ملصق رمز QR المزيف هو رمز يلصقه شخص ما فوق رمز أصلي، أو رمز يوضع في مكان لا يفترض وجود رمز فيه أصلًا، بحيث ينقلك مسحُه إلى موقع يتحكم فيه المهاجم. يمكنك كشف معظمها بفحص السطح المادي بحثًا عن علامات العبث، ومسح الرموز التي تتوقع وجودها في ذلك المكان فقط، وقراءة العنوان الذي يعرضه هاتفك قبل الضغط على أي شيء. أما إذا كنت قد مسحت الرمز وأدخلت بياناتك بالفعل، فتحرك بسرعة: غيّر كلمة المرور للحساب المتأثر، وتواصل مع مصرفك إذا دفعت أو شاركت بيانات بطاقتك، وانتبه لمحاولات التصيد اللاحقة.
لماذا تنجح ملصقات QR المزيفة
رموز QR صامتة. الملصق المطبوع جيدًا يبدو تمامًا مثل الرموز التي تستخدمها الشركات بشكل مشروع، ومعظم الناس اعتادوا عبر سنوات من قوائم الطعام وتطبيقات مواقف السيارات وملصقات الدفع على المسح دون تفكير. الهاتف يقوم بالعمل، فيتوقف العين عن أداء وظيفتها.
الهجوم نفسه بسيط. يطبع شخصٌ ما رمزًا يشير إلى موقع مقلّد، ويمر بجانب عدّاد مواقف أو طاولة مطعم، ويلصقه فوق الرمز الحقيقي. عندما تمسحه، تصل إلى صفحة تحاكي موقع الدفع الرسمي أو التطبيق وتطلب بيانات البطاقة أو بيانات الدخول. ولأنك أنت من بدأ المسح بنفسه، يبدو الطلب موثوقًا بطريقة لا يحققها أبدًا رسالة نصية عشوائية.
يُسمّى هذا النوع من الهجمات "quishing" في الأوساط الأمنية، لكن الاسم أقل أهمية من الآلية: رمز QR ليس سوى رابط، والرابط يمكن أن يشير إلى أي مكان. دفاعك هو أن تعامل كل مسح كما تعامل رابطًا في رسالة بريد إلكتروني غير متوقعة.
أين تظهر الرموز المزيفة عادةً
أي مكان يدعوك فيه الرمز إلى الدفع أو تسجيل الدخول أو تنزيل شيء ما هو هدف محتمل. أبرز الأهداف الشائعة:
- عدادات مواقف السيارات ولافتات الدفع عبر الهاتف، حيث يمكن للرمز المزيف أن يقودك إلى صفحة دفع تسرق بيانات بطاقتك.
- الملصقات على محطات الشحن العامة، وأرصفة مشاركة الدراجات، وشواحن السيارات الكهربائية.
- الملصقات والمنشورات الخاصة بالفعاليات أو الجمعيات الخيرية أو شركات التوصيل، خاصةً ما يطلب منك عربونًا أو "رسوم توصيل".
- رموز الطاولات في المطاعم لعرض القائمة والدفع.
- الطرود وإشعارات التوصيل، حيث يمكن لرمز "تتبع طردك" المزيف أن يقودك إلى صفحة تصيد تطلب رسوم إعادة توصيل أو بيانات شخصية.
- محيط أجهزة الصراف الآلي، وآلات التذاكر، وأي جهاز عام ذي سطح أملس ومستوٍ يمكن أن يلتصق عليه الملصق تمامًا.
القاسم المشترك هو المال أو بيانات الدخول. رمز يقودك إلى صفحة دخول شبكة Wi-Fi هدف أقل جاذبية بكثير من رمز يقودك إلى نموذج دفع، لذا ركّز شكوكك حيث يطلب منك الرمز الدفع أو تسجيل الدخول.
العلامات المادية للعبث
قبل أن تمسح الرمز، اقضِ ثلاث ثوانٍ في النظر إليه. أنت تبحث عن دليل على أنه لا ينتمي إلى السطح الموجود عليه.
- الحواف والزوايا. الملصق الموضوع فوق رمز مطبوع يُظهر عادةً حافة مرتفعة، أو زاوية مرفوعة قليلًا، أو خطًا باهتًا حيث ضُغط الملصق. مرّر ظفرَك على الحافة إذا سمح السطح بذلك.
