احذر من فخ Quishing: التصيد الاحتيالي باستخدام رموز الـ QR

أصبحت «رموز الاستجابة السريعة» QR Codes جزءًا لا يتجزأ من حياتنا اليومية، فهي موجودة في كل مكان وتُسهل علينا الوصول إلى المعلومات والخدمات بسرعةٍ وسهولة. وقد حققت هذه الرموز ارتفاعًا قياسيًا في معدلات الاستخدام منذُ تفشي جائحة كورونا، بداية من حمل نتائج اختبارات فحص الإصابة داخل المطارات والأماكن العامة، وحتى الحصول على قوائم الطعام، وغيرها. ولكن، هل فكرت يومًا في أن هذه الرموز قد تكون فخًا لاختراقك؟ بالفعل، ففي أواخر العام الماضي أصدرت لجنة FTC تحذيرًا بشأن هذا الأمر، وتحديدًا بشأن وجود روابط خبيثة مُختبئة برموز الـ QR. الحقيقة أن هذا النوع من الاختراق معروف؛ هو نوعٌ من التصيد الاحتيالي يُسمى "بالكويشنغ" Quishing وهو اسمٌ مُشتق من كلمتي "Phishing" (التصيد الاحتيالي) و"QR". فما المقصود بالتصيد الاحتيالي والكويشنغ بالضبط؟ وكيف تحمي نفسك من هذا النوع من الاختراقات؟ هذا ما نوضحه انطلاقًا من السطور التالية.

التصيد الاحتيالي باستخدام رمز QR

ما هو التصيد الاحتيالي؟

التصيد الاحتيالي أو الـ (Phishing) هو شكل من أشكال الهندسة الاجتماعية التي يستخدمها المخترقون لخداع الآخرين إما للحصول على معلومات حساسة عنهم مثل عناوينهم، وكلمات مرورهم، إلخ، أو لتثبيت برامج خبيثة على أجهزتهم بغرض الابتزاز، أو لأي غرضٍ آخر غير مشروع.

الطريقة المعروفة والمباشرة للهندسة الاجتماعية تعتمد على إقناع "المُخترق" أو "الهاكر غير الأخلاقي" لضحيته للتصرف بطريقة معينة، مثلما حدث في فيلم (Catch me if you can)، وهذا الأسلوب تطور كثيرًا وبات يشمل العديد من الطُرق كأن يُرسل أحدهم رسالةً لضحيته مُنتحلًا صفة البنك، أو يُرسل له موقع ويب مُزيف مُصمم على شكل صفحة تسجيل الدخول في فيسبوك، وهكذا. ولعل آخر ما توصل إليه هذا النوع من الاختراقات هو التصيد الاحتيالي عبر رموز الاستجابة السريعة أو ما يطلق عليه الآن الكويشنج (Quishing).

ما المقصود "بالكويشنج"؟

يستغل المخترقون فكرة وجود رموز الاستجابة السريعة (QR Codes) في كل مكانٍ حولنا وأنها باتت جزءًا لا يتجزأ من حياتنا ويحاولون اختراقنا عن عن طريق اختيار المحتوى الخبيث أولًا سواء كان مواقع وهمية، أو برامج ضارة، أو رسائل نصية خبيثة ثم يستخدمون أحد مولدات رموز الـ QR ليغلفوا المحتوى الضار بها.

يهدف هذا النوع من الهجمات السيبرانية إلى اختراق الخصوصية الرقمية للمستخدمين من خلال سرقة معلوماتهم الحساسة، بما في ذلك كلمات المرور، والبيانات المالية، والمعلومات الشخصية. ويتم استغلال هذه المعلومات المسروقة في مجموعة متنوعة من الأنشطة الإجرامية، تشمل سرقة الهوية، والاحتيال المالي، وابتزاز الضحايا من خلال طلب الفدية.

تكمن خطورة هجمات Quishing في قدرتها الفريدة على اختراق أنظمة الحماية التقليدية، وخاصة البروتوكولات الآمنة للبريد الإلكتروني. فهذه البروتوكولات غالبًا ما تتعامل مع رموز QR في الرسائل الإلكترونية كصور غير ضارة، مما يتيح للمهاجمين فرصة استهداف المستخدمين بهجمات تصيّد متخصصة تتجاوز آليات الحماية المعتادة.

أمثلة عملية على الكويشنج

وفقًا للجنة التجارة الفيدرالية (FTC)، فإن البلاغات حول هجمات التصيد الاحتيالي عبر أسلوب "الكويشنج" قد تزايدت في الفترة الأخيرة. أحد أكثر الأساليب المُستخدمة هو إنشاء رمز QR مرتبط بموقع إلكتروني ضار، ثم نشره عبر قنوات متعددة تشمل البريد الإلكتروني والمنصات الاجتماعية، وربما يلصق المحتالون هذه الرموز على جدران الأماكن العامة مثل مواقف السيارات حيث يكون الناس على عجلةٍ من أمرهم ولا يخطر ببالهم أن رمز الـ QR هذا أو ذاك قد يكون فخًا.

