الرسالة وصلت إلى بريد العمل صباح الاثنين: «تغيّرت سياسة المصادقة الثنائية، امسح الرمز بهاتفك لإعادة التسجيل قبل الخميس، وإلا عُلّق حسابك». لا رابط في الرسالة، ولا مرفق مشبوه، ولا خطأ إملائي واحد. مجرّد مربّع أبيض وأسود صغير في منتصف الصفحة. ومن هنا تحديدًا تأتي خطورته.
لماذا يعبر رمز QR فلاتر مصمَّمة لقراءة النصوص
مرشّحات البريد تعمل على النصّ: تستخرج الروابط، وتقارن النطاقات بقوائم السمعة، وتفكّ الروابط المختصرة لترى وجهتها الحقيقية. رمز QR يلتفّ على هذا كله لأنه بكسلات لا حروف؛ الوجهة ليست سلسلة نصية داخل الرسالة، بل صورة يفكّها جهازك أنت بعد أن تكون الرسالة قد وصلت وسلمت من الفحص. الفلتر يرى صورة صغيرة ونصًّا مهذّبًا من ثلاثة أسطر، ولا يجد رابطًا واحدًا يحكم عليه. هذا هو أصل التسمية الدارجة quishing، وهو في جوهره تصيّد احتيالي عادي بواجهة مختلفة.
والأهم من ذلك أن الرمز ينقلك من الجهاز المحمي إلى الجهاز غير المحمي. أنت تقرأ الرسالة على حاسوب الشركة، لكنك تمسح الرمز بهاتفك: لا بوابة ويب مؤسسية تفحص العنوان، ولا سياسة أمان تعترض، وشريط عنوان ضيّق يعرض عشرين حرفًا من رابط طوله مئة حرف. وغالبًا يكون الهاتف شخصيًا بينما الحساب المستهدف حساب عمل، فتقع المسؤولية في منطقة رمادية لا يراقبها أحد. أضف إلى ذلك أن مسح الرمز فعل سريع بطبيعته: ترفع الهاتف وتوجّهه ثم تنقر، ولا توجد في هذا التسلسل لحظة تأمّل كتلك التي تسبق النقر على رابط طويل في رسالة.
أين تصادف هذه الرموز فعليًا
أوّلها الملصقات المادية. مواقف السيارات وشواحن السيارات الكهربائية هي المكان المفضّل، لأن الدفع فيها يتمّ بالهاتف أصلًا فلا يبدو الأمر غريبًا. يُلصق رمز مزيّف فوق الرمز المطبوع في اللوحة، وتُفتح صفحة تشبه صفحة المشغّل وتطلب بطاقتك. وقد ظهر النمط نفسه على لوحات الإعلانات، وعلى قوائم الطعام، وعلى إشعارات معلّقة في مداخل العمارات.
وفي البريد الإلكتروني ثلاثة قوالب متكررة: إشعار «تعذّر تسليم طردك، امسح الرمز لإعادة جدولة التسليم»، وملف PDF بعنوان «فاتورتك المرفقة» لا يحوي سوى شعار ورمز، ثم القالب الذي يصطاد موظفي المكاتب فعلًا وهو إعادة تسجيل المصادقة الثنائية. المزيج نفسه يتكرر في الثلاثة: جهة ذات سلطة، وموعد نهائي قريب، وإجراء يبدو تقنيًا وروتينيًا.
علامات هذه الرسائل هي نفسها علامات التصيّد التقليدي، وقد جمعناها في قائمة فحص لكشف رسالة تصيّد في عشرين ثانية، ووجود الرمز لا يغيّر منها شيئًا سوى أنه ينقل الرابط من النصّ إلى الصورة.
أما فحص الملصق فماديّ وبسيط ولا يحتاج إلى أي معرفة تقنية: مرّر إصبعك على حافة الرمز. رمز الدفع الأصلي يكون مطبوعًا ضمن اللوحة نفسها وبطبقة الحبر ذاتها، لا ورقة لاصقة لها حافة تُحسّ بالإصبع. وإن بدا الرمز أحدث من اللوحة، أو غطّى نصًّا تحته، أو ظهر الغراء عند أطرافه، فاستعمل التطبيق الرسمي أو الرقم المطبوع بدلًا منه ولا تخاطر.
ويجدر أن تنتبه إلى أن كثيرًا من هذه الحملات تنطلق من قوائم عناوين مسرّبة. حين تسجّل في خدمة عابرة أو تنزّل ملفًا مقابل بريدك، استعمل عنوان بريد مؤقت بدل عنوانك الأساسي، حتى لا يتحوّل عنوان عملك إلى مادة للحملة القادمة.
اقرأ النطاق قبل أن تثق: قاعدة واحدة أمام الكاميرا
معظم تطبيقات الكاميرا في الهواتف الحديثة تعرض الرابط في شريط معاينة قبل فتحه، وهذه هي اللحظة الوحيدة التي تملك فيها قرارًا. القاعدة: اقرأ النطاق الواقع مباشرة على يسار أول شرطة مائلة مفردة، وتجاهل كل ما بعدها. في عنوان مثل شيء يشبه login-microsoft.verify-secure.top ثم شرطة مائلة ثم office365، النطاق الحقيقي هو verify-secure.top، وكلمة microsoft مجرّد زينة في المقدّمة.
ثلاثة تفاصيل تستحق الانتباه: البادئات الطويلة التي تدفع النطاق الحقيقي خارج الجزء الظاهر من شريط العنوان، والحروف المتشابهة بصريًا مثل الرقم صفر مكان حرف O أو الحرف l مكان I، والامتدادات غير المتوقعة لعلامة تجارية كبيرة. وإن كنت غير متأكد، فلا تكمل من الهاتف: افتح الخدمة من تطبيقها الرسمي أو من إشارة مرجعية محفوظة، فإن كان الطلب حقيقيًا فستجده في حسابك.
