الإعلانات الممولة الخبيثة: كيف تميزها قبل النقر وتتصرف بعده
النتيجة الأولى التي تظهر حين تبحث في قوقل عن اسم بنكك أو برنامج تريد تحميله ليست بالضرورة الموقع الرسمي؛ غالباً هي إعلان مدفوع يستطيع أي شخص شراءه، بما في ذلك محتال ينتحل اسم البنك نفسه. تقول قوقل في تقرير أمان الإعلانات لعام 2025 إنها حظرت أكثر من 8.3 مليار إعلان وعلّقت 24.9 مليون حساب معلن، ومع هذا الحجم تظل حملات انتحال كاملة تعبر الفحص وتتصدر النتائج. والإعلان الممول الشرعي ليس ضاراً بذاته؛ المشكلة أن المخالف لا يُميَّز من شكله بنظرة، بل بثوانٍ من الفحص قبل النقر، وبترتيب صارم في التصرف إن وقعت النقرة الخاطئة.
ثغرة قالب التتبع: نطاق رسمي في الواجهة ووجهة أخرى خلفه
تشترط قوقل أن يطابق نطاقُ الرابط المعروض في الإعلان نطاقَ الوجهة النهائية، وتمنع إعادة التوجيه بين النطاقات في الرابط النهائي. لكنها تسمح بها في حقل ثالث اسمه قالب التتبع، مخصص أصلاً لقياس أداء الحملات، وهنا الثغرة البنيوية: يضع المحتال النطاق الرسمي في الحقلين الظاهرين، ويزرع التحويل الخبيث في قالب التتبع. وحتى حين يُكتشف عدم تطابق الوجهة، فهذه مخالفة تُعالج غالباً بعد المراجعة لا قبلها.
الحالة الموثقة الأوضح (Malwarebytes، سبتمبر 2023): إعلان مزيف لبرنامج Webex تصدّر البحث عارضاً webex.com رابطاً معروضاً ووجهة نهائية معاً، بينما تولّى قالب تتبع على نطاق trixwe.page.link فرز الزوار؛ المستهدفون ذهبوا إلى صفحة تزرع BatLoader الذي ينزّل حصان طروادة DanaBot، وغير المستهدفين — وأنظمة الفحص معهم — وصلوا إلى webex.com الحقيقي. ولا يسلم المعلنون أنفسهم: في يناير 2025 عرضت إعلانات مزيفة النطاق ads.google.com نفسه وقادت إلى صفحات تسرق حسابات المعلنين مع رموز التحقق الثنائي.
درجة احتيال لكل زائر: لماذا لا يرى المراجعون الفخ؟
وثّقت Varonis في فبراير 2026 منصة تمويه تجارية تُدعى 1Campaign تؤدي دور حارس البوابة أمام الصفحة الخبيثة: تحجب الزيارات القادمة من عناوين مزودي السحابة كقوقل ومايكروسوفت وTencent، ومن مراكز البيانات ومخارج VPN عبر فحص سمعة العنوان، وتكشف المتصفحات الآلية، وتستهدف دولاً وأجهزة بعينها، وتمنح كل زائر درجة احتيال من 0 إلى 100. في إحدى الحملات الموثقة لم يرَ الصفحة الخبيثة سوى 10 زوار من أصل 1,676 — أي 0.6% فقط — بينما رأى الجميع، ومنهم مراجعو قوقل، صفحة نظيفة. والاستهداف الجغرافي يعني أن حملة قد تستهدف زوار الخليج تحديداً بينما يفحصها مراجع في أمريكا فلا يجد شيئاً.
افحص المعلن خطوة بخطوة قبل أن تنقر
منذ أكتوبر 2025 تجمع قوقل الإعلانات النصية في كتلة موحّدة تحت ترويسة بارزة، أعلى الصفحة غالباً وقد تتكرر أسفلها؛ اعتد أولاً تحديد أين تنتهي وأين تبدأ النتائج الطبيعية. ثم طبّق هذا الفحص على أي إعلان يعنيك — لنفترض إعلاناً يتصدر بحثك عن Webex:
- اضغط قائمة النقاط الثلاث بجوار الإعلان، وستظهر لك هوية المعلن الموثقة لدى قوقل. إن كان الاسم لشركة لا صلة لها بالجهة التي تبحث عنها — وكالة تصميم مثلاً تعلن عن برنامج اجتماعات — فانصرف فوراً؛ هذا وحده حكم نهائي.
- إن بدا الاسم صحيحاً، افتح مركز شفافية الإعلانات على adstransparency.google.com وابحث باسم المعلن أو نطاق موقعه، مع تصفية بالمنطقة. سترى الاسم القانوني الموثق وموقع المعلن وكل إعلاناته الجارية.
