Quishing: التصيد الاحتيالي عبر رموز QR — كيف تحمي نفسك
رموز QR انتشرت في كل مكان: المطاعم، المواصلات، المطارات، المستشفيات. هذا الانتشار الواسع خلق فرصة جديدة للمحتالين — ما بات يُعرف بـ "Quishing" (دمج بين QR وPhishing). المستخدم يمسح رمزاً ظاهره طبيعي لكنه يقوده لموقع مزيف يسرق بياناته.
ما هو Quishing بالضبط؟
Quishing هو هجوم تصيد احتيالي يستخدم رمز QR بدلاً من رابط نصي. المحتال يُنشئ رمز QR يشير لموقع خبيث مصمم ليبدو شرعياً (بنك، خدمة حكومية، شركة توصيل)، ثم يضع هذا الرمز في مكان يثق فيه الضحية.
لماذا القراصنة يختارون QR على الروابط النصية؟
- لا يمكن رؤية الرابط مسبقاً: رابط نصي مشبوه واضح لمن يقرأه. رمز QR مبهم — لا يعرف أحد ما بداخله قبل مسحه.
- يتجاوز بعض فلاتر البريد الإلكتروني: أنظمة الأمان المُدرَّبة على كشف الروابط الخبيثة قد تفوّتها في شكل صورة QR.
- ينقل الضحية للهاتف: الهواتف عموماً أقل حماية من أجهزة الكمبيوتر في بيئات الشركات (لا VPN، لا برنامج حماية مؤسسي).
أساليب Quishing الشائعة
الملصقات المزيفة في الأماكن العامة
المحتال يطبع ملصق رمز QR خبيث ويلصقه فوق رمز QR شرعي (في مواصلات عامة، مواقف سيارات، محطات وقود). المستخدم يمسح معتقداً أنه يصل لخدمة الدفع أو المعلومات الرسمية، لكنه يصل لصفحة تطلب بيانات بطاقته المصرفية.
كيف حدث ذلك: في ألمانيا وبريطانيا سجّلت السلطات حالات متعددة لملصقات مواقف سيارات مزيفة تطلب الدفع عبر مواقع وهمية.
رموز QR في رسائل البريد الإلكتروني
رسالة تبدو من البنك أو PayPal أو Amazon تطلب "التحقق من حسابك" وتحتوي رمز QR بدلاً من رابط. عند المسح، صفحة مزيفة تبدو شرعية تماماً تطلب الاسم وكلمة المرور وبيانات البطاقة.
رموز QR في طرود الاحتيال
رسالة تزعم أن طرداً لا يمكن توصيله وتطلب مسح رمز QR "لإعادة جدولة التوصيل". الرمز يشير لصفحة تطلب رسوم توصيل صغيرة — لكن ما يُسجَّل هو بيانات بطاقتك بالكامل.
رموز QR في رسائل SMS
"حسابك محظور، امسح الرمز لإعادة التفعيل" — مع رمز QR. يقود لصفحة تصيد تجمع بيانات الدخول.
رموز QR في اجتماعات Zoom و Teams المزيفة
رسائل دعوة لاجتماع مزيف تحتوي رمز QR "للانضمام" — يقود لصفحة تطلب بيانات المؤسسة.
كيف تتعرف على رمز QR خبيث
قبل المسح: سياق الرمز
هل الرمز يبدو مُلصقاً فوق شيء آخر؟ انظر بعناية — هل الرمز جزء من التصميم الأصلي أم ورقة مُضافة لاحقاً؟ حواف الملصق المزيف أحياناً ظاهرة.
هل مصدر الرمز معروف وموثوق؟ رمز في بريد إلكتروني غير متوقع، ملصق في مكان عام بدون اسم جهة واضحة — احذر.
هل يوجد ضغط للتصرف سريعاً؟ "امسح فوراً"، "حسابك سيُغلق"، "انتهز الفرصة" — أساليب الإلحاح علامة تحذيرية.