- عدم تطابق جودة الطباعة. الرموز الرسمية على عداد مواقف أو جهاز دفع تُطبع أو تُنقش عادةً كجزء من الجهاز نفسه. الملصق المطبوع منزليًا غالبًا ما تختلف ألوانه قليلًا، أو يلمع أكثر من اللازم، أو تظهر فيه بكسلات واضحة حول وحدات الرمز.
- الاستقامة. إذا كان الرمز مائلًا أو خارج المنتصف أو متداخلًا مع نص كان يجب أن يكون بجانبه، فاعتبره مشتبهًا به.
- التكدّس. وجود رمزين متقاربين جدًا، أو ملصق يغطي إطارًا أو شعارًا جزءًا من التصميم الأصلي، علامة قوية على التغطية.
- التآكل غير المتطابق. رمز يبدو جديدًا تمامًا على سطح متقادم وباهت لم يكن هناك طوال مدة وجود السطح.
- بقايا اللاصق. بقع أو فقاعات أو آثار ملصقات قديمة حول الرمز تشير إلى أن المكان تعرّض للعبث سابقًا.
لا يكفي أيٌّ من هذه الفحوص وحده للضمان. يمكن لمهاجم حريص أن يطبع ملصقًا نظيفًا ومستقيمًا. لكن الفكرة أن معظم أعمال العبث تُنفَّذ بسرعة وبتكلفة زهيدة، وعادةً ما تترك أثرًا.
افحص الرابط قبل فتحه
أهم عادة مفيدة في أمان رموز QR هي هذه: هاتفك يعرض لك وجهة الرمز قبل أن تلتزم. استخدم هذه الميزة.
في معظم الهواتف الحديثة، يُنتج مسح رمز QR بتطبيق الكاميرا المدمج إشعارًا أو شريطًا يعرض عنوان الموقع. لا تضغط عليه فورًا. اقرأه أولًا.
ما الذي تبحث عنه في العنوان:
- النطاق. هذا هو الجزء الموجود قبل أول شرطة مائلة مفردة، وهو الجزء الوحيد المهم فعلًا. في
https://pay.parking-example.com/checkout، النطاق هوparking-example.com. كل ما قبل النقطة الأولى (pay.) وكل ما بعد الشرطة الأولى (/checkout) زخرفة يمكن لأي شخص اختيارها بحرية. - الأخطاء الإملائية والأسماء المشابهة. يعتمد المهاجمون على فروق صغيرة:
paYment-site.comبدلًا منpayment-site.com، أو حروف زائدة، أو حروف مبدّلة، أو شرطات لا مكان لها. اقرأ النطاق حرفًا حرفًا إذا كان المال على المحك. - مختصرات روابط غير مألوفة. العناوين الصادرة عن خدمات تقصير الروابط (نطاقات قصيرة جدًا يتبعها رمز يبدو عشوائيًا) تخفي وجهتها بالكامل. لا يمكنك معرفة وجهتها دون فتحها، لذا تعامل مع الروابط المختصرة على الملصقات المادية بشك مضاعف. بعض خدمات التقصير تعرض صفحة معاينة؛ إذا لم تكن الخدمة التي مسحتها تفعل ذلك، فلا تتبع الرابط عندما يكون المال أو بيانات الدخول على المحك.
- أيقونة القفل ليست ضمانًا. القفل أو "https" يعني أن الاتصال مشفّر، لا أن الموقع صادق. مواقع التصيد المزيفة تستخدم https أيضًا. لا تعتبر القفل أبدًا دليلًا على الشرعية.
- الضغط الفوري. إذا كانت الصفحة التي فتحها الرمز تطالبك بتسجيل الدخول أو الدفع أو إدخال بيانات البطاقة في الحال، فهذا الاستعجال نفسه علامة تحذير. صفحات المواقف والدفع المشروعة تتيح لك عادةً مراجعة ما ستدفعه أولًا.
إذا كنت غير متأكد، اكتب عنوان المؤسسة المعروف بنفسك في المتصفح بدلًا من استخدام الرمز. ثلاثون ثانية من الكتابة أفضل من بطاقة مخترقة.
