هناك كمّ هائل من المحتوى الذي يعلّمك كيف تكتشف رسالة SMS احتيالية: أخطاء إملائية، رابط مختصر، نبرة مثيرة للذعر، رقم مجهول. لكن لا أحد تقريبًا يشرح ما العمل بعد أن يكون الإصبع قد انزلق فعلًا على الرابط. وهذه بالضبط هي اللحظة الحاسمة. فبين النقرة والاستغلال الفعلي للبيانات من قِبل المحتالين تمرّ عادةً بضع ساعات، وأحيانًا بضعة أيام. هذه النافذة الزمنية هي هامش المناورة المتاح لك.
هذا الدليل ليس درسًا نظريًا، بل بروتوكول طوارئ صُمِّم ليُتَّبع بالترتيب، بهدف بسيط: الحدّ من الأضرار، ثم استعادة السيطرة. وهو موجّه للجميع — بمن فيهم أولئك الذين كانوا مقتنعين قبل دقائق قليلة بأن «هذا لا يحدث إلا للآخرين». ففي عام 2026، بلغت حملات التصيّد النصي التي تنتحل صفة التأمين الصحي أو شركات التوصيل أو مصلحة الضرائب أو حتى بنك فرنسا مستوًى من الإتقان البصري لم يعد معه ردّ فعل الحذر وحده كافيًا دائمًا.
أولًا: قيِّم ما فعلته بالضبط
ليست كل النقرات متساوية. قبل أن تصاب بالهلع، خذ ثلاثين ثانية لتحديد وضعك. فمستوى الخطورة هو ما يحدد حجم الاستجابة المطلوبة.
| ما الذي فعلته | مستوى الخطر | الإجراء الرئيسي |
|---|---|---|
| فتحت الرسالة دون النقر | ضعيف جدًا | احذفها وأبلغ عبر 33700 |
| نقرت على الرابط، فُتحت الصفحة ثم أُغلقت | ضعيف إلى متوسط | افحص الجهاز، غيّر كلمات المرور الحسّاسة |
| أدخلت اسم المستخدم وكلمة المرور | مرتفع | تغيير فوري لكلمات المرور، وتنبيه الخدمة المعنية |
| أدخلت بيانات مصرفية أو رمزًا وصلك عبر SMS | حرِج | إيقاف فوري للبطاقة، وتقديم شكوى |
| ثبّتت تطبيقًا من الرابط | حرِج | عزل الجهاز، وإلغاء التثبيت، وربما إعادة ضبط المصنع |
هناك نقطة تستحق التوضيح لأنها تسبب قلقًا كبيرًا بلا داعٍ: على هاتف ذكي محدَّث، مجرد فتح صفحة ويب ملغومة لا يثبّت فيروسًا بطريقة سحرية. صحيح أن الهجمات التي تُعرف بـ«صفر تفاعل» موجودة، لكنها نادرة ومكلفة ومخصصة لأهداف عالية القيمة. وفي الغالبية العظمى من حالات التصيّد النصي التي تستهدف عامة الناس، يأتي الخطر مما كتبتَ أنت في الصفحة، لا من الشيفرة الموجودة فيها. وهذا خبر جيد: إذا لم تُدخل شيئًا ولم تثبّت شيئًا، فأنت على الأرجح بمنأى عن الضرر.
الدقائق العشر الأولى: اقطع واعزل
1. اقطع الاتصال إذا كنت قد ثبّت شيئًا
إذا دفعك الرابط إلى تنزيل ملف .apk على أندرويد، أو إذا سمحت بتثبيت «ملف تعريف إعدادات» على آيفون، فعّل وضع الطيران فورًا. بذلك تقطع قناة التواصل بين التطبيق الخبيث وخادم المهاجمين. فكثير من هذه التطبيقات مصمَّم لاعتراض الرسائل النصية الواردة — أي رموز التحقق المصرفية — وإعادة إرسالها في الوقت الفعلي.
2. لا تُدخل أي بيانات على هذا الجهاز في الوقت الحالي
ما دمت لم تتحقق من حالة الهاتف، تجنّب كتابة كلمات المرور عليه. استخدم جهازًا آخر: حاسوب العائلة، أو الجهاز اللوحي، أو هاتف أحد المقربين. هنا تظهر فائدة وجود حاسوب محمول احتياطي أو جهاز لوحي بسيط محفوظ في المنزل للمعاملات الإدارية: امتلاك جهاز ثانٍ سليم يغيّر كل شيء في مثل هذه المواقف.
