التصيّد برموز QR: حين يختبئ الاحتيال خلف رمز QR

«امسح هذا الرمز لتوقيع المستند.» تبدو العبارة بريئة، وكذلك المربع الصغير بالأبيض والأسود. لكن خلف رمز QR هذا تختبئ في أحيان كثيرة صفحة تسجيل دخول مزيّفة. لهذه الحيلة اسم: Quishing، وهو دمج بين «QR» و«phishing» أي التصيّد الاحتيالي. لنرَ لماذا تنجح إلى هذا الحد، وكيف نكشف الموقع المختبئ خلفها ثم نبلّغ عنه.

ما التصيّد برموز QR؟

رمز QR ليس سوى نص مكتوب بمربعات صغيرة. وفي أغلب الأحيان يكون هذا النص عنوان موقع ويب. عند المسح، يقرأ الهاتف النص ويعرض فتح الصفحة.

يعيد هذا الأسلوب استخدام سيناريوهات التصيّد المعتادة، لكنه يستبدل الرابط القابل للنقر برمز QR:

• مستند «بانتظار توقيعك» أو «تمت مشاركته معك»؛
• تحقق بخطوتين «يجب إعادة تفعيله قبل هذا المساء»؛
• طرد محتجز، أو مخالفة، أو مبلغ مسترد.

ونجده خارج البريد أيضًا: ملصقات توضع فوق رموز QR الحقيقية على أجهزة دفع المواقف أو محطات الشحن أو قوائم المطاعم. والمبدأ واحد: دفع الناس إلى المسح، ثم إلى الكتابة.

لماذا ينفذ رمز QR من بين خيوط الشبكة

تتقن فلاتر البريد أمرًا واحدًا جيدًا: قراءة نص الرسالة، ورصد الروابط، والتحقق من وجهتها. لكن رمز QR ليس رابطًا، بل صورة. وبالنسبة إلى فلتر لا يعرف كيف يفكّها، لا تحتوي الرسالة… على أي رابط. بل تبدو أنظف من رسالة عادية.

بعض الفلاتر صار يعرف قراءة رموز QR، فيتكيّف المحتالون بتصعيب القراءة:

• يوضع الرمز في ملف PDF مرفق بدلًا من متن الرسالة؛
• يُرسم الرمز على شكل جدول من خلايا ملوّنة أو بمحارف، لا كصورة؛
• يُقسم الرمز إلى صورتين متجاورتين، أو يُشوَّه قليلًا.

بالنسبة إلى العين البشرية لا يتغيّر شيء: الهاتف يقرأ الرمز بلا عناء. أما بالنسبة إلى الروبوت فهو لغز إضافي. إنها لعبة الاختباء نفسها الموصوفة في دليل التصيّد الاحتيالي: كيف يوصل المحتالون رسائلهم إلى بريدك.

القفزة الكبرى: من الحاسوب إلى الهاتف

القوة الحقيقية لهذا الأسلوب في مكان آخر: إنه يجعلنا نغيّر الجهاز. تصل الرسالة إلى حاسوب تحميه الشركة غالبًا: فلتر ويب، ومضاد فيروسات، وفحص للروابط. لكننا نُخرج الهاتف لنمسح الرمز. وهنا يتغيّر كل شيء:

• الهاتف غالبًا شخصي، ومتصل عبر 4G أو 5G، خارج شبكة الشركة وحمايتها؛
• الشاشة صغيرة: عنوان الصفحة مقطوع أو مخفي تمامًا؛
• نسجّل الدخول بسرعة، بحكم العادة، بين مهمتين.

بعبارة أخرى، ينطلق الفخ بعيدًا عن أعين الحراس. وكثيرًا ما تُصمَّم صفحات هذا الأسلوب للهاتف. وكثير منها صفحات «وسيطة» قادرة على تجاوز التحقق بخطوتين: وهذا موضوع دليل AiTM: حين يسرق التصيّد جلستك لا كلمة مرورك فقط.

قراءة العنوان المخفي… دون فتحه

لتحليل حملة من هذا النوع، الخطوة الأولى هي تحويل رمز QR إلى نص، دون زيارة الصفحة أبدًا. هناك عدة طرق:

• كاميرا الهاتف تعرض العنوان عادة قبل فتحه. نقرؤه ولا نلمسه.
• تطبيق لقراءة رموز QR مضبوط على عرض النص دون فتح المتصفح.
• على الحاسوب، نلتقط صورة للشاشة تضم الرمز، ثم نمرّرها إلى أداة فكّ تعمل دون اتصال، مثل الأداة المجانية zbarimg:

$ zbarimg capture.png
QR-Code:https://sho.rt.example/x7Kp

نحصل على عنوان مثل أي عنوان آخر. نحتفظ به بعناية: إنه الدليل.

