كيف تكشف رمز QR مزيفًا قبل أن تمسحه
آخر تحديث · بقلم فريق My Gadgets
رمز QR رابط لا تستطيع قراءته حتى تمسحه، ولهذا يحبه المحتالون. ملصق فوق رمز مطعم، أو «إشعار شحنة لم تُسلَّم»، أو رمز يصلك عبر واتساب، قد يقودك إلى صفحة دفع أو دخول مزيفة تشبه صفحة بنكك أو محفظتك تمامًا. لا يمكنك كشف الرمز المزيف بالنظر إلى مربعاته، لكن يمكنك فحص مكانه، وفحص العنوان الذي يقود إليه قبل فتحه. يشرح هذا المقال الأمرين، وماذا تفعل إن كنت قد أدخلت بياناتك.
لماذا تنجح عمليات الاحتيال بالرموز؟
ثلاثة أسباب في صالح المحتال:
- لا ترى العنوان. الرابط المطبوع مثل
bank-jo-secure.coيبدو مريبًا لكثيرين، أما داخل رمز QR فيبدو مثل أي رمز آخر. - المكان يُقنعك. رمز على طاولة مطعم حقيقي، أو ملصق في موقف سيارات، أو رسالة تحمل شعار شركة شحن، يستعير ثقة المكان.
- الهاتف يُضعف الانتباه. الشاشة الصغيرة تختصر العناوين، وصفحات الدفع على الهاتف تتشابه كلها.
والرمز الذي يصل في بريد أو رسالة له ميزة إضافية: كثير من أنظمة فحص الروابط لا تقرأ رابطًا موجودًا داخل صورة فقط.
أين تظهر الرموز المزيفة؟
| المكان | ما يفعله الرمز المزيف | علامات تكشفه |
|---|---|---|
| طاولات المطاعم والمقاهي | ملصق فوق رمز القائمة يقود إلى صفحة دفع أو «اشتراك» تطلب بيانات بطاقتك | قائمة تطلب الدفع أو تسجيل الدخول قبل أن تعرض شيئًا |
| مواقف السيارات وأجهزة الشحن | ملصق فوق الرمز الأصلي يقود إلى صفحة دفع مزيفة | ملصق فوق ملصق آخر، حواف مقشورة، رمز حيث تتوقع تطبيقًا أو جهاز دفع |
| رسائل واتساب و«إشعارات الشحن» | تطلب «رسوم إعادة توصيل» صغيرة وبيانات بطاقتك | لم تكن تنتظر شحنة، ولا رقم تتبع تستطيع فحصه في موقع الشركة نفسه |
| البريد وملفات PDF («امسح لتحديث حسابك») | تقود إلى نسخة من صفحة دخول البنك أو البريد أو نظام الرواتب | استعجال، ومرفق لم تطلبه، ورمز حيث كان يكفي رابط عادي |
| الملصقات و«واي فاي مجاني» | تضمك إلى شبكة مزيفة أو تفتح عرضًا وهميًا | لافتات غير رسمية، وعروض أفضل من أن تُصدَّق |
والافتراض الأسلم: أي رمز يمكن لأحد أن يلصقه في مكانه، ربما ألصقه أحد فعلًا.
ماذا أفحص قبل المسح؟
- انظر إلى الرمز نفسه. هل هو ملصق فوق شيء آخر؟ مائل؟ يغطي جزءًا من التصميم المطبوع؟ الرموز الرسمية تُطبع عادةً ضمن اللافتة، لا تُلصق بعدها.
- هل تحتاج الرمز أصلًا؟ للمواقف يكفي تطبيق الجهة الرسمي أو جهاز الدفع. وللشحنات، افتح موقع شركة الشحن بنفسك وأدخل رقم التتبع هناك.
- احذر الرموز التي تصلك برسالة، خاصة التي تطلب «تحديث» حساب أو «تفعيله» أو «فك تجميده». فالشركة الحقيقية تستطيع أن ترسل رابطًا عاديًا.
ماذا أفحص بعد المسح وقبل الفتح؟
معظم كاميرات الهواتف تعرض العنوان في شريط صغير قبل فتحه. اقرأه كاملًا، لا أوله فقط:
- النطاق هو الجزء الذي يسبق أول
/منفردة. فيhttps://pay.example-city.gov.jo/parkingالنطاق هوexample-city.gov.jo. أما فيhttps://example-city.gov.jo.pay-now.site/فالنطاق هوpay-now.site، مهما سبقه. - ابحث عن أخطاء إملائية صغيرة:
rnمكانm، و1مكانl، وكلمة زائدة مثل-secureأو-verify، أو نهاية خاطئة مثل.coبدل.com. - احذر الروابط المختصرة (مثل bit.ly). تستخدمها جهات حقيقية أحيانًا، لكنها تخفي وجهتك. فإن طلب رمز مختصر منك الدفع أو تسجيل الدخول، فافتح موقع الجهة بنفسك.
http://دونsفي صفحة دفع أو دخول سبب كافٍ للتوقف.