- تذكّر حدود الأداة: توثيق هوية المعلنين بمستندات رسمية يُطرح تدريجياً ولا يشمل الجميع، والأهم أن التوثيق نفسه قد يُختطف. وثّقت Bitdefender في سبتمبر 2025 حساباً موثقاً لوكالة تصميم نرويجية اختُطف ليضخ إعلانات “TradingView Premium” مزيفة على قوقل ويوتيوب توزّع سارق بيانات يعترض حركة الشبكة ويسرق المحافظ.
الخلاصة العملية: الاسم الغريب سبب مؤكد للمغادرة، أما الاسم الصحيح فليس ضمانة أبداً.
رقم دعم وهمي مزروع داخل الموقع الرسمي نفسه
أخبث حيلة وثّقتها Malwarebytes في يونيو 2025 لا تحتاج موقعاً مزيفاً أصلاً: بحث داخلي في الموقع الرسمي يعرض نص الاستعلام كما هو دون تنقية، فيصوغ المحتال رابطاً يضع رقم هاتفه في المعامل، ويشتري إعلاناً يقودك إلى الموقع الحقيقي والرقم الوهمي معروض في صدر الصفحة. استُغلت بهذه الطريقة صفحات دعم وبحث لدى آبل وBank of America وفيسبوك وHP ومايكروسوفت ونتفليكس وPayPal.
انظر إلى بنية الرابط لتفهم الخدعة:
https://www.example-support.com/search?q=Emergency%20Support%20Call%20Now%20%2B1-8XX-XXX-XXXXالترميز %20 مسافة و%2B علامة الجمع؛ ففي شريط العنوان مكتوب فعلياً “Emergency Support Call Now” يليه رقم هاتف، وستهبط على صفحة نتائج بحث داخلية تعرضه بخط عريض. علامات الكشف: رقم هاتف ظاهر داخل شريط العنوان، وعبارات مثل Call Now في الرابط، وترميز كثيف، وصفحة نتائج بحث داخلية مع أنك لم تبحث في الموقع أصلاً. أي رقم دعم موثوق يؤخذ من صفحة الاتصال الرسمية التي كتبت عنوانها بنفسك، أو من ظهر بطاقتك البنكية.
3 حمولات خلف النقرة: سارق بيانات، صفحة بنك، رقم محتال
السيناريو الأول مواقع تحميل مزيفة تزرع سارقات معلومات. برمجية Lumma — كما وصفتها مايكروسوفت في مايو 2025 — تسرق كلمات السر المحفوظة وملفات تعريف الجلسات وبيانات التعبئة التلقائية من متصفحات كروم وفايرفوكس ومشتقاتهما، وملفات محافظ العملات الرقمية وإضافاتها مثل MetaMask، وإعدادات VPN وعملاء البريد والمستندات، وتنتشر عبر الإعلانات الخبيثة وصفحات تحقق مزيفة تطلب منك لصق أوامر بنفسك. الحملات كثيرة: انتحال Slack وNotion وCalendly في أكتوبر 2024 مستهدفة ويندوز وماك معاً، وحصان طروادة باسم DeepSeek في مارس 2025، ومئات الصفحات المستنسخة من ريديت وWeTransfer وزّعت Lumma في يناير 2025. وماك ليس بمنأى: Poseidon من عائلة AMOS انتشر عبر إعلان قوقل مزيف لمتصفح Arc بملف DMG خبيث (Malwarebytes، يونيو 2024) يسرق المحافظ وكلمات سر Bitwarden وKeePassXC وبيانات المتصفحات.
الأخطر في هذا كله ملفات تعريف الجلسات المسروقة، لأنها تتجاوز التحقق الثنائي بالكامل: الملف يمثل جلسة مصادَقاً عليها أصلاً، فإذا زُرع في متصفح المهاجم فُتح حسابك بلا كلمة سر ولا رمز.
السيناريو الثاني صفحات دخول بنكية منتحلة تلتقط اسم المستخدم وكلمة السر ورمز التحقق في اللحظة نفسها، وتظهر لزوار البحث وحدهم بفحص مصدر الزيارة؛ لذا توصية بنوك كثيرة حول العالم شبه موحّدة: لا تنقر نتيجة ممولة لمؤسسة مالية إطلاقاً. وبيانات الدخول المسروقة كثيراً ما تكون الخطوة التي تسبق الاستيلاء على رقم جوالك عبر تبديل الشريحة SIM swap. والسيناريو الثالث أرقام الدعم الوهمية التي يرد عليها محتال يطلب الوصول إلى جهازك. والمشكلة تطال بينق أيضاً: حملة موثقة انتحلت NordVPN في إعلاناته، وأخرى تصيّدت عملاء أحد البنوك من نتائجه. وقفل HTTPS لا يبرّئ أياً منها: بحسب APWG كان 84% من مواقع التصيد يحمل شهادات TLS بحلول أواخر 2020؛ فكل ما يضمنه القفل أن بياناتك ستصل مشفّرة — ولو كان المستلم هو المحتال نفسه.
