العبث برموز QR هو أن يلصق شخص رمز QR مزيفاً فوق الرمز الحقيقي لنشاط تجاري، فيصل الزبائن الذين يمسحونه إلى صفحة احتيال أو يدفعون إلى حساب خاطئ. وتحمي المتاجر نفسها بفحص الرموز بانتظام، واستخدام خامات تكشف العبث، ووضع الرموز في أماكن يراها الموظفون، واستخدام روابط ديناميكية يمكن مراقبتها وتغييرها.
أي رمز QR مطبوع في مكان عام قد يكون هدفاً: رموز الدفع عند الكاشير، ورموز القوائم على الطاولات، والرموز على الملصقات الإعلانية ولافتات المواقف وسيارات التوصيل. والخبر الجيد أن بضع عادات بسيطة تجعل العبث أسهل اكتشافاً وأقل فاعلية بكثير.
كيف يحدث العبث برموز QR؟
الطريقة الأشيع بسيطة تقنياً. يطبع المجرم رمز QR مزيفاً على ملصق بالحجم المناسب ويضعه فوق الرمز الحقيقي. وبالنسبة لزبون مستعجل، يبدو كل شيء طبيعياً.
قد يقوم الرمز المزيف بما يلي:
- فتح موقع مقلَّد يطلب بيانات البطاقة أو بيانات الدخول أو معلومات شخصية.
- عرض رمز دفع لحساب مختلف، فيذهب المال إلى المحتال بدلاً من المتجر.
- قيادة الزائر إلى صفحة تدفعه إلى تنزيل تطبيق أو ملف.
وقد حذّرت هيئات حماية المستهلك والبنوك في عدة دول من ملصقات QR المزيفة على عدادات المواقف وحوامل الدفع واللافتات العامة. وبالنسبة للنشاط التجاري، الضرر مزدوج: يخسر الزبائن أموالهم، وكثيراً ما يلومون المتجر الذي مسحوا فيه الرمز.
علامات تدل على العبث بالرمز
درّب الموظفين على البحث عن هذه العلامات:
- ملصق بحواف بارزة أو فقاعات أو بحجم مختلف قليلاً عن الأصلي.
- رمز يبدو أحدث أو أكثر لمعاناً أو بلون مختلف عن بقية اللافتة.
- رمز ثانٍ موضوع بجانب الأصلي مع رسالة مغرية مثل "امسح هنا للحصول على خصم".
- تلف أو خدوش أو آثار غراء حول منطقة الرمز.
- زبائن يذكرون صفحة غريبة، أو طلب تسجيل دخول، أو اسم حساب غير مألوف عند الدفع.
المسح هو أفضل اختبار. عندما تمسح رمزك بنفسك، يجب أن تكون الوجهة هي الرابط المتوقع بالضبط، أو اسم المستفيد الصحيح إذا كان رمز دفع.
روتين يومي لفحص رموز QR
يستغرق الفحص أقل من دقيقة لكل رمز بعد أن يصبح روتيناً. إليك قائمة بسيطة:
- احتفظ بقائمة بكل رموز QR المعروضة لديك، مع مكانها ووجهتها المتوقعة.
- انظر والمس كل رمز عند الافتتاح. مرّر إصبعك عليه لتشعر بأي طبقة ملصق إضافية.
- امسح عينة بهاتف أحد الموظفين، ويفضّل هاتف مختلف كل يوم، وتأكد من الوجهة.
- افحص رموز الدفع بالتأكد من أن اسم المستفيد الظاهر في التطبيق البنكي يطابق اسم نشاطك التجاري.
- أزل أي شيء غير متوقع فوراً واحتفظ به كدليل، بعد تصويره في مكانه إن أمكن.
- سجّل الفحص في سجل بسيط بالتاريخ والأحرف الأولى من الاسم، لتُلاحظ أي فجوات.
أداة عبر الإنترنت مثل ماسح رموز QR لدينا تعرض الوجهة قبل فتحها، ما يسهّل التأكد من الرابط دون زيارة صفحة لا تثق بها.
اجعل العبث بالرموز أصعب
الاختيارات المادية قد تجعل الملصق الإضافي أوضح أو أصعب.
- اطبع الرمز مباشرة ضمن تصميم اللافتة أو بطاقة القائمة بدلاً من استخدام ملصق منفصل. عندها يبرز أي ملصق مضاف.
- استخدم خامات ملصقات تكشف العبث أو تتلف عند نزعها للرموز التي يجب أن تكون ملصقات. هذه تتمزق أو تُظهر نمطاً إذا حاول أحد نزعها أو تغطيتها.
- ضع الرموز خلف أكريليك شفاف أو داخل إطار حتى لا يمكن لصق شيء فوقها مباشرة.
