظة القرار: اقرأه كاملًا دون عجلة.
2. تحقق من النطاق. يجب أن يكون النطاق الرسمي للخدمة، دون شرطات زائدة أو امتدادات غريبة. إذا قادك رمز جهاز الدفع إلى نطاق لا يخص الجهة المشغلة أو تطبيقها الرسمي، فهو مزيف.
3. إذا لم يكن الأمر واضحًا، فلا تدخل: اذهب أنت إلى القناة الرسمية. افتح التطبيق الرسمي لخدمة انتظار السيارات أو للبنك أو للمتجر، وأنجز المعاملة هناك. إنها الطريقة نفسها التي نشرحها في أدلة حسب الموقف للتحقق من مكالمة البنك أو رسالته.
4. احذر الرموز المستعجلة. «امسح الآن»، «إشعار أخير»، «ستُعاد شحنتك اليوم». الاستعجال توقيع الاحتيال، في الرموز كما في الرسائل.

ونصيحة عملية للرموز الملصقة في الشارع: لاحظ إن كان هناك ملصق فوق آخر. إذا بدا رمز جهاز الدفع ملصقًا أُضيف لاحقًا، أو كان يغطي رمزًا آخر تحته، فلا تستخدمه، وادفع من التطبيق الرسمي المثبت على هاتفك.

ماذا تفعل إذا مسحت الرمز وأعطيت بيانات

• أدخلت بيانات بطاقتك في الموقع: اتصل ببنكك فورًا، وأوقف البطاقة واطلب بطاقة جديدة، وراقب الخصومات في الأسابيع التالية.
• حوّلت مالًا عبر تطبيق بنكي أو محفظة إلكترونية: تواصل فورًا مع بنكك أو مقدّم المحفظة واشرح ما حدث.
• نزّلت تطبيقًا من الرمز: احذفه، وافحص هاتفك ببرنامج حماية، وراجع الأذونات التي منحتها له (الرسائل وإمكانية الوصول والإشعارات هي الأخطر).
• مسحت فقط وأغلقت: على الأرجح لم يحدث شيء. المسح وحده لا يثبّت شيئًا ولا يسلّم بيانات؛ الخطر يبدأ حين تتفاعل مع الموقع.
• اشتريت من متجر إلكتروني عبر الرمز ولم يصلك ما دفعت ثمنه: يتلقى جهاز حماية المستهلك الشكاوى الخاصة بالمتاجر والمتاجر الإلكترونية على الخط الساخن 19588 من الخط الأرضي أو عبر واتساب 01577779999.
• قدّم بلاغًا لدى الشرطة مع صور للرمز (إذا كان في الشارع، صورة للملصق ومكانه) ولقطات للموقع.
• إذا وصلك الرمز في رسالة أو مكالمة، فأبلغ عن الرقم في دليل الأرقام المزعجة.

أسئلة سريعة

هل يمكن أن يخترق مسح رمز QR هاتفي؟ المسح وحده لا: الرمز لا يحتوي إلا على نص (عادةً رابط). الخطر في الموقع الذي يقودك إليه وما تفعله هناك: إدخال بيانات، أو تنزيل ملفات، أو منح أذونات. لهذا فالدفاع هو مراجعة الوجهة قبل الدخول. وينشر فريق EG-CERT صفحات توعية للأفراد في الأمان الرقمي.

هل الروابط المختصرة (مثل bit.ly) هي المشكلة نفسها؟ نعم، فهي أيضًا تخفي الوجهة. بعض خدمات الاختصار المشروعة تتيح معاينة الرابط قبل فتحه (في بعضها بإضافة «+» إلى نهاية الرابط)، لكن القاعدة العملية واحدة: إذا لم تعرف إلى أين يقودك الرابط وكان يستعجلك للضغط، فلا تضغط واذهب أنت إلى القناة الرسمية.

هل يمكن أن يرسل لي البنك رمز QR حقيقيًا؟ نعم، مثلًا لربط التطبيق أو تأكيد عملية... ضمن إجراء بدأته أنت. أما رمز يصلك باسم البنك دون أن تطلب شيئًا فيخضع للقاعدة العامة: لا تستخدمه، وادخل بنفسك إلى التطبيق الرسمي.

كيف أحمي شخصًا كبيرًا في السن من هذا؟ بجملة واحدة: «لا تدفع شيئًا بمسح رمز في الشارع؛ استخدم التطبيق الموجود على هاتفك». وستجد في مدونة NoCall مزيدًا من النصائح للوقاية من الاحتيال الهاتفي.

الخلاصة في سطر: الرمز رابط لا تستطيع قراءته، فاقرأه قبل أن تدخل. امسح، وانظر إلى الرابط، وإذا لم يكن النطاق الرسمي فأغلق واذهب أنت إلى القناة الرسمية. ثانية التوقف هذه تُفشل التصيد برموز QR كله.