التصيّد برموز QR: احتيال الرموز والروابط المختصرة في الرسائل النصية

التصيّد برموز QR: احتيال الرموز والروابط المختصرة في الرسائل النصية

تمسح رمز QR فيفتح جوالك موقعًا مباشرة. لم تقرأ أي عنوان، ولم تكتب شيئًا، ولم تقرر إلى أين تذهب: الرمز قرر عنك. هذه السهولة بالذات هي ما يستغله التصيّد برموز QR (ويُعرف بالإنجليزية باسم quishing، وهي كلمة تدمج QR وphishing، أي التصيّد الاحتيالي): رموز وروابط مختصرة تُخفي وجهتها لتقودك إلى مواقع مزيفة تسرق بياناتك أو مالك.

وهو ليس أسلوبًا منفصلًا عن التصيّد عبر الرسائل النصية (مثل رسائل المخالفات المرورية المزيفة): إنه الخداع نفسه، لكن برابط مخفي بإتقان أكبر. فبينما تترك لك رسالة المخالفة أو رسالة الطرد المزيفة فرصة لملاحظة نطاق مشبوه إن دققت، لا يُظهر لك الرمز شيئًا قبل أن تمسحه.

أين تظهر الرموز المزيفة

• مواقف السيارات وأجهزة الدفع. ملصقات برمز مزيف تُلصق فوق الرمز الحقيقي للجهة المشغّلة أو لتطبيق الدفع. تمسح الرمز، فتصل إلى صفحة تقلّد صفحة دفع رسوم الوقوف، وتُدخل بيانات بطاقتك.
• قوائم المطاعم والمقاهي. رمز ملصق فوق الرمز الأصلي. والهدف عادة دفعك إلى تثبيت تطبيق مزيف أو نقلك إلى موقع تصيّد بأي ذريعة.
• المخالفات والإشعارات على زجاج السيارة. إشعارات مخالفة مزيفة برمز "للسداد بخصم". الطُعم نفسه الذي تستخدمه رسائل المخالفات المزيفة، ولكن على ورق.
• الطرود والتوصيل. رموز على ملصقات أو في رسائل ("امسح الرمز لإعادة جدولة التوصيل")، وهي نسخة من احتيال الطرود. ويؤكد البريد السعودي (سبل) في صفحة التوعية بالاحتيال أن الدفع لا يتم إلا عبر موقعه أو تطبيقه الرسميين.
• رسائل وبريد إلكتروني برموز QR. تطلب منك الرسالة مسح رمز بدل الضغط على رابط، أحيانًا بذريعة "التحقق بخطوتين" أو "الأمان". وهذه الحيلة تتجاوز أيضًا مرشحات التصيّد التي تفحص الروابط لا الصور.
• العملات الرقمية والمدفوعات. رموز يُزعم أنها تحتوي على عنوان استلام أو "مبلغ مسترد". وما إن يُرسل المال حتى يصعب استرجاعه.

القاعدة: انظر إلى الوجهة قبل الدخول

مع الرابط العادي يمكنك قراءة العنوان قبل الضغط. أما مع الرمز فلا، لذلك عليك إضافة هذه الخطوة بنفسك:

1. امسح، لكن لا تدخل بعد. معظم الجوالات تعرض الرابط كاملًا قبل فتحه. هذه لحظة القرار: اقرأه كله دون عجلة.
2. تحقق من النطاق. يجب أن يكون النطاق الرسمي للخدمة، دون شرطات زائدة أو لواحق غريبة. إذا قادك رمز موقف السيارات إلى نطاق لا يخص الجهة المشغّلة أو التطبيق الرسمي، فهو مزيف.
3. إذا لم يكن الأمر واضحًا، فلا تدخل: اذهب أنت إلى القناة الرسمية. افتح تطبيق المواقف أو البنك أو المتجر الرسمي وأنجز المعاملة من هناك، بالطريقة نفسها التي نشرحها في دليل التحقق من مكالمة أو رسالة البنك.
4. احذر الرموز المستعجلة. "امسح الآن"، "إشعار أخير"، "سيُعاد طردك اليوم". الاستعجال بصمة الاحتيال، في الرموز كما في الرسائل.