وحين تكون الرسالة نفسها موضع الشك لا الرمز وحده، فإن فحص عنوان المُرسِل عبر أداة التحقق من صحة عناوين البريد يكشف بسرعة ما إذا كان النطاق يستقبل بريدًا أصلًا أم أنه اسم مسجَّل قبل أيام لغرض واحد.
حين تطلب الصفحة كلمة المرور ورمزًا حيًّا في آن واحد
هذه هي العلامة الأخطر وأكثرها غيابًا عن الأذهان. الصفحة المزيّفة لا تخزّن ما تكتبه لتستعمله لاحقًا، بل تمرّره في اللحظة نفسها إلى الموقع الحقيقي: تكتب كلمة المرور فتُدخَل هناك، فيطلب الموقع الحقيقي رمز التحقق، فتطلبه الصفحة المزيّفة منك، فتكتبه فيُمرَّر خلال الثواني الثلاثين التي يبقى فيها صالحًا. والنتيجة أن المهاجم يحصل على جلسة مفتوحة، ولا يحتاج بعدها إلى كلمة مرورك ولا إلى رمز آخر.
الخلاصة العملية: نجاح الرمز لا يثبت أن الصفحة حقيقية. كثيرون يطمئنّون لأن الدخول «تمّ فعلًا»، وهذا بالضبط ما يجعل الأسلوب ناجحًا. رموز TOTP قصيرة العمر ومرتبطة بالوقت لا بالنطاق، ويمكنك أن ترى بنفسك كيف تتغيّر كل ثلاثين ثانية عبر مولّد رموز TOTP في المتصفح، وهو ما يوضّح لماذا يكفي المهاجم أن يسرق الرمز في لحظته.
ما يقاوم هذا فعلًا هو ما يرتبط بالنطاق نفسه: مفاتيح المرور ومفاتيح الأمان المادية. هذه لا تعمل إلا مع الموقع الذي سُجّلت عليه، فإن كانت الصفحة على نطاق آخر لم يحدث شيء ببساطة، مهما كان الشكل مقنعًا. وإذا كنت ما زلت تعتمد على الرسائل النصية، فالمقارنة بين الخيارات مشروحة في مقال تطبيق المصادقة أم رمز SMS.
مسحتَ الرمز وأدخلت بياناتك: خطوات الساعة الأولى
افعل كل ما يلي من جهاز آخر غير الهاتف الذي مسح الرمز، وابدأ فورًا لأن الجلسة المسروقة تظلّ صالحة حتى تُغلق. غيّر كلمة المرور، ثم أنهِ جميع الجلسات النشطة من إعدادات الأمان، فتغيير كلمة المرور وحده لا يطرد من دخل بالفعل في كثير من الخدمات.
بعدها افحص ما يُترك عادةً كباب خلفي: عناوين الاسترداد وأرقام الهاتف المضافة حديثًا، وقواعد إعادة توجيه البريد، وأذونات التطبيقات المرتبطة، وكلمات مرور التطبيقات القديمة. الباب الخلفي أخطر من الاختراق الأول، لأنه يعيد فتح الحساب بهدوء بعد أسابيع. إن عثرت على عنوان استرداد غريب فدوّنه قبل حذفه، ويمكنك التحقق ممّا إذا كان نطاقه يستقبل بريدًا فعلًا عبر فحص عناوين البريد الإلكتروني قبل أن تبلّغ عنه.
ثم أبلغ من يدير الحساب: قسم تقنية المعلومات إن كان حساب عمل، أو دعم الخدمة إن كان شخصيًا، وقل لهم بوضوح إنك أدخلت كلمة المرور ورمز التحقق في صفحة خارجية. الإبلاغ المبكر يسمح بإنهاء الجلسات مركزيًا وبمراجعة سجلّ الدخول. وأخيرًا، إن كنت تستعمل كلمة المرور ذاتها في أي مكان آخر فغيّرها هناك أيضًا قبل نهاية اليوم، وابدأ بحساب بريدك لأنه المفتاح الذي تُستعاد به بقية الحسابات.
أسئلة شائعة
هل يخترق هاتفي بمجرّد مسح رمز QR؟
لا، المسح في ذاته يفكّ نصًّا ويعرض رابطًا فقط. الضرر يقع فيما تفعله بعد ذلك: فتح الصفحة وإدخال بياناتك، أو تثبيت تطبيق من خارج المتجر الرسمي. لذلك اقرأ المعاينة، وإن لم يظهر لك الرابط فلا تفتحه.
ماذا لو لم يعرض تطبيق الكاميرا الرابط أصلًا؟
بعض التطبيقات تفتح الوجهة مباشرة، وهذا سبب كافٍ لتغيير التطبيق أو تفعيل خيار المعاينة في الإعدادات إن وُجد. وإن فُتحت الصفحة، فأغلقها قبل أن تكتب أي شيء واقرأ النطاق في شريط العنوان بعد الضغط عليه لعرضه كاملًا.
أستعمل مفتاح مرور، هل ما زلت معرّضًا؟
مفتاح المرور يحميك من تسليم بيانات الدخول لصفحة مزيّفة لأنه مرتبط بالنطاق الحقيقي ولا يعمل خارجه. لكن الخطر يبقى في المسارات الأخرى: صفحة تطلب بيانات بطاقتك المصرفية، أو رسالة تقنعك بإضافة جهاز جديد. اقرأ ما تطلبه الصفحة، لا شكلها فقط.
