مقال
احتيال رموز QR: تحقق قبل أن تثق به
من السهل فحص رابط تصيد: مرر المؤشر فوقه ويظهر العنوان الحقيقي في زاوية الشاشة. يخفي رمز QR المعلومة نفسها خلف نمط من المربعات السوداء، فمسحه ضوئيًا أقرب إلى النقر على رابط بشكل أعمى. Quishing، اختصار لتصيد QR، يستغل تلك الفجوة بالضبط. نشر كل من المكتب الفيدرالي للتحقيقات والمكتب التجاري الأفضل تنبيهات للمستهلكين حول ذلك، وهي إشارة جيدة أنه يستحق بضع ثوانٍ من الحذر.
ما هو Quishing فعليًا
Quishing تصيد يُقدَّم عبر رمز QR بدل رابط أو مرفق بريد إلكتروني. الرمز نفسه خامل، إنه مجرد نص مشفّر، عادة عنوان URL، لكن مسحه ضوئيًا واتباع ما يؤدي إليه قد يوصلك إلى صفحة تسجيل دخول مزيفة مصممة لسرقة كلمة مرور، أو صفحة دفع مصممة لأخذ المال بذريعة زائفة، أو مطالبة بتثبيت شيء لم تكن تنويه. يعتمد الاحتيال كليًا على ما يحدث بعد المسح، لا على الرمز كصورة ثابتة.
أين يظهر
تشمل حالات شائعة أبلغ عنها المكتب الفيدرالي والمكتب التجاري الأفضل ملصقًا احتياليًا موضوعًا فوق رمز QR شرعي على عداد ركن سيارات أو قائمة مطعم، وإشعار توصيل مزيفًا برمز QR يطلب "رسوم إعادة توصيل" صغيرة، ومنشورات مطبوعة أو رسائل بريد إلكتروني تستخدم رمزًا بدل رابط مكتوب تحديدًا لأنه أصعب على القارئ التشكيك فيه. أي رمز QR يطلب دفعًا أو بيانات تسجيل دخول أو تفاصيل شخصية خارج سياق توقعته يستحق الشك نفسه الذي يستحقه رابط غير متوقع.
لماذا ينجح
أصبح مسح رمز QR والنقر على "فتح" عادة سريعة شبه تلقائية لكثيرين، بطريقة نادرًا ما يعود النقر على رابط كذلك بعد سنوات من تحذيرات التصيد. عنوان الوجهة غالبًا مختصر أو غير مألوف، فحتى من ينظر لا يستطيع بسهولة معرفة ما إذا كان يشير إلى العمل الحقيقي أو نطاق مشابه. تزيد بعض تطبيقات المسح الطين بلة بفتح الرابط فورًا، دون خطوة تأكيد، لحظة التعرف على الرمز.
تحقق من رمز QR قبل أن تثق به
فضّل ماسحًا يعرض لك النص أو الرابط المفكوك أولًا ويدعك تقرر، بدل ماسح يفتح الرابط تلقائيًا. تفكّ أداة كمسح QR رمز QR من صورة أو كاميرتك بالكامل داخل متصفحك، فتستطيع قراءة الوجهة كنص عادي قبل فتح أي شيء، دون إرسال الصورة أو النتيجة إلى أي مكان. بمجرد أن ترى الرابط، تحقق من النطاق الفعلي بدل النص المحيط، واعتبر الإلحاح، أو طلب دفع، أو ملصقًا غير متطابق فوق رمز رسمي أسبابًا للتوقف.
إذا مسحت رمزًا سيئًا بالفعل
أغلق علامة التبويب دون إدخال أي شيء إن لم تفعل بعد. إذا كتبت فعلًا كلمة مرور أو تفاصيل دفع على صفحة تشك الآن أنها كانت مزيفة، غيّر تلك الكلمة وتحقق من أي نشاط غير مألوف على الحساب أو البطاقة المتأثرة، الخطوات نفسها التي كنت ستتخذها بعد النقر على رابط بريد إلكتروني سيئ. التصرف في الدقائق الأولى أهم من أي أداة بعينها كشفت المشكلة.
الأدوات المذكورة في هذا المقال
الأسئلة الشائعة
ما هو Quishing؟
Quishing هجوم تصيد يُقدَّم عبر رمز QR بدل رابط أو بريد إلكتروني. يُشفّر رمز QR وجهة، عادة عنوان URL، تؤدي إلى صفحة تسجيل دخول مزيفة، أو طلب دفع احتيالي، أو تنزيل غير مرغوب. الكلمة مزيج بين "رمز QR" و"التصيد".
هل يمكن أن يثبت مسح رمز QR برامج خبيثة بمفرده، دون فعل أي شيء آخر؟
رمز QR بمفرده يشفّر نصًا فقط، غالبًا عنوان URL؛ مسحه بفك تشفير عادي يعرض لك ذلك النص فقط لا يشغّل شيئًا. يأتي الخطر مما يحدث بعد ذلك: فتح رابط خبيث، أو تنزيل ملف منه، أو إدخال بيانات اعتماد على صفحة مزيفة يؤدي إليها. التحقق من الوجهة المفكوكة قبل فتحها يزيل معظم الخطر.
كيف أتحقق من أن ملصق رمز QR فعلي آمن قبل مسحه؟
انظر عن كثب بحثًا عن ملصق موضوع فوق رمز آخر، وهي طريقة Quishing شائعة على عدادات الركن والقوائم. لأي شيء يتضمن دفعًا، تحقق مع العمل مباشرة عبر قناة مختلفة، كرقم هاتفهم المدرج، بدل الرمز وحده. حيثما أمكن، فكّ الرمز إلى نص عادي أولًا واقرأ النطاق الفعلي قبل فتحه، بالطريقة نفسها التي تتحقق بها من رابط قبل النقر عليه.