علامات خطر بعد المسح
بعض الهجمات لا تظهر إلا بعد فتح الرمز. توقف وتراجع إذا حدث أي مما يلي:
- طلبت الصفحة بيانات بطاقتك للدفع مقابل شيء لم تختره، أو طلبت الدفع قبل أن تُريك ما ستدفع مقابله.
- ظهرت صفحة دخول حيث كنت تتوقع قائمة طعام أو جدول مواعيد أو قائمة أسعار.
- طلبت الصفحة تثبيت تطبيق أو ملف إعدادات من خارج متجر التطبيقات الرسمي لهاتفك.
- طلبت الصفحة معلومات لا يحتاجها أي إجراء مشروع في تلك اللحظة: رقم PIN الكامل لبطاقتك، أو كلمة مرور الخدمات المصرفية عبر الإنترنت، أو رموز التحقق لمرة واحدة من تطبيق مصرفك.
- تغيّر العنوان عدة مرات متتالية سريعًا، وقفز عبر إعادات توجيه قبل أن يستقر في مكان غير متوقع.
- بدت الصفحة مثل خدمة معروفة لكن النطاق في شريط العنوان لا يطابق الاسم الحقيقي لتلك الخدمة.
التراجع لا يكلفك شيئًا. أما إدخال بياناتك في صفحة مزيفة فقد يكلفك الكثير.
ماذا تفعل إذا مسحت الرمز وأدخلت بياناتك بالفعل
إذا أدركت بعد وقوع الحدث أنك استخدمت صفحة مزيفة، فالسرعة أهم من الإحراج. اتبع هذه الخطوات بالترتيب:
- إذا أدخلت بيانات البطاقة، تواصل مع مصرفك فورًا. اطلب منهم إيقاف البطاقة أو استبدالها وبلّغ عن العملية. معظم المصارف لديها خط مخصص للبلاغات عن الاحتيال يعمل على مدار الساعة؛ رقمه موجود على ظهر بطاقتك أو على موقعهم الرسمي، وليس على أي صفحة أوصلتك إليها رموز QR.
- إذا أدخلت كلمة مرور، غيّرها الآن، في الخدمة المتأثرة وفي أي مكان آخر أعدت استخدام نفس كلمة المرور فيه. إذا كنت لا تستخدم مدير كلمات مرور، فتغيير كلمات المرور المكررة هو اللحظة المناسبة للبدء.
- إذا وافقت على عملية دفع أو طلب تسجيل دخول، ألغِ ذلك. راجع صفحة الأمان أو الجلسات في الحساب بحثًا عن أجهزة غير معروفة وسجّل الخروج منها.
- إذا ثبّتّ تطبيقًا أو ملف إعدادات، أزله، ثم شغّل الفحص الأمني المدمج في هاتفك إن وُجد. في هواتف iPhone، راجع الإعدادات بحثًا عن ملفات إعدادات لا تعرفها؛ وفي Android، احذف أي تطبيق لا يمكنك تفسير وجوده.
- انتبه للهجمات اللاحقة. المهاجمون الذين يحصلون على رقم هاتفك أو بريدك الإلكتروني يتابعون غالبًا برسائل نصية ومكالمات مقنعة. تعامل مع أي رسالة حول الحادثة بشك، وتواصل مع المؤسسات عبر قنواتها الرسمية.
- بلّغ عن الحادثة. أخبر النشاط التجاري الذي غُطي رمزه، وأبلغ الشرطة المحلية أو الجهة الوطنية المختصة ببلاغات الجرائم الإلكترونية. هذا يساعدهم على تحذير العملاء الآخرين، وأحيانًا إزالة الملصق المزيف.
احتفظ بسجل لما حدث، بما في ذلك العنوان الذي أُرسلت إليه وأي مراجع للدفع. قد تحتاجه لاحقًا أمام مصرفك أو الشرطة.
كيف تحمي الشركات رموزها الخاصة
إذا كنت تدير نشاطًا تجاريًا يستخدم رموز QR، فأنت تحمي عملاءك وسمعتك معًا. إجراءات عملية، مرتبة تقريبًا حسب تأثيرها:
- اطبع عنوان الوجهة بجانب الرمز. عنوان قصير ومقروء أسفل الرمز يتيح للعملاء التحقق من وجهته، ويمنحهم بديلًا إذا شكّكوا في الملصق. هذا أرخص وأكثر وسائل الحماية فاعلية.
