احتيال رموز QR (quishing): كيف تحمي نفسك

الملصق الصغير يُلصق فوق رمز أصلي على عدّاد مواقف أو قائمة طعام أو ماكينة دفع، ومن يمسحه بحسن نية يفتح صفحة مصمّمة لسرقة بطاقته أو بيانات دخوله. هذه حيلة احتيال رموز QR، المعروفة عالمياً باسم quishing. والرمز نفسه لا يحمل ضرراً؛ هو شيفرة مطبوعة لعنوان لا أكثر، والخطر كله في الوجهة التي يقودك إليها وفيما تكتبه بعد المسح: كلمة مرورك أو رقم بطاقتك. لكنك حين تفهم لماذا تنجح الحيلة تقنياً، وتعرف أشكالها الموثّقة حول العالم، تكشفها قبل أن تصل إلى سؤال «ماذا أفعل لو وقعت».

ما الذي يخبّئه المربع المرقّط ولا تقرؤه عينك؟

الحيلة تنجح لسبب بسيط: أنت تثق بشيء لا تستطيع قراءته. الرمز يشفّر حمولة نصية لا تفكّها العين البشرية، فلا فرق أمامك بين رمز يفتح قائمة طعام وآخر يفتح صفحة تسرق بطاقتك. والأدهى أن مواصفة QR صُمّمت أصلاً لتتحمّل التلف: تصحيح الأخطاء بخوارزمية Reed-Solomon يعمل على 4 مستويات، يتحمّل أدناها L نحو 7% من التلف، ثم M نحو 15%، وQ نحو 25%، وH نحو 30%. أي أن رمزاً غُطّي جزء منه أو عُدّلت بعض مربعاته قد يُمسح بنجاح كامل، وهو ما يمنح المحتال هامش عبث واسعاً دون أن يفسد الرمز.

ثم إن الحمولة ليست رابط ويب دائماً، وكل نوع منها يغيّر شكل الهجوم:

الحمولة داخل الرمز	ما يحدث عند المسح	شكل الهجوم المحتمل
رابط ويب	فتح صفحة في المتصفح	صفحة تصيّد تلتقط بطاقتك أو بيانات دخولك
بيانات شبكة Wi-Fi	اقتراح الاتصال بالشبكة	شبكة يديرها المهاجم ويراقب منها اتصالك
بطاقة اتصال vCard	إضافة جهة اتصال جديدة	حفظ رقم المحتال باسم «البنك» تمهيداً لمكالمة لاحقة تبدو موثوقة
رسالة SMS جاهزة	فتح تطبيق الرسائل برسالة مكتوبة مسبقاً	اشتراك بخدمة مدفوعة أو تأكيد أن رقمك نشط
رابط تنزيل تطبيق	تنزيل ملف تثبيت من خارج المتجر	تطبيق خبيث بصلاحيات واسعة على جهازك

من عدّادات سان أنطونيو إلى رسائل سويسرا الورقية: ملصقات موثّقة

في ديسمبر 2021 اكتشفت مدينة سان أنطونيو الأميركية ملصقات مزيّفة على أكثر من 100 عدّاد مواقف، وبعدها بأسابيع، في يناير 2022، وجدت أوستن نحو 29 عدّاداً عليها رموز تقود إلى نطاق passportlab.xyz لالتقاط بيانات الدفع. وفي يناير 2025 حذّرت بلدية كنزينغتون وتشيلسي في لندن من ملصقات على أجهزة مواقفها، والمفارقة التي تلخّص الدرس كله: نظام مواقف البلدية لا يستخدم رموز QR أصلاً، فكل رمز وجدته هناك مزروع. المحتال لا يحتاج إلى رمز أصلي يغطّيه؛ يكفيه سطح فارغ وجمهور معتاد على المسح.

