الكويشنغ (Quishing) — أي التصيّد عبر رمز QR — هو احتيال يرسلك فيه رمز QR إلى صفحة دفع مزيفة أو نموذج تسجيل دخول أو تنزيل ملف، بدل الوجهة الحقيقية التي يقلّدها. ولأن رمز QR يخفي رابطه حتى تمسحه، فالدفاع بسيط: عاين الرابط، وتحقق من النطاق، ولا تُدخل كلمات مرور أو بيانات بطاقة بعد مسح غير متوقع.
ما الكويشنغ ولماذا ينجح
رمز QR ليس أكثر من اختصار: نمط من النقاط يُشفّر نصاً، غالباً عنوان ويب. يفك هاتفك هذا النص ويعرض عليك فتحه. المشكلة أنك لا تستطيع قراءة النقاط بعينك، فلن ترى أين يقود الرمز إلا بعد ظهوره على شاشتك.
يستغل المحتالون أمرين. أولهما العادة: مسح قائمة طعام أو لافتة مواقف أو ملصق إعلاني يبدو روتيناً، والروتين يعني توقف التفكير. وثانيهما الثقة المستعارة: رمز مطبوع على حائط أو خطاب أو فاتورة يبدو رسمياً، رغم أن أي شخص يملك مولّد رموز مجاني يستطيع صنعه في ثوانٍ. وكلمة quishing ليست إلا دمجاً بين "QR" و"phishing" — الحيل نفسها المستخدمة في الرسائل المزيفة، لكن عبر ملصق مربع بدل البريد.
أكثر عمليات احتيال الكويشنغ شيوعاً
ملصقات مزيفة فوق رموز حقيقية. النسخة الكلاسيكية تستهدف مواقف السيارات المدفوعة عبر الهاتف. يطبع المحتال رمزه على ملصق ويلصقه فوق الرمز الأصلي على عداد المواقف أو اللافتة. يمسح السائق الرمز، فتظهر له نسخة مقنعة من موقع الدفع، يدخل بيانات بطاقته، فيذهب المال — وبيانات البطاقة — إلى المحتال. وتظهر الحيلة نفسها في شواحن السيارات الكهربائية، وتأجير الدراجات والسكوترات، وطاولات المطاعم، وملصقات التبرعات وصناديق التبرع.
رموز داخل رسائل البريد والخطابات. رمز QR داخل بريد إلكتروني يكون عادة صورة، فما على فلاتر الرسائل المزيفة النصية أن تقرأه. والخطابات الورقية تعمل بالطريقة نفسها: "سيُغلق حسابك"، "لم نتمكن من تسليم طردك"، "لكم مبلغ مسترد — امسحوا المطالبة". صيغة الخطاب تضيف رسمية، والرمز يخفي الرابط.
مطالبات دفع مستعجلة. كثير من رسائل الكويشنغ تضغط الأزرار نفسها كالتصيّد العادي: غرامة يجب دفعها الآن، شحنة محتجزة في مستودع، حساب موقوف. الاستعجال موجود ليمنعك من التحقق.
وقد يفعل المسح أكثر من فتح صفحة. فحسب محتواه، قد يفتح تطبيق دفع ببيانات مستلم معبأة مسبقاً، أو يضيف جهة اتصال أو موعداً في التقويم، أو يبدأ تنزيل ملف، أو يصل هاتفك بشبكة Wi-Fi. وكل واحد من هذه الاستخدامات قابل للاستغلال.
عاين الرابط قبل فتحه
معظم الهواتف الحديثة تعرض الوجهة كشريط أو إشعار عند المسح بكاميرا النظام المدمجة — ولا يُفتح شيء قبل أن تنقر. اعتبر هذه المعاينة جوهر الأمر: اقرأها في كل مرة، حتى وكنت مستعجلاً.
وفي كثير من الهواتف يمكنك الضغط المطوّل على المعاينة لعرض عنوان الويب كاملاً، وهذا يستحق الفعل كلما بدأ الرابط مختصراً أو غريباً. أما إذا فتح تطبيق ماسح المتصفح تلقائياً، أو بدأ تنزيل ملف دون أن يسألك، فاستبدله. الماسح الذي يعرض الرابط أولاً دائماً — مثل الماسح المجاني على QRCodeMax.Vip — يعيد القرار إلى يدك.
وهناك عادة إضافية: في كل ما يخص المال أو تسجيل الدخول، تخطَّ المسح كلياً وافتح التطبيق الرسمي أو اكتب العنوان الذي تعرفه مسبقاً. رمز QR وسيلة تسهيل، وليس ضرورة أبداً.
كيف تتحقق من النطاق في ثوانٍ
في عنوان الويب جزء واحد مهم: النطاق، وهو الكلمات الواقعة مباشرة قبل أول شرطة مائلة مفردة. في pay.meters.example.com النطاق هو example.com. وفي example.com.meters-pay.info النطاق هو meters-pay.info — و"example.com" في المقدمة مجرد زينة. يراهن المحتالون على أن الناس يقرؤون العنوان ويتوقفون عند الكلمة المألوفة.
ثم ابحث عن النطاقات الشبيهة: صفر مكان حرف "o"، أو "rn" تحل محل "m"، أو شرطات زائدة، أو اسم علامة تجارية مألوف ملصق بنهاية لا علاقة لها. المؤسسات الشرعية تحتفظ بمجموعة صغيرة من نطاقات الدفع؛ وملصق مواقف يشير إلى نطاق لم تره من قبل سبب كافٍ للتوقف.
وإذا كان النطاق لا يعني لك شيئاً، فلا تدفع، ولا تسجّل الدخول، ولا تنزّل شيئاً. أغلق الصفحة.