يعتمد الهاكرز على أساليب الهندسة الاجتماعية المتقنة لاستدراج ضحاياهم. فعلى سبيل المثال، قد يتلقى المستخدم رسالة تدّعي وجود رسالة صوتية مهمة يمكن الوصول إليها عبر مسح رمز QR، مع إغراءات إضافية كالوعد بجوائز مالية. أو يتم إرفاق الرمز المفخخ مع رسائل نصية تشمل مُبررات مُلحة لمسحها، مثل: الإشارة إلى وجود مشكلة في الحساب وحث الشخص على التحقق من ذلك عبر مسح الرمز، أو ادعاء وجود نشاط مشبوه والحاجة إلى تحديث البيانات عبر رموز الـ QR، أو طلب إعادة جدولة مُنتجٍ ما كنت قد طلبته (عادةً ما يكون المحتال من هذا النوع قريبًا منك على المستوى الشخصي). عمومًا؛ العامل المشترك في هذه الهجمات الإلكترونية هو حثك على التصرف بسرعة ودون تفكير، فالإنسان لا يُفكر جيدًا عندما يتعرض لهذا الموقف ويميل لاتخاذ قرارات متسرعة وهوجاء دون تحليل الموقف بدقة.

وبمجرد ان يقوم المستخدم بمسح الرمز باستخدام كاميرا هاتفه، يتم توجيهه مباشرة إلى موقع خبيث مصمم لسرقة المعلومات الحساسة. قد يطلب هذا الموقع من الضحية إدخال بيانات مختلفة مثل معلومات تسجيل الدخول، أو التفاصيل المالية، أو البيانات الشخصية.

ولتعزيز فعالية هجماتهم، يستخدم المحتالون تقنيات متقدمة لتجاوز أدوات الأمن السيبراني. يشمل ذلك استغلال معلومات شخصية مسروقة من منصات مهنية مثل LinkedIn لإضفاء مصداقية على رسائلهم الاحتيالية. كما يقومون بتوجيه الضحايا عبر سلسلة من الروابط المتتالية قبل الوصول للموقع الضار، مما يجعل تتبع المصدر الأصلي للهجوم أكثر صعوبة بالنسبة لبرامج الحماية. ولأن الكثيرين لا يعرفون هذه الطريقة في الاختراق، فإنهم يفحصون الرمز بكل براءة ليُفاجئوا في النهاية أنه لم يكن سوى فخ!

كيف تحمي نفسك من الكويشنج؟

لحسن الحظ أن هناك أكثر من طريقة لحماية نفسك من التصيد الاحتيالي عبر رموز الاستجابة السريعة، وأول هذه الطُرق هي الوعي بالأمر. ثانيًا، لا تقم بمسح أي (QR Code) يأتيك من مصدرٍ غير معروف، وطبعًا إياك ورموز الـ QR الموجودة في الأماكن العشوائية أو غير المتوقعة. يُفضل أيضًا، بل ويجب عليك، أن تنظر في الرابط جيدًا وتُقيمه قبل الدخول إليه من حيث عدم وجود أي أخطاء إملائية أو ترتيب غريب للكلام أو الأحرف، وهكذا. يُمكنك أن تستعين بموقع لفحص الروابط أولًا إذا أردت. ثالثًا: تجاهل الرسائل المريبة التي تطالبك بالتصرف فورًا، نحن لا نقول إن كل هذه الرسائل مُفخخة، ولكن الكثير منها مفخخ.

النصيحة الرابعة هي أن تتحقق من مصدر الرسالة جيدًا، وكنا قد تحدثنا في مقال سابق عن 5 علامات تُرجح زيف الرسائل التي تستقبلها. خامسًا واخيرًا، استخدم كلمات مرور قوية وفعل ميزة المصادقة الثنائية (2FA) وغيرها من الوسائل التي تُصعّب الأمر على المخترق حتى لو كان يمتلك كلمة السر.

الخلاصة: لا تأمن لرموز الاستجابة السريعة QR لأنها قد تكون فخًا لاختراقك. هذا لا يعني ألا تمسح هذه الرموز بالطبع، ولكن فقط كن حذرًا واتبع النصائح التي ذكرناها لا سيما إن كانت هذه الرموز في الأماكن غير المألوفة أو كان راسلها شخص لا تعرفه.

عالم الكمبيوتر