احتيال رموز QR (quishing): كيف تحمي نفسك
الملصق المزيّف يُلصق فوق رمز أصلي على عدّاد مواقف أو قائمة طعام أو ماكينة دفع، ومن يمسحه بحسن نية يفتح صفحة مصمّمة لسرقة بطاقته أو بيانات دخوله. هذه حيلة احتيال رموز QR، ويسميها المختصون quishing أو QR phishing. المفارقة أن الرمز نفسه لا يحمل ضرراً؛ الخطر في الوجهة التي يقودك إليها، وفيما تفعله بعد المسح. الرمز مجرد شيفرة مطبوعة لعنوان، ومن يفتح باب السرقة هو أنت، لحظة تكتب كلمة مرورك أو رقم بطاقتك.
كيف تُنفَّذ الحيلة
الرمز يشفّر رابطاً، والمسح يفتحه، فتظهر صفحة تصيّد تطلب بياناتك، أو يبدأ تنزيل تطبيق خبيث، أو تُعرض عليك شاشة دفع مزيّفة. وأكثر الطرق رواجاً هي أبسطها وأصعبها ملاحظةً: ملصق صغير جديد يغطّي الرمز الأصلي، فتبقى الواجهة سليمة المظهر بينما الوجهة مسروقة بالكامل.
تفلت الحيلة أحياناً من أنظمة الحماية لأن الرابط مخبّأ داخل صورة، لا في نصّ يفحصه فلتر البريد أو الرسائل. والمسح يجري غالباً على هاتفك الشخصي، خارج حماية شبكة العمل، فتقع المسؤولية عليك وحدك.
أين تكثر: سيناريوهات من محيطك
- عدّادات ومواقف السيارات: ملصق «غرامة» أو «ادفع رسوم الوقوف» على زجاج سيارتك، يقودك إلى صفحة تلتقط بطاقتك.
- قوائم المطاعم: رمز الطاولة مستبدَل بآخر يطلب «تسجيل الدخول» أو دفعاً مسبقاً.
- ملصقات دفع مزيّفة: رمز يوهمك بالدفع عبر STC Pay أو مدى بالمسح، والمبلغ يذهب إلى جهة أخرى.
- الطرود: رسالة «فشل التسليم» أو «طرد هدية» لم تنتظره، مع رمز لدفع «رسوم» صغيرة.
- إعادة تعيين كلمة مرور أو «مكافأة»: رمز يدّعي أنه من بنكك أو متجرك المفضل.
متى أمسح ومتى أرفض؟
هنا يُحسم الأمان عملياً. مبدأ واحد يغنيك عن بقية القواعد: لا تمسح إلا رمزاً بدأتَ أنت إجراءه ووصلك من مصدر تعرفه. أما ما يهبط عليك فجأة أو يستعجلك، فعامله فخّاً حتى يثبت العكس.
قبل أن تفتح الرابط، عاينه. كاميرا آيفون تعرض العنوان قبل الفتح، وعلى أندرويد تفعل الكاميرا أو Google Lens الشيء نفسه. لكن المعاينة تُظهر الرابط ولا تحكم على أمانه؛ النطاقات المتشابهة والروابط المختصرة تخدع العين بسهولة، وهي الحيلة ذاتها التي تعتمدها الإعلانات الممولة الخبيثة في نتائج البحث.
- لا تُدخل بيانات دخول أو دفع في صفحة وصلتك من مسح. أغلقها، وافتح التطبيق الرسمي أو اكتب عنوان الموقع بيدك.
- افحص الملصق مادياً: هل هو ورقة ملصقة فوق أخرى؟ هل حوافه مرفوعة أو لونه مختلف عن الطباعة الأصلية؟
- لا تنزّل تطبيقاً يطلبه الرمز إلا من المتجر الرسمي، لا من رابط مباشر.
- في الدفع بالمسح، أكّد اسم المتجر والمبلغ على شاشتك قبل الاعتماد النهائي.
تتوسّع الهواتف الحديثة في رصد لحظة الخطر، كما في مقال آبل تكشف Trust Insights في iOS 27 لرصد الاحتيال لحظة وقوعه، لكن هذه الأدوات تسند قرارك ولا تحلّ محلّه.
مفاهيم خاطئة تصحّحها الآن
«الرمز نفسه فيروس»: غير صحيح، هو عنوان فقط، والضرر يبدأ بعد فتح الوجهة والتفاعل معها. «قارئ QR مدفوع يحميني»: لا لزوم له، فالكاميرا الأصلية كافية، والحماية سلوك لا تطبيق. «وجود HTTPS يعني أن الموقع صادق»: خطأ شائع، القفل يعني تشفير الاتصال فقط، ومواقع الاحتيال تحصل عليه بسهولة.
ماذا تفعل لو وقعت؟
السرعة هنا تختصر حجم الخسارة، فبطاقة تُوقَف خلال دقائق أرحم من بلاغ بعد ساعة:
- غيّر كلمة المرور فوراً من التطبيق الرسمي، لا من أي رابط.
- أوقف البطاقة وأبلغ بنكك عبر رقمه الرسمي أو تطبيقه.
- فعّل التحقق بخطوتين (2FA)، وراقب رمز OTP ولا تسلّمه لأحد.
- راقب حسابك أياماً بحثاً عن أي عملية لم تجرها.
وإن كان ما سُرق يشمل رقم هاتفك وبياناتك الشخصية، فالخطر التالي أكبر من بطاقة: هجمة تبديل الشريحة SIM swap تبدأ غالباً ببيانات جُمعت بتصيّد مشابه، ثم تُستخدم لانتحال شخصيتك أمام شركة الاتصالات.
للإبلاغ داخل السعودية: أعد توجيه الرسائل المشبوهة إلى الرقم 330330، وبلّغ عن الاحتيال عبر منصة «كلنا أمن». بلاغك المبكر قد يوقف الحملة نفسها قبل أن تطال الضحية التالية.