وفي 2024 ظهرت رموز مزيّفة على شواحن السيارات الكهربائية في بريطانيا وفرنسا وألمانيا تقلّد واجهة مشغّل الشحن Ubitricity. أما الأغرب فجاء من سويسرا في نوفمبر 2024: رسائل ورقية بالبريد العادي تنتحل هيئة الأرصاد السويسرية وتدعو لمسح رمز ينزّل نسخة مزيّفة من تطبيق Alertswiss تحمل حصان طروادة مصرفياً يُعرف باسم Coper أو Octo2، ووصفها المركز الوطني السويسري للأمن السيبراني بأنها المرة الأولى التي يُرصد فيها توزيع برمجية خبيثة عبر البريد الورقي في سويسرا. وقبلها كانت لجنة التجارة الفيدرالية الأميركية قد أصدرت تنبيهاً للمستهلكين من الحيلة في ديسمبر 2023. والقائمة نفسها تمتد إلى محيطك اليومي: ملصق «غرامة» على زجاج سيارتك، وطرد «فشل تسليمه» لم تنتظره، ورمز «مكافأة» يدّعي أنه من بنكك.

حين ينتقل الرمز إلى بريدك داخل ملف PDF

وفق قياسات Cisco Talos في نوفمبر 2024، لا تتجاوز رسائل البريد الحاملة لرموز QR ما بين 0.01% و0.2% من البريد العالمي، لكن نحو 60% من هذه الرسائل تحديداً دعائي أو خبيث، وأغلب الرموز الخبيثة تتنكّر في هيئة طلبات مصادقة متعددة العوامل تستعجلك «لتأمين حسابك». ورصدت Barracuda في أكتوبر 2024 أكثر من 500,000 رسالة تصيّد خلال 3 أشهر يختبئ الرمز فيها داخل ملف PDF مرفق، وتصدّرت مايكروسوفت العلامات المنتحلة بنسبة 51%، تليها DocuSign بنسبة 31% ثم Adobe بنسبة 15%.

وسرّ اختيار الرمز وسيلةً أنه يفلت من أنظمة الحماية: الرابط مخبّأ داخل صورة لا في نصّ يفحصه فلتر البريد، والمسح ينقلك من حاسوب العمل المحمي إلى هاتفك الشخصي خارج حماية الشبكة، فتقع المسؤولية عليك وحدك.

رموز تراوغ الفاحصات: الجيل الثاني من التمويه

أدوات الفحص تحسّنت، والتمويه لحق بها. بعض المهاجمين يمرّر الضحية عبر إعادة توجيه مفتوحة في نطاق شرعي معروف، فيبدو أول العنوان بريئاً بينما المحطة الأخيرة صفحة تصيّد. وبعضهم يستخدم رمزاً نظيفاً تماماً يقود عبر خدمة مسح شرعية إلى رمز ثانٍ هو الخبيث فعلاً، فلا تجد أدوات الفحص في الرمز الأول ما تحجبه. والأكثر مكراً: إخفاء صفحة التصيّد خلف اختبار تحقق بشري مثل CAPTCHA أو خدمة Turnstile من كلاودفلير، فحين تحاول فاحصات آلية مثل urlscan.io زيارة الرابط تصطدم بالاختبار ولا ترى الصفحة الخبيثة خلفه أبداً. والدرس المباشر: صفحة تطلب إثبات أنك لست روبوتاً ليست دليل شرعية؛ بل صارت أحياناً أداة إخفاء بحد ذاتها.

كيف تقرأ معاينة الرابط قراءة تكشف الزيف؟

كاميرا آيفون تعرض العنوان قبل الفتح، وعلى أندرويد تفعل الكاميرا أو عدسة قوقل الشيء نفسه. لكن المعاينة تُظهر الرابط ولا تحكم على أمانه، والفيصل هو قراءتك أنت: النطاق الحقيقي هو ما يسبق أول شرطة مائلة مباشرة، فعنوان مثل paypal.com.evil.tld يعود ملكه إلى evil.tld ولا صلة له بخدمة الدفع التي يوحي بها أوله. وهناك حروف سيريلية تطابق شكل اللاتينية تماماً، فما تقرؤه عينك apple.com قد يكون فعلياً النطاق xn—80ak6aa92e.com المكتوب بحروف سيريلية بالكامل. والنطاقات المتشابهة والروابط المختصرة تخدع العين بالطريقة ذاتها التي تعتمدها الإعلانات الممولة الخبيثة في نتائج البحث.