تحديد النطاق والبنية التحتية

يُقرأ عنوان الويب قليلًا مثل عنوان بريدي مكتوب بالمقلوب. الاسم المهم، أي النطاق، يقع قبل أول «/» مباشرة بعد https://. وكل ما على يساره يختاره المالك كما يشاء.

https://login.docs-m1crosoft.example/auth

هنا النطاق هو docs-m1crosoft.example، وليس Microsoft. كلمة «login» في البداية لا تثبت شيئًا. والفخ نفسه في microsoft.com.verification.example: النطاق الحقيقي هو verification.example. وبعض النطاقات تذهب أبعد وتستخدم حروفًا من أبجديات أخرى تشبه الحروف اللاتينية: انظر Punycode والمتشابهات: حين يشبه النطاق المزيّف النطاق الحقيقي.

بعد العثور على النطاق، نبحث عن من يستطيع التصرّف. ثلاث جهات تتكرر دائمًا:

• المسجِّل هو «السجل المدني» لاسم النطاق: الشركة التي اشتُري منها. يستطيع تعليق النطاق، فتتوقف كل الصفحات التي تستخدمه. نعثر عليه باستعلام RDAP أو WHOIS عن النطاق، ويعطينا أيضًا تاريخ إنشائه: نطاق لـ«مصرف» أُنشئ قبل ثلاثة أيام علامة سيئة جدًا.
• الاستضافة هي مالك المبنى: الشركة التي يعرض خادمها الصفحة. تستطيع حذف الصفحة أو إيقاف الخادم.
• شبكة CDN (مثل Cloudflare) هي مكتب الاستقبال أمام المبنى: تقدّم الصفحة بدلًا من الخادم وتخفي عنوانه الحقيقي. تقبل البلاغات، ويمكنها عرض تحذير، وتحيل الشكوى إلى الاستضافة.

ماذا نفعل حين يقود رمز QR إلى عدة نطاقات؟

هذا شائع جدًا: لا يقود الرمز مباشرة إلى الصفحة الفخ، بل إلى سلسلة من عمليات إعادة التوجيه. مختصِر روابط، ثم خدمة مشروعة يُساء استخدامها للتحويل إلى مكان آخر، وأحيانًا تحقق «هل أنت إنسان؟»، وأخيرًا صفحة تسجيل الدخول المزيّفة.

لكل حلقة مسؤولها، ويمكن الإبلاغ عن كل حلقة:

1. الصفحة النهائية أولًا: نطاقها (إلى المسجِّل) وخادمها (إلى الاستضافة أو CDN).
2. ثم الحلقة الأولى، المكتوبة في رمز QR. إنها نقطة ضعف المحتال: رمز QR المطبوع أو المرسَل لا يمكن تعديله. فإذا قُطع هذا الرابط الأول، صارت كل الرموز الموزّعة بلا فائدة.
3. وأخيرًا الوسطاء: مختصِر الروابط يحجب عادة الروابط المسيئة بسرعة كبيرة، والموقع المشروع المستخدَم منصةَ قفز يهمه أن يعلم.

نسجّل السلسلة كاملة مع التاريخ والوقت: فالمحتالون يغيّرون الوجهة النهائية كثيرًا، والبلاغ المؤرَّخ يساعد الفرق التي تتلقاه.

الإبلاغ عن الحملة باستخدام Baitback

رمز QR لا يُخفي الرسالة: فقد أرسلها خادم يملكه مزوّد استضافة. نلصق المصدر الكامل للرسالة في Baitback: تعثر الأداة على خادم الإرسال واستضافته وعنوان الإبلاغ الخاص بها، وتتحقق من SPF وDKIM وDMARC، وتجهّز رسائل بلاغ جاهزة للإرسال. ولفهم ما ترويه أسطر الترويسة هذه، انظر كيف تنتقل رسالة البريد الإلكتروني من المرسِل إلى المستلم.

أما العنوان المستخرج من رمز QR، فنبلّغ عنه أيضًا إلى المسجِّل أو الاستضافة أو CDN التي حددناها، وإلى منصات حماية المتصفحات التي يذكّر بها Baitback (Google Safe Browsing وMicrosoft وNetcraft…). وفي غضون ساعات قليلة قد تُحجب الصفحة عن ملايين المستخدمين.

وماذا لو مسحنا الرمز وكتبنا كلمة المرور؟

لا داعي للذعر، ولا للتأجيل. من جهاز موثوق، نغيّر كلمة مرور الحساب المعني، ونستخدم خيار «تسجيل الخروج من كل الجلسات» إن وُجد، ونُعلم قسم تقنية المعلومات إن كان حساب عمل. تغيير كلمة المرور وحده لا يكفي دائمًا: ودليل هجمات AiTM يشرح السبب.