احتيال رموز QR، الذي يُعرف غالباً باسم Quishing أو التصيّد عبر رموز QR، يستخدم رمز QR لإرسالك إلى موقع مزيف يسرق كلمات المرور أو بيانات البطاقة أو المال. ولأنك لا تستطيع قراءة رمز QR بعينك، يخفي المحتالون روابطهم الضارة داخله. وأفضل وسيلة للحماية بسيطة: اقرأ دائماً معاينة الرابط قبل فتحه أو الدفع.
رموز QR مريحة، وهذا بالضبط ما يجعل المجرمين يحبونها. إليك كيف يعمل هذا النوع من الاحتيال وكيف تكتشفه.
ما هو التصيّد عبر رموز QR (Quishing)؟
كلمة Quishing مزيج من "QR" و"Phishing" أي التصيّد الاحتيالي. والتصيّد هو أي خدعة ينتحل فيها شخص صفة جهة موثوقة، مثل بنك أو شركة توصيل أو جهة حكومية، ليدفعك إلى تسليم معلومات حساسة. والتصيّد عبر رموز QR يفعل الشيء نفسه، لكنه يوصل الرابط المزيف عبر رمز QR بدلاً من رابط قابل للنقر.
ينجح هذا الأسلوب مع المحتالين لعدة أسباب:
- لا يمكنك رؤية الرابط. رمز QR يبدو متطابقاً سواء قادك إلى بنكك أو إلى نسخة مزيفة منه.
- ينقلك إلى هاتفك. على الشاشة الصغيرة يصعب فحص شريط العنوان أو ملاحظة اسم نطاق فيه خطأ إملائي بسيط.
- قد يتجاوز أنظمة التصفية. فلاتر البريد والرسائل بارعة في رصد الروابط المريبة في النص، لكن الرابط المخفي داخل صورة قد يكون أصعب في الاكتشاف.
- الناس يثقون برموز QR. نمسحها كل يوم في المطاعم والمتاجر، فنادراً ما نتوقف للتفكير.
وقد حذّرت هيئات حماية المستهلك والبنوك في دول كثيرة الجمهور من احتيال رموز QR، خاصة الرموز المزيفة على عدادات المواقف ولافتات الدفع وفي رسائل البريد الإلكتروني.
أين تظهر عمليات احتيال رموز QR؟
يمكن أن يظهر هذا الاحتيال في أي مكان يُتوقع فيه وجود رمز QR. ومن أكثر الأماكن شيوعاً:
- ملصقات على الأماكن العامة. رمز مزيف ملصق فوق الرمز الحقيقي على عداد مواقف أو شاحن سيارات كهربائية أو محطة تأجير دراجات أو موقف حافلات.
- نقاط الدفع. رمز دفع مستبدل في متجر أو بسطة سوق يحوّل المال إلى المحتال بدلاً من التاجر.
- رسائل البريد الإلكتروني. رسائل تزعم أن كلمة مرورك ستنتهي، أو أن مستنداً يحتاج إلى توقيع، أو أن حسابك مقفل، مع رمز QR "لحل المشكلة".
- الرسائل الورقية وإشعارات الطرود. بطاقات مزيفة عن طرد لم يُسلَّم أو خطابات تبدو رسمية تطلب منك المسح ودفع رسم صغير.
- المنشورات والملصقات الإعلانية. عروض أجمل من أن تكون حقيقية، مثل هدايا مجانية أو خصومات ضخمة، تقودك إلى متجر مزيف أو نموذج لجمع البيانات.
- وسائل التواصل الاجتماعي والمحادثات. رموز تُشارك في المجموعات أو الرسائل الخاصة، غالباً مع إحساس بالاستعجال.
للاطلاع على سيناريوهات واقعية أكثر تفصيلاً، راجع دليلنا عن أشهر عمليات احتيال رموز QR.
علامات التحذير من رمز QR مزيف
لا تحتاج إلى مهارات تقنية لاكتشاف معظم عمليات احتيال رموز QR. انتبه لهذه الإشارات:
- ملصق فوق رمز آخر. مرّر إصبعك على الرمز. إذا شعرت ببروز، أو كانت أطرافه تتقشر، أو بدا أحدث من اللافتة المحيطة به، فكن حذراً.
- رابط لا يتطابق. تُظهر المعاينة نطاقاً ليس النطاق الحقيقي للجهة، أو فيه تهجئة غريبة، أو سلسلة طويلة من الأحرف العشوائية.
- الاستعجال أو التهديد. عبارات مثل "سيُغلق حسابك اليوم" أو "ادفع خلال ساعة" أسلوب ضغط تقليدي.
- طلب بيانات الدخول أو البطاقة. عداد المواقف أو قائمة الطعام أو إشعار الطرد نادراً ما يحتاج إلى كلمة مرور حسابك البنكي.
- تنزيل تطبيق لم تتوقعه. كن شديد الحذر إذا طلب منك رمز QR تثبيت تطبيق، خاصة من خارج المتجر الرسمي.
- رمز QR في بريد إلكتروني يطلب تسجيل الدخول. الخدمات الحقيقية عادةً تتيح لك الدخول بزيارة موقعها أو تطبيقها مباشرة.