حتى المعاينة نفسها ليست معصومة: ثغرة تاريخية في معاينة كاميرا آيفون كانت تعرض نطاقاً غير الذي يُفتح فعلياً، وأُصلحت في iOS 11.3.1 عام 2018. المعاينة ضرورية إذاً، لكنها ليست برهاناً قاطعاً. وتتوسّع الهواتف الحديثة في رصد لحظة الخطر، كما في مقال آبل تكشف Trust Insights في iOS 27 لرصد الاحتيال لحظة وقوعه، غير أن هذه الأدوات تسند قرارك ولا تحلّ محلّه.

بعد الفتح يقارن سفاري العنوان بقوائم المواقع الاحتيالية عبر خدمة Safe Browsing من قوقل، ويأتي كروم على أندرويد بالخدمة مفعّلة افتراضياً. لكن حدّهما واحد: القوائم تصطاد المواقع المعروفة مسبقاً فقط، وصفحات التصيّد تعيش ساعات ثم تختفي قبل أن تُدرج فيها.

الرمز الموثوق في السعودية يعمل داخل التطبيق لا الكاميرا

المسح عادة يومية راسخة في السعودية، وإذا عرفت شكلها الصحيح امتلكت مقياساً يكشف الدخيل. رمز الفاتورة الإلكترونية الذي أوجبته هيئة الزكاة والضريبة والجمارك منذ ديسمبر 2021 يحمل حقول بيانات — اسم البائع والرقم الضريبي والإجماليات — لا رابط ويب، ولا يفتح موقعاً أبداً؛ فرمز فاتورة يقودك إلى صفحة دفع خرج عن المواصفة نفسها. ومعيار مدى الوطني الموحّد للدفع بالرمز، الذي بدأت المدفوعات السعودية التابعة للبنك المركزي السعودي إطلاقه منذ 2019، يعمل من داخل تطبيق البنك أو المحفظة: تفتح تطبيقك أنت، ثم تمسح من داخله، فيعرض اسم المستفيد والمبلغ على شاشتك قبل الاعتماد النهائي.

هذه هي القاعدة التي تكشف أغلب التزوير: الدفع بالمسح يبدأ من داخل التطبيق لا من الكاميرا. رمز يفتح صفحة دفع في المتصفح ويطلب رقم بطاقتك كاملاً ليس شكل الدفع في أي محفظة معتمدة، حتى لو أوهمك أنه STC Pay أو مدى. وفي المطاعم: رمز الطاولة يفتح قائمة طعام، فإن طلب تسجيل دخول أو دفعاً مسبقاً قبل أن ترى صنفاً واحداً فقد خرجت عن الإجراء الطبيعي. والمخالفات المرورية تُسدَّد عبر سداد من تطبيق بنكك أو من أبشر، ولا تصلك في صورة ملصق على الزجاج. وحملتا التوعية «خلّك حريص» و«مو عادي» مرجعان جيدان لتحديث معرفتك بأساليب الاحتيال المتجددة.

متى تمسح الرمز ومتى ترفض الملصق؟

مبدأ واحد يغنيك عن بقية القواعد: لا تمسح إلا رمزاً بدأتَ أنت إجراءه ووصلك من مصدر تعرفه، أما ما يهبط عليك فجأة أو يستعجلك فالأصل فيه أنه فخّ، وعبء الإثبات عليه لا عليك. وقبل المسح افحص الملصق مادياً: هل هو ورقة ملصقة فوق أخرى؟ هل حوافه مرفوعة أو لونه مختلف عن الطباعة الأصلية؟ ولا تُدخل بيانات دخول أو دفع في صفحة وصلتك من مسح؛ أغلقها وافتح التطبيق الرسمي أو اكتب عنوان الموقع بيدك. ولا تنزّل تطبيقاً يطلبه الرمز إلا من المتجر الرسمي، لا من رابط مباشر.

