🛡️ الاحتيال عبر رمز QR ‏(Quishing): كيف تحمي نفسك وأين تُبلّغ

هذا الدليل عملي لا نظري: الأساليب الأربعة الأكثر تكراراً، وكيف تتحقّق في ثوانٍ قبل المسح وبعده، وماذا تفعل بالضبط في أول ساعة إن وقعت، وأين تُبلّغ رسمياً في السعودية.

لماذا الرمز تحديداً؟ ثلاثة أسباب تجعله سلاحاً مفضّلاً

فهم دوافع المحتال يجعل الحماية منطقية بدل أن تكون قائمة تُحفظ:

• يخفي الوجهة. الرابط النصّي المشبوه يمكن أن تقرأه وتشكّ فيه؛ أما الرمز فمربّعات لا تقول شيئاً.
• يتخطّى بعض فلاتر الفحص. أنظمة أمان كثيرة تفحص نصّ الروابط في الرسائل، والرمز يصل كـصورة فلا يخضع لنفس الفحص.
• ينقلك إلى جهازك الشخصي. تمسحه بجوالك — الجهاز الأقل حمايةً غالباً، والذي تحمل عليه تطبيقات بنكك وبريدك.

وتلخيصاً: الرمز ليس ثغرة تقنية في جهازك، بل ثغرة في الثقة. ولهذا فإن الحماية سلوكية لا برمجية في المقام الأول.

الأساليب الأربعة الأكثر تكراراً

لاحظ القاسم المشترك في العمود الأخير: الاستعجال وطلب المال أو البيانات. الاحتيال يحتاج أن تتصرّف قبل أن تفكّر — ولهذا فإن مجرّد تأجيل القرار دقيقتين يُفشل أغلب المحاولات.

الأماكن التي تستحق حذراً مضاعفاً

ليست كل الرموز سواء في درجة الخطر. المعيار العملي: ما مدى سهولة لصق ورقة فوق الرمز؟

التحقّق في ثوانٍ: ثلاث لحظات

اللحظة الأولى: قبل المسح — افحص المحيط

انظر إلى الرمز كجسم مادي لا كصورة: هل هو ملصق فوق ملصق؟ هل حوافه مرفوعة أو غير مستوية؟ هل جودة الطباعة تختلف عن بقية اللوحة؟ هل يبدو مطبوعاً منزلياً على جهاز رسمي؟ مرّر إصبعك على الحافة — الملصق المضاف يُحسّ.

اللحظة الثانية: بعد المسح وقبل الفتح — اقرأ النطاق

هذه أهم ثانية في العملية كلها. الأنظمة الحديثة تعرض الرابط ولا تفتحه تلقائياً — استغلّ ذلك:

• اقرأ اسم النطاق — الجزء الذي يسبق أول شرطة مائلة بعد اسم الموقع. هو وحده يحدّد الوجهة؛ وكل ما بعده يستطيع المحتال ملأه بأي كلمة مطمئنة.
• انتبه للحروف المتشابهة — الرقم 0 مقابل حرف O، وحرف l مقابل الرقم 1، أو نطاق يزيد حرفاً واحداً على الحقيقي.
• احذر النطاقات المختصرة — تخفي الوجهة النهائية بالكامل.
• احذر النطاقات الفرعية المضلّلة — الاسم الرسمي قد يظهر كجزء من نطاق آخر تماماً؛ العبرة بالجزء الأخير قبل الشرطة المائلة لا بأي كلمة تسبقه.

اللحظة الثالثة: بعد الفتح — لا تُدخل شيئاً بعد

حتى لو فتحت الصفحة، لم يقع شيء بعد. الضرر يبدأ بالإدخال. فتوقّف عند أول طلب لبيانات وقيّمه: هل يطلب رمز تحقّق؟ هل يطلب بيانات بطاقة كاملة؟ هل يطلب كلمة مرور بنكك؟ كلها إجابات واحدة: أغلق الصفحة.

ماذا تفعل في أول ساعة إن وقعت؟

الوقوع في الاحتيال ليس نهاية الأمر، لكن السرعة تحدّد النتيجة. الترتيب مقصود:

أين تُبلّغ رسمياً في السعودية؟

هذه القنوات رسمية معتمدة — ولا تعتمد على وسيط أو تطبيق طرف ثالث:

للأنشطة التجارية: احمِ عملاءك ورمزك

إن كنت تستخدم رموز QR في مطعمك أو متجرك، فأنت هدف غير مباشر: استبدال رمزك يضرّ عملاءك وسمعتك معاً.

• اطبع الرمز ضمن التصميم لا كملصق منفصل — الملصق يُنزع ويُستبدل في ثوانٍ.
• افحصه دورياً بنفسك. امسح رمزك أسبوعياً وتأكّد أنه يفتح وجهتك أنت.
• اطبع اسم النطاق نصّاً تحت الرمز — يمنح العميل مرجعاً يقارن به، ويجعل الاستبدال مكشوفاً.
• لا تطلب بيانات دفع عبر رمز في مكان عام؛ وجّه العملاء إلى قنوات الدفع المعتمدة.
• غلّف الملصق بطبقة واقية أو ضعه خلف زجاج — يصعّب اللصق فوقه.

النصيحة الثالثة هي الأذكى بأقل تكلفة: سطر نصّي واحد تحت الرمز يحوّل عميلك إلى طبقة حماية إضافية — لأنه سيلاحظ أن ما فُتح لا يطابق ما هو مكتوب. وإن كنت تنشئ رموزك بنفسك فبإمكانك توليدها مباشرة من مولّد الباركود والتحكّم في وجهتها كاملةً.

في بيئة العمل: النمط الذي يستهدف الموظفين

جانب يغفله المحتوى العربي تماماً رغم خطورته: Quishing الموجَّه للموظفين. المنطق هنا مختلف عن احتيال الأفراد — الهدف ليس بطاقتك بل حسابك في الشركة، وما وراءه من بيانات وأنظمة.

وسبب فاعلية الرمز في هذا السياق تحديداً هو ما أشرنا إليه سابقاً: أنظمة حماية البريد تفحص نصّ الروابط، والرمز يمرّ كـصورة. فرسالة تبدو من قسم تقني أو موارد بشرية، وفيها رمز بدل رابط، قد تعبر الفلاتر التي كانت ستوقف الرابط النصّي.

والقاعدة المؤسسية بسيطة: لا تصل إلى أنظمة عملك عبر رمز في رسالة. افتح النظام من الطريق الذي تعرفه — الرابط المحفوظ أو التطبيق المعتمد — وتحقّق داخله. وإن بدت الرسالة عاجلة فاتصل بالقسم المعنيّ عبر رقمه المعروف لديك، لا عبر أي رقم مكتوب في الرسالة نفسها.

ما تطلبه الجهة الحقيقية مقابل ما يطلبه المحتال

جدول واحد يحسم أغلب الحالات المشكوك فيها:

الصفّ الأخير هو الاختبار العملي الحاسم: افتح التطبيق الرسمي وابحث عن المطالبة هناك. الحقيقية ستكون موجودة، والمزيّفة لن تكون. هذا الاختبار لا يحتاج خبرة تقنية ولا يخطئ.