- استخدم ملصقات تكشف العبث. الملصقات الأمنية التي تتمزق أو تترك نمطًا خلفها أو تُظهر كلمة "VOID" عند نزعها تجعل ملصقات التغطية واضحة، وتجعل العبث مخاطرة مرئية.
- ثبّت الرموز بحيث لا يمكن تغطيتها. اللوحات المنقوشة، أو التجاويف المدمجة، أو الرموز المطبوعة مباشرة على الجهاز نفسه أصعب بكثير في الاستبدال من ملصق ورقي على سطح مستوٍ.
- افحص رموزك بانتظام. أضف فحصًا بصريًا سريعًا إلى روتينك القائم: موظفو المطعم يتحققون من رموز الطاولات كل صباح، وجولات مشغّل المواقف تشمل العدادات، والمتجر يفحص ملصقات واجهته. أنت تبحث عن ملصقات فوق رموزك، أو بقايا لاصق، أو رموز تبدو مختلفة عن التي نشرتها.
- استخدم نطاقًا تملكه وأبقه قصيرًا. العنوان القصير السهل التذكر أسهل في التحقق بنظرة واحدة من العنوان الطويل المليء بالمعاملات.
- تجنّب الروابط المختصرة العمياء في الأماكن العامة. إذا اضطررت إلى استخدام مختصر روابط، فاختر خدمة تعرض صفحة معاينة أو صفحة وسيطة ليتمكن الماسحون من رؤية الوجهة.
- أخبر عملاءك بشكل الرموز المشروعة. إشعار صغير يقول "صفحة الدفع لدينا على [العنوان]؛ ونحن لا نطلب رقم PIN أبدًا" يرسّخ التوقع بأن التحقق أمر طبيعي.
- استجب بسرعة عند اكتشاف أي عبث. أزل الملصق المزيف، ونظّف السطح، واستبدله بنسخة مقاومة للعبث، وحذّر العملاء عبر قنواتك المعتادة.
بناء العادة
أمان رموز QR ليس مسألة بارانويا؛ بل هو عادة واحدة تُطبَّق باستمرار: تحقّق قبل أن تتصرف. انظر إلى الرمز المادي بحثًا عن علامات تدل على أنه لم يضعه النشاط التجاري. اقرأ العنوان الذي يعرضه هاتفك قبل الضغط. ارفض الصفحات التي تطالبك بتسجيل الدخول أو الدفع أو تثبيت تطبيقات تحت الضغط. اكتب العناوين المعروفة بنفسك عندما يكون المال على المحك. وإذا كنت تدير نشاطًا تجاريًا، فاجعل رموزك ماديةً يصعب تزويرها، وأعطِ عملاءك وسيلة للتحقق منها.
التقنية ليست المشكلة. رمز QR ليس سوى رابط، والروابط آمنة عندما تقرأ وجهتها. الخطر يأتي من المسح علىautopilot. اكسر الاستجابة الآلية، وستفشل معظم هذه الهجمات عند خطوتها الأولى.
الخلاصة
تنجح ملصقات QR المزيفة لأنها تبدو عادية ولأن المسح يبدو الخيار الآمن المألوف. دفاعك يستغرق ثوانٍ: افحص الملصق بحثًا عن حواف مرفوعة وطباعة غير متطابقة، واقرأ العنوان قبل فتحه، ولا تدخل أبدًا بيانات بطاقة أو كلمات مرور في صفحة وصلت إليها عبر رمز لم تتحقق منه. إذا وقعت في الفخ بالفعل، فتواصل مع مصرفك وغيّر كلمات المرور فورًا. أما الشركات فينبغي أن تطبع عنوان الوجهة بجانب كل رمز عام، وأن تستخدم ملصقات تكشف العبث، وأن تفحص رموزها بانتظام. الخلاصة الأساسية: تعامل مع كل رمز QR كرابط من شخص غريب حتى تقرأ وجهته الحقيقية. ويمكنك دائمًا إنشاء رموزك الخاصة والتحقق منها عبر أدوات مثل QRCodeMax.Vip.