- أضف اسم نشاطك التجاري وسطراً قصيراً بجانب الرمز، مثل "ادفع فقط إلى: اسم متجرك". فيعرف الزبائن ما يتوقعونه.
- أبقِ الرموز على مرأى من الموظفين. الرموز عند الكاشير أصعب في العبث بكثير من تلك الموجودة على لافتة خارجية غير مراقبة.
- تجنّب تكرار الرموز. كلما زاد عدد الرموز المعروضة، زاد ما عليك فحصه.
استخدم روابط ديناميكية يمكنك مراقبتها
رمز QR الديناميكي يشير إلى رابط قصير يحوّل إلى صفحتك. وهذا يمنحك تحكماً مفيداً:
- يمكنك تغيير الوجهة في أي وقت دون إعادة طباعة، ما يفيد إذا انتقل موقعك أو تعرّضت صفحة للاختراق.
- إحصاءات المسح تُظهر الأنماط الطبيعية. الانخفاض المفاجئ في المسح من موقع معيّن قد يعني أن الرمز هناك غُطّي برمز مزيف.
- الروابط القصيرة المعروفة يسهل التعرّف عليها. يستطيع الزبائن التحقق من أن الرابط يطابق ما يتوقعونه.
في QR-TH، تستخدم الرموز الديناميكية رابطاً قصيراً بصيغة qr-th.com/r/، ويُفحص كل رابط مقابل Google Safe Browsing ويُعاد فحصه كل ليلة. ويمكن للزوار أيضاً رؤية صفحة تحميل تعرض وجهة الرابط قبل فتحه. هذه الميزات لا تمنع أحداً من لصق ملصق مزيف على لافتتك، لكنها تساعدك على ملاحظة المشكلات وإبقاء روابطك نظيفة.
رموز الدفع تحتاج إلى عناية إضافية
رموز الدفع هي الهدف الأكثر إغراءً، لأن الاستبدال الناجح يرسل المال مباشرة إلى المجرم.
- اطلب من الزبائن التحقق من اسم المستفيد في تطبيقهم البنكي قبل التأكيد، واكتب ذلك على اللافتة.
- اعرض رمز دفع ديناميكياً على شاشة أو جهاز دفع بدلاً من ملصق مطبوع ثابت كلما أمكن.
- إذا كنت تستخدم رمز PromptPay QR مطبوعاً، فافحصه كل يوم وأبقِه قريباً من الكاشير.
- إذا أبلغ زبون أنه دفع لاسم مختلف، فأوقف استخدام ذلك الرمز فوراً وتواصل مع بنكك.
يشرح دليلنا عن أمان الدفع عبر QR ما يجب على الزبائن التحقق منه قبل الدفع.
ماذا تفعل إذا وجدت رمزاً مزيفاً؟
- أزل الملصق المزيف واحتفظ به. التقط صوراً قبل الإزالة وبعدها.
- افحص كل رموزك الأخرى فوراً، فقد يكون أكثر من رمز قد استُبدل.
- ضع إشعاراً قصيراً للزبائن إذا كانوا قد مسحوه، يوضح ما يجب أن ينتبهوا له.
- أبلغ الشرطة عن الحادثة، وبنكك إذا تعلّق الأمر برموز دفع.
- استبدل الرمز بنسخة مطبوعة جديدة وراجع مكان وضعه.
الأسئلة الشائعة
كيف أعرف أن ملصق رمز QR مزيف؟
ابحث عن الحواف البارزة، والحجم أو اللمسة المختلفة، وأي شيء موضوع فوق الأصلي. ثم امسحه وتأكد من أن الوجهة أو اسم المستفيد يطابق نشاطك التجاري.
هل يمنع رمز QR الديناميكي العبث؟
لا. يمكن وضع ملصق فوق أي رمز مطبوع. لكن الرمز الديناميكي يساعدك على مراقبة المسح وتغيير الوجهات بسرعة، ما يجعل اكتشاف المشكلات وإصلاحها أسهل.
كم مرة يجب أن أفحص رموز QR؟
الأفضل فحص الرموز في الأماكن العامة أو المزدحمة كل يوم، ويفضّل عند الافتتاح. أما الرموز في الأماكن المخصصة للموظفين أو المراقبة فيمكن فحصها بوتيرة أقل.
ما الذي يجب أن يتحقق منه الزبائن قبل الدفع عبر QR؟
يجب أن يتأكدوا من أن اسم المستفيد والمبلغ في تطبيقهم البنكي يطابقان المتجر قبل الموافقة على الدفع.
حماية رموز QR المطبوعة مسألة روتين في معظمها: اعرف أين رموزك، وافحصها كثيراً، واجعل المزيف سهل الاكتشاف. أنشئ رموزاً ديناميكية قابلة للتتبع عبر مولّد رموز QR المجاني في QR-TH، واستخدم إحصاءات المسح لمراقبة كل موقع.