لا تثق بالاستعجال — ولا تُدخل بياناتك بعد مسح غير متوقع
الاستعجال هو أصخ علامات التحذير. الغرامات الحقيقية والشحنات الحقيقية ومشاكل الحسابات الحقيقية لا تنتهي صلاحيتها خلال ثلاثين دقيقة، ولا تحتاج مؤسسة حقيقية كلمة مرورك على عجل. أي رسالة تهدد بغرامة أو حجز مركبة أو فقدان شحنة أو إغلاق حساب إن لم تمسح و تدفع فوراً، يجب التعامل معها كعدائية حتى تثبت العكس.
والقاعدة التي تحميك من كل نتائج الكويشنغ تقريباً: بعد مسح غير متوقع، لا تُدخل كلمة مرور ولا رقم بطاقة ولا رمز تحقق لمرة واحدة. لا بأس أن تنظر إلى الصفحة؛ أما الكتابة فلا يجوز. وإذا كنت مديناً فعلاً بمبلغ مواقف أو فاتورة، فادفع عبر التطبيق أو الموقع الذي تستخدمه عادةً، لا الذي أهدتك إياه ملصق.
وقبل تأكيد أي عملية دفع فتحها مسح، تحقق من اسم المستلم والمبلغ — فمدفوعات QR قد تصل معبأة مسبقاً، والاحتيال يكمن في التعبئة نفسها. ولا تثبّت تطبيقاً ولا تمنح صلاحيات لأن رمز QR طلب منك ذلك.
اكتشاف الملصقات العبثية والأماكن المشبوهة
الاحتيال المادي يترك أدلة مادية. قبل مسح رمز في مكان عام، امنحه نظرة تستغرق ثانيتين:
- حواف مرفوعة أو فقاعات هواء أو ملصق جالس فوق ملصق مطبوع
- طباعة أكثر حدّة أو أكثر ضبابية أو بلون مختلف عن اللافتة المحيطة بها
- رمز موضوع في مكان لا مبرر لوجوده فيه، كرمز دفع على عمود إنارة
- ملصق يغطي جزءاً من النص الأصلي أو رمزاً آخر
وقارن الرمز بأي عنوان ويب مطبوع بجانبه بنص عادي؛ فعدم التطابق تحذير واضح. وإذا بدأ شيء مريباً، فلا تمسحه — ادفع بطريقة أخرى وأبلغ المشغّل عن العبث، عبر الرقم الهاتفي المطبوع على الجهاز أو اللافتة، لا أي رقم يقدمه الملصق نفسه.
استخدم ماسحاً يعرض الرابط أولاً
كاميرا هاتفك المدمجة هي عادة الأداة الصحيحة: فهي تعاين الرابط ولا تثبّت شيئاً من تلقاء نفسها. وأي ماسح تستخدمه، هناك ثلاث ميزات مهمة: أن يعرض الوجهة قبل فتح أي شيء، وأن لا ينزّل ملفات تلقائياً، وأن يأتي من مصدر تثق به بدل إدراج مجهول في متجر تطبيقات ما.
وحافظ أيضاً على تحديث نظام تشغيل هاتفك ومتصفحه؛ فالمتصفحات الحديثة تتعرف على كثير من صفحات التصيّد المعروفة وتحذرك منها. هذه الشبكة الأمنية مفيدة لكنها ليست ضماناً — فالصفحة المزيفة على نطاق جديد قد تبدو مطابقة تماماً للأصلية، ولهذا فإن قراءة النطاق تبقى أهم من أي أداة.
إذا كان عملك يستخدم رموز QR
كل رمز تطبعه هو وعد، والملصق المستبدل يحوّله إلى هجوم على عملائك. وبضع عادات تحفظ هذا الوعد:
- عيّن مالكاً لكل رمز مادي، وافحص الرموز عالية الخطورة — المواقف، المدفوعات، الأجهزة غير المراقبة — وفق جدول منتظم.
- استخدم رموز QR مُدارة أو "ديناميكية" تشير عبر نطاق قصير ثابت تتحكم به، بحيث إذا اختُرقت الوجهة أمكن تغييرها أو إيقافها في دقائق بدل إعادة طباعة كل ملصق.
- اطبع نطاق الوجهة بنص عادي بجانب كل رمز، ليتمكن العملاء من التحقق من وجهة الرمز، ويصبح الملصق الذي يغطي ذلك النص مشبوهًا فوراً.
- تجنب الروابط القصيرة العشوائية التي تخفي الوجهة؛ وإن أردت الاختصار فاستخدم نطاقك الخاص.
- ضع الرموز في أماكن تراها طاقمك، أو احمِها بغلاف مقاوم للعبث، واعتبر أي رمز على سطح خارجي غير مراقب خطراً قائماً.
- أخبر العملاء كيف ستطلب الدفع وكيف لن تطلبه أبداً، ودرّب الطاقم على التعامل مع رموز QR في البريد الإلكتروني بشكّ التعامل مع الروابط نفسه.
وأخيراً، تحقق دورياً من أن كل رمز منشور ما زال يقود إلى الصفحة الصحيحة. فاكتشاف أحد العملاء للتبديل هو أسوأ طريقة لتعلم الخبر.
الخلاصة
رمز QR ليس إلا رابطاً متنكراً، فتعامل معه كما تتعامل مع رابط قادم من غريب: عاينه، واقرأ النطاق، وارفض الاستعجال، ولا تُدخل كلمات مرور أو بيانات بطاقة بعد مسح غير متوقع. ثانيتان من التوقف قبل النقر تبطلان كل عمليات احتيال الكويشنغ تقريباً.