وصحّح 3 مفاهيم شائعة: «الرمز نفسه فيروس» غير صحيح، فهو عنوان فقط والضرر يبدأ بعد فتح الوجهة والتفاعل معها. «قارئ QR مدفوع يحميني» لا لزوم له، فالكاميرا الأصلية كافية والحماية سلوك لا تطبيق. «وجود HTTPS يعني أن الموقع صادق» خطأ شائع، فالقفل يعني تشفير الاتصال فقط، ومواقع الاحتيال تحصل عليه بسهولة.

بعد مسح خاطئ: خطآن يضاعفان الخسارة وترتيب ينقذك

قبل قائمة الإجراءات، احذر الخطأين اللذين يحوّلان المسح الخاطئ إلى خسارة فعلية: إدخال رمز OTP في الصفحة نفسها — وهو تحديداً ما تنتظره أغلب صفحات التصيّد المتنكرة في هيئة طلبات مصادقة — والاتصال بالرقم المعروض على الصفحة المزيّفة، فأنت حينها تهاتف المحتال نفسه.

السرعة بعد ذلك تختصر حجم الخسارة، فبطاقة تُوقَف خلال دقائق أرحم من بلاغ بعد ساعة، والترتيب نفسه يفرق:

• أوقف البطاقة وأبلغ بنكك من الرقم المطبوع على ظهرها أو من داخل تطبيقه، لا من رقم معروض أمامك أو تبحث عنه.
• غيّر كلمة المرور من التطبيق الرسمي لا من أي رابط، وأنهِ الجلسات المفتوحة من إعدادات الحساب؛ فالتغيير وحده لا يطرد من دخل فعلاً.
• فعّل التحقق بخطوتين إن لم يكن مفعّلاً، وقدّم تطبيق مصادقة أو مفتاح مرور متى عرض عليك الحساب الخيارين؛ وإن كانت الرسالة النصية خيار الحساب الوحيد فلا تتركه مكشوفاً بانتظار وسيلة أقوى. والمفاضلة كاملة في المصادقة الثنائية: رسالة نصية أم تطبيق أم مفتاح أمان.
• راقب حسابك أياماً بحثاً عن أي عملية لم تجرها، ورمز التحقق لا يُملى في مكالمة ولا يُكتب في صفحة خارجية، أياً كانت الصفة التي يتقدّم بها الطالب.

وإن كان ما سُرق يشمل رقم هاتفك وبياناتك الشخصية، فالخطر التالي أكبر من بطاقة: هجمة تبديل الشريحة SIM swap تبدأ غالباً ببيانات جُمعت بتصيّد مشابه ثم تُستخدم لانتحال شخصيتك أمام شركة الاتصالات.

للإبلاغ داخل السعودية: البلاغ الجنائي يُقدَّم عبر تطبيق «كلنا أمن» أو من أبشر، أما تحويل الرسالة المشبوهة إلى الرقم 330330 فيفيد في حجب المرسِل ولا يقوم مقام البلاغ. وترتيب الساعة الأولى كاملاً، من البنك إلى الحساب إلى قنوات البلاغ، في حماية حسابك من الاحتيال الإلكتروني: من أين تبدأ.

يبقى أن فخّ رمز QR يختلف عن غيره في شيء واحد: أنه مادي. صفحة تصيّد تُحجب من الشبكة، أما الملصق فيظلّ في مكانه حتى ينزعه إنسان. ولهذا فالخطوة التي لا يفعلها أحد تقريباً — أن تصوّر الملصق في مكانه وتخبر صاحب المحل أو الجهة المسؤولة — هي وحدها ما ينهي الحيلة عند مصدرها بدل أن تصطاد من يأتي بعدك.