وإن كان الشريط قصيرًا لا يعرض العنوان كله، فالماسح المخصص يساعد. أداة ماسح رموز QR تعرض محتوى الرمز قبل أن تفعل به أي شيء: للرابط، تعرض البروتوكول، والمضيف في سطر مستقل، والمسار، وكل معامل على حدة. ولا تفتح أي رابط من تلقاء نفسها إلا إذا فعّلت خيار «فتح الروابط تلقائيًا» في إعداداتها، وهو متوقف افتراضيًا. والعناوين التي تستخدم حروفًا متشابهة من أبجديات أخرى (كحرف а الكيريلي مكان a اللاتيني) تظهر في سطر المضيف بصيغتها المرمّزة التي تبدأ بـ xn--، فتلفت انتباهك.
ويمكنك مسح الرمز بالكاميرا أو من صورة، فالرمز الذي وصلك في واتساب أو داخل ملف PDF يمكن فحصه من لقطة شاشة، دون أن توجّه هاتفك إلى شاشته.
رموز ليست روابط
قد يحمل رمز QR أيضًا:
- بيانات شبكة واي فاي تضمك إلى الشبكة إن وافقت. والشبكة المزيفة تستطيع مراقبة الاتصالات غير المشفرة وعرض صفحات دخول مزيفة. انضم إلى الشبكات التي أخبرك بها المكان نفسه، لا التي تعرضها لافتة.
- رقم هاتف أو رسالة نصية جاهزة للإرسال، وقد تكون إلى رقم مدفوع.
- بطاقة جهة اتصال تضيف إلى هاتفك جهة قد «تراسلك لاحقًا من البنك».
ويعرض الماسح هذه كما هي، كاسم الشبكة وكلمة مرورها أو الرقم ونص الرسالة، قبل أن تقرر استخدامها.
مسحت رمزًا مزيفًا. ماذا أفعل الآن؟
تصرّف حسب ما فعلته في الصفحة:
- فتحتها فقط: أغلقها. فتح الصفحة وحده نادرًا ما يضر هاتفًا محدَّثًا. ولا تنزّل أو تثبّت شيئًا تعرضه.
- أدخلت بيانات بطاقتك: اتصل ببنكك على الرقم المطبوع خلف البطاقة، وأوقفها واطلب بديلة، وراجع حركاتك الأخيرة.
- أدخلت كلمة مرور: غيّرها فورًا في الموقع الحقيقي، وفي كل مكان استخدمتها فيه، وفعّل التحقق بخطوتين.
- ثبّت تطبيقًا أو ملف تعريف: احذفه، وإن كان هاتف عمل فأبلغ قسم تقنية المعلومات.
- دفعت «رسومًا»: اتصل ببنكك أو محفظتك للاعتراض على العملية، وأبلغ الجهة المختصة بالجرائم الإلكترونية في بلدك.
ثم أبلغ عن الرمز المزيف نفسه: للمطعم أو إدارة الموقف أو الجهة التي انتحل صفتها، حتى لا يقع فيه غيرك.
أسئلة سريعة
هل يمكن لمسح رمز QR أن يخترق هاتفي؟ المسح يقرأ النص داخل الرمز فقط. والخطر فيما تفعله بعده: فتح صفحة، أو إدخال بيانات، أو تثبيت شيء، أو الانضمام إلى شبكة.
هل الرموز في الرسائل الرسمية آمنة؟ غالبًا، لكن تأكد أن الرابط يقود إلى نطاق الجهة نفسها، وإن شككت فاكتب العنوان من موقعها الرسمي.
هل المسح بتطبيق أكثر أمانًا من الكاميرا؟ الكاميرا كافية إن قرأت العنوان الذي تعرضه. والماسح الذي يعرض العنوان كاملًا قبل فتح أي شيء يجعل ذلك أسهل.
هل أستطيع فحص رمز دون هاتف؟ نعم. خذ لقطة شاشة أو صورة له، وافتحها في أداة ماسح رموز QR على الحاسوب.
ماذا تفعل الآن؟
في المرة القادمة التي يطلب فيها رمز منك الدفع أو تسجيل الدخول، افحص العنوان بأداة ماسح رموز QR قبل فتحه. وإن كنت تصنع رموزًا لعملك، فأداة مولّد رموز QR تضع عنوان موقعك الكامل في الرمز بدل رابط مختصر، فيرى زبائنك إلى أين يقودهم.