- اسم مستفيد خاطئ عند الدفع. إذا لم يكن الاسم الظاهر في تطبيق البنك هو اسم المتجر الذي تدفع له، فتوقف.
كيف تحمي نفسك من احتيال رموز QR؟
العادات الجيدة تجعل هذا الاحتيال أقل فاعلية بكثير. إليك قائمة عملية:
- اقرأ المعاينة أولاً. تعرض الكاميرا الرابط قبل فتحه. خذ ثانيتين لقراءة النطاق.
- اذهب مباشرة عند الشك. بدلاً من المسح، اكتب عنوان موقع الشركة بنفسك أو افتح تطبيقها الرسمي.
- تحقّق من المستفيد قبل الدفع. تطبيقات البنوك تعرض اسم من سيستلم المال. تأكد أنه يطابق النشاط التجاري. يشرح دليلنا عن أمان الدفع عبر QR ذلك بالتفصيل.
- لا تُدخل كلمات المرور بعد مسح رمز مجهول. إذا طلبت منك صفحة تسجيل الدخول، فأغلقها وادخل عبر التطبيق الرسمي.
- فعّل التحقق بخطوتين. حتى لو سُرقت كلمة المرور، يضيف تطبيق المصادقة حاجزاً ثانياً.
- حدّث هاتفك باستمرار. التحديثات الأمنية تسد الثغرات التي قد تحاول الصفحات الضارة استغلالها.
- استخدم ماسحاً يعرض الوجهة بأمان. عندما تشك، امسح الرمز بأداة تعرض لك الوجهة قبل فتح أي شيء.
في QR-TH، يُفحص كل رابط قصير مقابل Google Safe Browsing عند إنشائه، ثم يُعاد فحصه كل ليلة. ويمكن للزوار أيضاً رؤية صفحة تحميل تعرض وجهة الرابط قبل فتحه. هذه الأدوات مفيدة، لكنها تعمل بأفضل شكل إلى جانب حكمك الشخصي.
ماذا تفعل إذا مسحت رمز QR مزيفاً؟
إذا أدركت أنك فتحت صفحة مريبة، فتصرّف بسرعة وهدوء:
- أغلق الصفحة ولا تُدخل أي شيء آخر.
- إذا كتبت كلمة مرور، فغيّرها فوراً على الموقع الحقيقي، وفي أي مكان آخر استخدمت فيه كلمة المرور نفسها.
- إذا أدخلت بيانات بطاقة أو حساب بنكي، فاتصل ببنكك فوراً عبر الرقم المدوّن على بطاقتك أو في التطبيق الرسمي.
- إذا ثبّت تطبيقاً، فاحذفه وشغّل الفحص الأمني في هاتفك.
- أبلغ النشاط التجاري أو المكان عن الرمز ليزيله، وأبلغ الجهات المختصة إذا خسرت مالاً.
يشرح دليلنا خطوة بخطوة ماذا تفعل بعد مسح رمز QR ضار بتفصيل أكبر.
نصائح لأصحاب الأعمال
إذا كنت تعرض رموز QR، يمكنك أن تصعّب الأمر على المحتالين. افحص الرموز المطبوعة بانتظام بحثاً عن الملصقات، ودرّب الموظفين على ملاحظة العبث، واستخدم رموز QR الديناميكية على نطاق تتحكم فيه لترى إحصاءات المسح وتحدّث الروابط بسرعة. كما أن طباعة اسم نشاطك التجاري بجوار رموز الدفع تساعد العملاء على التأكد من أنهم يدفعون للجهة الصحيحة.
الأسئلة الشائعة
هل يمكن أن يخترق مسح رمز QR هاتفي؟
مسح رمز QR وحده لا يخترق هاتفك. الخطر يأتي مما تفعله بعد ذلك: زيارة موقع مزيف، أو إدخال بياناتك، أو تثبيت تطبيق. تحقق دائماً من الرابط قبل فتحه.
كيف أعرف أن رمز QR مزيف؟
ابحث عن ملصقات موضوعة فوق رموز أخرى، واقرأ معاينة الرابط بعناية، وكن متشككاً في أي صفحة تطلب كلمات مرور أو بيانات بطاقة أو دفعاً عاجلاً. وإن لم تكن متأكداً، فادخل إلى الموقع الرسمي مباشرة.
هل رموز QR في رسائل البريد الإلكتروني آمنة؟
تعامل معها بحذر مضاعف. رمز QR في بريد إلكتروني يطلب منك تسجيل الدخول أو تأكيد حساب أو دفع رسوم هو خدعة تصيّد شائعة. اذهب إلى الخدمة مباشرة بدلاً من المسح.
لمن أبلّغ عن احتيال رمز QR؟
أخبر النشاط التجاري أو المكان الذي وجدت فيه الرمز، وتواصل مع بنكك إذا كان الأمر يتعلق بمال أو بيانات بطاقة، وأبلغ الشرطة أو جهة حماية المستهلك في بلدك.
يعتمد احتيال رموز QR على أن يمسح الناس الرموز دون تفكير. وتوقّف لثانيتين لقراءة الرابط غالباً كل ما تحتاجه لتبقى آمناً. في المرة القادمة التي تشك فيها برمز ما، استخدم ماسح QR عبر الإنترنت من QR-TH لترى إلى أين يقود فعلاً قبل أن تفتحه.