3. دوّن كل شيء، وفورًا
لقطة شاشة للرسالة (بما في ذلك رقم المُرسل)، وقت الوصول، عنوان الرابط، توقيت النقر، ومحتوى ما أدخلته. ستُطلب منك هذه العناصر عند الإبلاغ، وعند تقديم الشكوى إن لزم الأمر. ووجود دفتر ملاحظات حلزوني بجانب الهاتف يجعل هذه الخطوة أقل إرهاقًا من البحث عن ملف تنشئه على عجل.
الساعة التالية: تأمين الحسابات
4. غيّر كلمات المرور، لكن بالترتيب الصحيح
الخطأ الشائع هو البدء بتغيير كلمة مرور الخدمة المنتحَلة. هذه ليست الأولوية. ابدأ بعنوان البريد الإلكتروني الرئيسي: فهو حجر الزاوية، وهو الذي يتيح إعادة تعيين جميع الحسابات الأخرى. وبعد ذلك فقط، عالج البقية بحسب درجة الحساسية.
- البريد الإلكتروني الرئيسي
- الحساب المصرفي وتطبيقات الدفع
- حساب مشغّل الهاتف المحمول (كثيرًا ما يُنسى، رغم أهميته المحورية)
- الحسابات الإدارية: الضرائب، Ameli، France Connect
- شبكات التواصل الاجتماعي والتجارة الإلكترونية
يجب أن تكون كل كلمة مرور فريدة. فإذا استخدمت التركيبة نفسها في كل مكان، يتحوّل اختراق خدمة واحدة إلى اختراق لحياتك الرقمية بأكملها. وهذا بالضبط ما يجرّبه المهاجمون أولًا، عبر ما يُعرف بـ«حشو بيانات الاعتماد» (credential stuffing). ومدير كلمات المرور، أو في أسوأ الأحوال دفتر ورقي لكلمات المرور محفوظ بعيدًا عن الأنظار، أفضل بما لا يُقاس من تنويعة على اسم أطفالك.
5. تحقق من المصادقة الثنائية والجلسات المفتوحة
في إعدادات الأمان لحساباتك الرئيسية، ابحث عن قسم «الأجهزة المتصلة» أو «الجلسات النشطة». وسجّل الخروج من كل ما لا تعرفه. تأكد أيضًا من أن رقم الهاتف وعنوان البريد الإلكتروني الخاصين بالاسترداد لم يُعدَّلا: فهذا أول ما يغيّره المهاجم ليحبس الضحية خارج حسابها.
واغتنم الفرصة لتعزيز المصادقة الثنائية. إذا كانت حساباتك الحسّاسة لا تزال تعتمد فقط على رمز يصل عبر SMS، ففكّر في استخدام تطبيق مصادقة، أو حتى مفتاح أمان مادي USB للبريد الرئيسي: فهو اليوم العامل الوحيد المقاوم فعليًا للتصيّد، لأنه يتحقق من عنوان الموقع قبل أن يسلّم أي شيء.
إذا تسرّبت بياناتك المصرفية
هذا هو السيناريو الأكثر إثارة للتوتر، وهو الذي تكون فيه السرعة أهم ما في الأمر.
6. أوقف البطاقة دون تأخير
اتصل فورًا برقم الطوارئ الخاص ببنكك، المتوفر على ظهر بطاقتك وفي تطبيقك المصرفي. وإن تعذّر ذلك، فإن خدمة إيقاف البطاقات المصرفية المشتركة بين البنوك، المتاحة على مدار الساعة، تتيح حظر البطاقة لدى جميع المؤسسات. واطلب صراحةً:
- حظر البطاقة المعنية؛
- وضع الحساب تحت مراقبة مشددة؛
- التعطيل المؤقت للمدفوعات عبر الإنترنت؛
- التأكد من عدم إضافة أي مستفيد جديد للتحويلات.
هذه النقطة الأخيرة بالغة الأهمية. ففي عمليات الاحتيال الحديثة، لا يستخدم المحتال البطاقة دائمًا: بل يضيف مستفيدًا ويطلق تحويلًا، ثم يتصل بك ليجعلك تؤكد رمز التحقق بحجة «تأمين» حسابك. ويذكّر بنك فرنسا، الذي تُنتحل هويته بانتظام من قِبل هذه الشبكات، بأن أي جهة رسمية لن تطلب منك أبدًا تأكيد رمز، أو إفشاء كلمة مرور، أو تحويل أموالك إلى «حساب آمن».
لن يطلب منك مستشار مصرفي شرعي أبدًا أن تُملي عليه رمزًا وصلك عبر SMS. وإن فعل، فهو ليس مستشارًا مصرفيًا.