ممول أم نتيجة طبيعية أم كتابة العنوان بنفسك؟
| ما تبحث عنه | الإعلان الممول | الطريق الأسلم |
|---|---|---|
| بنك أو محفظة رقمية | لا تنقره إطلاقاً | اكتب العنوان يدوياً أو استخدم التطبيق الرسمي |
| برنامج تنوي تحميله | تجاهله ولو بدا مطابقاً | النتيجة الطبيعية بعد التحقق من النطاق الرسمي |
| رقم دعم فني | لا تتصل بأي رقم من نتائج البحث | صفحة الاتصال الرسمية أو ظهر البطاقة |
| تسوق ومقارنات عامة | مقبول بعد فحص اسم المعلن | النتائج الطبيعية عند أي شك |
هذا يوافق ما أوصى به FBI رسمياً: تحقق من الرابط قبل النقر، واكتب العنوان مباشرة بدل البحث، واستخدم حاجب إعلانات — مع أن الحاجب يقلل التعرض ولا يمنع كل شيء. ولتقليل الضوضاء داخل قوقل نفسها أداتان: زر طي الكتلة الممولة الرسمي المطروح منذ 13 أكتوبر 2025، وهو المضمون وإن كان الطي لا يدوم فتعود الكتلة للظهور مع كل بحث جديد؛ واختصار غير موثق رسمياً هو حفظ https://www.google.com/search?q=%s&udm=14 محرك بحث مخصصاً في متصفحك ليفرض عرض “الويب” الكلاسيكي — يعمل حتى يوليو 2026 لكنه قابل للتغيير، وعُدَّه مرشح ضوضاء لا ضمانة خلو من الإعلانات.
نقرت وشغّلت الملف؟ الترتيب أهم من السرعة
سارق البيانات يرفع غنيمته خلال ثوانٍ، وحذف الملف بعدها لا يصلح شيئاً؛ لذا افصل الجهاز عن الإنترنت أولاً وقبل أي شيء. ثم القاعدة التي يكسرها معظم الناس: لا تغيّر أي كلمة سر من الجهاز المصاب، ولا تفتح مدير كلمات السر عليه، ولا توافق على أي إشعار تحقق يصلك — كل تسجيل دخول جديد من جهاز مصاب يسلّم المهاجم جلسة طازجة.
من جهاز آخر نظيف أمّن حساباتك بهذا الترتيب: البريد الإلكتروني أولاً لأنه يستعيد كل ما سواه، ثم مدير كلمات السر، ثم البنوك والمحافظ الرقمية، ثم حسابات قوقل وآبل ومايكروسوفت. ومع كل حساب اضغط “تسجيل الخروج من جميع الأجهزة”، فالرموز المسروقة قد تبقى صالحة حتى بعد تغيير كلمة السر. اتصل ببنكك من الرقم المطبوع خلف بطاقتك، وراقب الحركات، وأعد إصدار البطاقة إن كانت محفوظة في المتصفح. بعدها فحص كامل بمضاد الفيروسات ومراجعة عناصر بدء التشغيل وإضافات المتصفح. أما إن اقتصر الأمر على إدخال بيانات في صفحة تصيد دون تشغيل أي ملف، فيكفي من أي جهاز: تغيير كلمة السر، وإنهاء كل الجلسات، وتفعيل التحقق الثنائي.
بلاغ واحد يقطع الطريق على الضحية التالية
الإعلان الخبيث يبقى يعمل حتى يُبلَّغ عنه. في قوقل استخدم قائمة النقاط الثلاث بجوار الإعلان ثم خيار الإبلاغ عنه، أو أبلغ من داخل مركز شفافية الإعلانات نفسه. في بينق يغطي نموذج Report a Concern لدى مايكروسوفت الإعلانات الخبيثة. وفي السعودية قناتان: تطبيق “كلنا أمن” للجرائم المعلوماتية، وتطبيق “بلاغ تجاري” أو الرقم 1900 لدى وزارة التجارة للإعلانات المضللة.
وتذكّر أن نتائج البحث ليست الباب الوحيد لهذه الأساليب؛ الفكرة نفسها — واجهة تبدو رسمية تخفي وجهة أخرى — تتكرر في احتيال رموز QR الملصقة على المواقف والفواتير. القاعدة الجامعة واحدة: الجهة التي تتعامل معها بمال أو بيانات تصل إليها من عنوان تكتبه بنفسك أو تطبيق رسمي، لا من أول نتيجة تلمع أمامك — مهما بدت مطابقة لما تريد.