بعد المسح: قبل التصرف
تحقق من الرابط قبل فتحه: معظم هواتف اليوم تعرض الرابط قبل الانتقال إليه. اقرأه بعناية:
- هل النطاق (Domain) مألوف وصحيح؟
bank.saمقابلbank-secure-update.com - هل يبدأ بـ
https://؟ (ضروري لكن غير كافٍ وحده) - هل النطاق يحتوي أخطاء إملائية مقصودة؟
paypa1.comبدلاً منpaypal.com،arnazon.aeبدلاً منamazon.ae
هل الصفحة تطلب بيانات حساسة بشكل غير متوقع؟ صفحة دفع وقوف السيارات لا يجب أن تطلب كلمة مرور بنكك. صفحة تحقق البريد لا تحتاج رقم بطاقتك.
علامات الصفحة المزيفة
- تصميم مشابه جداً لموقع رسمي لكن الرابط مختلف.
- خطأ في الشعار أو الألوان أو اللغة.
- نموذج يطلب كل بياناتك دفعة واحدة.
- الصفحة لا تحتوي على رابط "اتصل بنا" أو "عن الشركة".
- شهادة SSL (القفل الأخضر) موجودة لكن اسم الموقع غريب — المحتالون يحصلون على شهادات SSL أيضاً.
حماية نفسك: الممارسات الآمنة
لا تمسح رموز QR غير موثوقة: خاصة في رسائل غير متوقعة أو ملصقات في أماكن عامة مشبوهة.
تحقق من الرابط قبل الانتقال: معظم الهواتف تعرضه — اقرأه قبل النقر.
استخدم تطبيق أمان على هاتفك: بعض تطبيقات الحماية تتحقق من الروابط تلقائياً عند المسح.
لا تُدخل بيانات حساسة بعد مسح رمز QR مجهول: إن طُلب منك كلمة مرور أو بيانات بطاقة بعد مسح رمز، تحقق يدوياً من الموقع الرسمي أولاً.
للشركات والمؤسسات: دوّر على موظفيك هذه المعلومات كجزء من برنامج التوعية الأمنية — خاصة للموظفين الذين يعملون في بيئات هجينة (مكتب/منزل).
رموز QR التي ليست خطرة: السياق مهم
ليس كل رمز QR خطيراً. الغالبية العظمى شرعية. المبدأ ليس "لا تمسح أي رمز" بل "كن واعياً بالسياق":
- رمز QR على طاولة مطعم معروف: آمن في الغالب.
- رمز QR من بريد إلكتروني بنكي غير متوقع: توقف وتحقق.
- رمز QR على ملصق في الشارع بلا اسم جهة: احذر.
- رمز QR من صديق أو زميل ثقة: آمن.
أداة مفيدة: بعض قارئات QR على الهاتف تسمح برؤية الرابط الكامل قبل الانتقال. فعّل هذه الميزة إن كانت متاحة في إعدادات الكاميرا.
ماذا تفعل إن وقعت ضحية لـ Quishing؟
فوراً:
- لا تُتمّ أي معاملة مالية.
- أغلق الصفحة.
- إن أدخلت كلمة مرور: بدّلها فوراً من جهاز آمن.
- إن أدخلت بيانات بطاقة: اتصل ببنكك على الرقم الرسمي الموجود خلف البطاقة لتجميدها.
لاحقاً:
- أبلّغ الجهة التي انتحل الرمز هويتها.
- في السعودية: ابلّغ المركز الوطني للأمن السيبراني.
- في الإمارات: ابلّغ هيئة تنظيم الاتصالات.
- في مصر: ابلّغ الجهاز القومي لتنظيم الاتصالات.
الخلاصة
Quishing خطر حقيقي وآخذ في الانتشار مع زيادة اعتمادنا على رموز QR. الوقاية ليست معقدة: تحقق من سياق الرمز، اقرأ الرابط قبل الانتقال، لا تُدخل بيانات حساسة دون تأكد من الجهة. الرمز في حد ذاته أداة محايدة — الخطر في من يُنشئه وأين يُوجّهك.
لإنشاء رموز QR آمنة لأعمالك بدون تتبع وبدون تسجيل، استخدم https://qrcito.com/ar/.