7. اعرف حقوقك في استرداد الأموال
ينص قانون النقد والمال على أن البنك ملزم بتعويض عمليات الدفع غير المصرّح بها، إلا إذا أثبت وقوع إهمال جسيم من جانبك. وقد يكون هذا الحد محلّ نقاش أحيانًا، لكن كونك خُدعت بموقع يحاكي موقع بنكك بدقة متناهية، أو بمكالمة من رقم منتحَل، يصبّ في مصلحتك. اعترض كتابيًا برسالة مسجّلة، واحتفظ بنسخة من شكواك. وفي حال الرفض، يمكن اللجوء إلى وسيط البنوك ثم إلى هيئة ACPR.
الإبلاغ: مفيد ومجاني، ونادر الاستخدام
8. أعد توجيه الرسالة إلى 33700
يُعدّ الرقم 33700 المنصة الرسمية للإبلاغ عن الرسائل النصية والمكالمات غير المرغوب فيها في فرنسا، ويديره مشغّلو الاتصالات تحت إشراف السلطات العامة. والإجراء يتلخص في خطوتين: أعد توجيه الرسالة التي وصلتك إلى 33700، ثم ردّ على رسالة التأكيد بذكر رقم المُرسل الاحتيالي. الخدمة مجانية وتغذّي قاعدة بيانات تتيح إغلاق أرقام الإرسال.
9. أبلغ عن الموقع على المنصات الرسمية
- Cybermalveillance.gouv.fr: تشخيص عبر الإنترنت، وربط بمقدمي خدمات، وبطاقات إرشادية مفصّلة.
- Phishing Initiative / Signal Spam: لإدراج عنوان الموقع المزيف في القوائم السوداء لدى المتصفحات.
- Internet-signalement.gouv.fr (PHAROS): للإبلاغ عن المحتويات غير القانونية.
- تقديم شكوى: في مركز الشرطة أو الدرك، أو عبر الإنترنت من خلال نظام الشكاوى الإلكترونية الخاص بالنصب. وسيطلب منك البنك رقم الملف الإجرائي.
وإذا كنت قد أدخلت بيانات هوية كاملة (الاسم، العنوان، رقم الضمان الاجتماعي، نسخة من وثيقة الهوية)، فأبلغ عن ذلك أيضًا: فانتحال الهوية يُبنى انطلاقًا من هذه العناصر، وغالبًا بعد أشهر.
10. نبّه من حولك
إذا اختُرق بريدك الإلكتروني أو حسابك في تطبيقات المراسلة الفورية، فسيتلقى جهات اتصالك بدورهم رسائل ملغومة، تحمل ختم الثقة الذي يمنحه اسمك. ورسالة تحذير بسيطة إلى العائلة تمنع تفاعلًا متسلسلًا. وهذا صحيح بوجه خاص بالنسبة إلى المقربين المسنّين، وهم الأكثر استهدافًا إحصائيًا والأقل تجهيزًا.
تنظيف الجهاز: ما هو مفيد وما ليس كذلك
إذا كنت قد ثبّتت تطبيقًا من الرابط، فإن إلغاء التثبيت البسيط لا يكفي دائمًا. على أندرويد، تحقق أولًا في إعدادات إمكانية الوصول وفي «التطبيقات ذات الأذونات الخاصة» من أن أي تطبيق مجهول لا يتمتع بصلاحيات موسّعة: فهذه هي الآلية المفضلة لأحصنة طروادة المصرفية لقراءة الشاشة واعتراض الرسائل النصية. اسحب هذه الأذونات قبل إلغاء التثبيت، وإلا فسيُحظر الحذف.
ثم أعد التشغيل في الوضع الآمن لإلغاء تثبيت التطبيق العنيد. وإذا استمر الشك، تبقى إعادة ضبط المصنع هي الضمانة الحقيقية الوحيدة — ومن هنا أهمية وجود نسخة احتياطية محدّثة. فوجود قرص صلب خارجي أو بطاقة microSD للنسخ الاحتياطي، تُحدَّث مرة شهريًا، يحوّل إعادة الضبط الطارئة إلى مجرد إجراء شكلي.
على آيفون، اذهب إلى الإعدادات ← عام ← VPN وإدارة الجهاز، واحذف أي ملف تعريف إعدادات لم تثبّته بنفسك. وتحقق أيضًا من الاشتراكات ووسائل الدفع المسجّلة.