ونصيحة عملية للرموز الملصقة في الأماكن العامة: لاحظ إن كان هناك ملصق فوق آخر. إذا بدا الرمز ملصقًا أُضيف لاحقًا، أو كان يغطي رمزًا آخر تحته، فلا تستخدمه، وادفع من التطبيق الرسمي المثبت على جوالك.

ماذا تفعل إذا مسحت الرمز وأدخلت بياناتك

• أدخلت بيانات بطاقتك في الموقع: اتصل بالبنك فورًا، وأوقف البطاقة واطلب بطاقة جديدة، وراقب الخصومات في الأسابيع التالية.
• ثبّتّ تطبيقًا من الرمز: احذفه، وافحص جوالك ببرنامج حماية، وراجع الأذونات التي منحتها له (الرسائل وإمكانية الوصول والإشعارات هي الأخطر).
• مسحت الرمز فقط ثم أغلقت الصفحة: على الأرجح لم يحدث شيء. المسح وحده لا يثبّت شيئًا ولا يرسل بياناتك؛ يبدأ الخطر عندما تتفاعل مع الموقع.
• أبلغ الأمن العام عبر تطبيق «كلنا أمن» أو شُرَط المناطق إذا خسرت مالًا أو أدخلت بياناتك، مع صور للرمز (وإذا كان في مكان عام، صورة الملصق وموقعه) ولقطات للموقع.
• إذا وصلك الرابط أو الرمز في رسالة نصية احتيالية، فأعد توجيهها مجانًا إلى الرقم 330330، وأبلغ عن الرقم في دليل الأرقام المزعجة.

أسئلة سريعة

هل يمكن أن يُخترق جوالي بمجرد مسح رمز؟ المسح وحده لا: الرمز لا يحتوي إلا على نص (عادة رابط). الخطر في الموقع الذي يقودك إليه وما تفعله فيه: إدخال بيانات، أو تنزيل ملفات، أو منح أذونات. لذلك الحماية هي مراجعة الوجهة قبل الدخول.

هل الروابط المختصرة (مثل bit.ly) هي الشيء نفسه؟ المشكلة نفسها: تُخفي الوجهة. بعض خدمات الاختصار المشروعة تتيح معاينة الرابط قبل فتحه (في بعضها بإضافة "+" إلى نهايته)، لكن القاعدة العملية واحدة: إذا لم تعرف إلى أين يقود الرابط وكان يستعجلك، فلا تضغط واذهب بنفسك إلى القناة الرسمية.

هل يمكن أن يرسل لي البنك رمزًا مشروعًا؟ نعم، مثلًا لربط التطبيق أو تأكيد عملية... ضمن إجراء بدأته أنت. أما الرمز الذي يصلك باسم البنك دون أن تطلب شيئًا فيخضع للقاعدة العامة: لا تستخدمه، وادخل بنفسك إلى التطبيق الرسمي.

كيف أحمي كبار السن من هذا؟ بجملة واحدة: "لا تدفع شيئًا بمسح رمز في الشارع؛ استخدم التطبيق الموجود على جوالك". وذكّرهم بأن الملصقات في الأماكن العامة، كمواقف السيارات، تستحق حذرًا خاصًا. وتجد مزيدًا من النصائح في المدونة.

الخلاصة في سطر: الرمز رابط لا تستطيع قراءته، فاقرأه قبل أن تدخل. امسح، وانظر إلى الرابط، وإذا لم يكن النطاق الرسمي فأغلق الصفحة واذهب بنفسك إلى القناة الرسمية. ثانية التوقف هذه تُبطل الحيلة كلها.