وفي جميع الأحوال، ثبّت تحديثات النظام المعلّقة. فمعظم البرمجيات الخبيثة تستغل ثغرات جرى إصلاحها منذ أشهر: البقاء محدَّثًا يظل الحماية الأعلى مردودًا على الإطلاق.
الأسابيع التالية: اليقظة طويلة الأمد
لا تنتهي عملية الاحتيال عبر الرسائل النصية في ظهيرة واحدة. فالبيانات المسروقة تنتقل وتُباع وتعود إلى الظهور بعد أشهر.
راقب كشوف حسابك المصرفي سطرًا بسطر، بما في ذلك الخصومات الصغيرة التي لا تتجاوز بضعة سنتيمات: فهي اختبارات لصلاحية البطاقة تسبق عملية أكبر.
توقّع تصاعدًا في المكالمات والرسائل النصية. فالضحية التي «ابتلعت الطُّعم» مرة تُسجَّل كهدف متجاوب ويُعاد بيع بياناتها على هذا الأساس. وغالبًا ما يعاود المحتالون الاتصال متسترين بصفة «خدمة مكافحة الاحتيال» تعرض استرداد المبالغ المفقودة — وهذه عملية نصب ثانية، تُعرف بـ«احتيال استرداد الأموال».
تحقق من حساباتك الإدارية. فالوصول الاحتيالي إلى Ameli أو مصلحة الضرائب أو حساب CAF يتيح تحويل مبالغ التعويضات بمجرد تعديل بيانات الحساب البنكي. وينشر التأمين الصحي بانتظام تنبيهات حول هذه الحملات ويذكّر بأنه لا يطلب أبدًا بيانات مصرفية عبر SMS.
وثّق كل شيء في ملف واحد. المراسلات، ولقطات الشاشة، وأرقام الملفات، وتواريخ المكالمات. فإذا نشأ نزاع مع البنك أو مع جهة إدارية، فإن هذا التتبّع هو ما يصنع الفارق.
تقليص مساحة الهجوم في المرة القادمة
لن يكون هناك لقاح نهائي ضد التصيّد النصي: فما دام الإرسال الجماعي يكلّف بضعة سنتيمات، ستستمر الحملات. لكن في المقابل، يمكن تقليل التعرّض.
- افصل بين استخداماتك. عنوان بريد إلكتروني مخصص للمشتريات والتسجيلات، وآخر مخصص للبنك والإدارة. ويوم يتسرّب الأول، يظل الثاني بعيدًا عن المتناول.
- قلّل من نشر رقمك. فكل استمارة تملؤها هي بوابة محتملة إلى قواعد البيانات التي يُعاد بيعها.
- أقفل بطاقة SIM. فرمز PIN غير بديهي للبطاقة يعقّد سرقة الخط، وبالتالي اعتراض رموز التحقق.
- ثقّف من حولك. فوجود كتاب تبسيطي عن الأمن السيبراني المنزلي متروكًا على طاولة الصالون كثيرًا ما يكون أشد أثرًا من خطاب طويل.
- لا تتصل أبدًا برقم ورد في رسالة. ابحث بنفسك عن الرقم الرسمي للجهة المعنية.
الخلاصة
النقر على رابط احتيالي ليس خطأ أخلاقيًا ولا دليلًا على السذاجة. فهذه الرسائل يصممها محترفون يختبرون صياغاتهم ويقيسونها ويحسّنونها تمامًا كما تُحسَّن حملة إعلانية. بل إن الشعور بالخجل الذي يعقب ذلك هو العدو الأول للضحايا: فهو يؤخر الإبلاغ وإيقاف البطاقة وتقديم الشكوى — أي كل ما كان يمكن أن يحدّ من الأضرار.
المنهج الصحيح يقوم على ثلاث مراحل: اقطع كل ما لا يزال قادرًا على الاتصال، أمّن الحسابات بحسب ترتيب الأهمية، أبلغ لتحمي نفسك قانونيًا وتحمي الآخرين. وما تبقّى مسألة صبر ومراقبة.
وللمستقبل، هناك مبدأ بسيط يستحق أن يُعلَّق في مكان ما في المنزل: لا توجد جهة شرعية — بنك أو إدارة أو مشغّل أو شركة نقل — ستطلب منك يومًا، عبر SMS، تأكيد رمز أو كلمة مرور أو بيانات حساب بنكي على وجه الاستعجال. فاليوم الذي تضغط عليك فيه رسالة للتصرف خلال أقل من أربع وعشرين ساعة، هو بالضبط اللحظة التي يجب فيها ألا تفعل شيئًا على الإطلاق، وأن تغلق الهاتف وتتصل بالرقم الحقيقي.
