تركن سيارتك في وسط المدينة. يحمل عدّاد المواقف ملصقًا نظيفًا، موضوعًا في المنتصف تمامًا، بشعار بلدي يبدو موثوقًا وبعبارة صارت مألوفة: «ادفع رسوم وقوفك دون نقود — امسح الرمز». تُخرج هاتفك، تمسح الرمز، فتُفتح استمارة، تُدخل رقم لوحتك وبطاقتك المصرفية. ثلاثون ثانية، دون تثبيت أي تطبيق. إنه بالضبط السلوك الذي تشجّعك المدن عليه منذ سنوات.
غير أن الملصق قد وُضع في الليلة السابقة فوق الملصق الحقيقي.
لا رابط ظاهر، لا خطأ إملائي، لا نبرة مثيرة للذعر. فالتصيّد عبر رموز QR — المعروف بـ«quishing»، وهو دمج بين QR code وphishing — لا علاقة له بالرسالة النصية التهديدية التي تعلّمنا مقاومتها. إنه لا يمارس عليك ضغطًا: بل يقدّم لك خدمة. ومن يشعر أنه يُساعَد لا يشعر أنه في خطر.
لماذا صار رمز QR النقطة العمياء في اليقظة
منذ عشر سنوات، تقوم كل توعية الجمهور ضد التصيّد الاحتيالي على مهارة واحدة: قراءة العنوان. رصد الشرطة الزائدة، أو .xyz بدل .fr، أو اسم المصرف متبوعًا بكلمة دخيلة. فمنصة Cybermalveillance.gouv.fr ووكالة ANSSI والخدمات المصرفية تكرّر النصيحة نفسها منذ سنوات: تحقّق من الرابط قبل النقر.
رمز QR يُلغي هذه المهارة دفعة واحدة. مربّع من البكسلات السوداء لا يقول شيئًا. لا يمكن تمرير المؤشر فوقه، ولا قراءته، ولا مقارنته. إنه يُمسح فقط — أي أنك تمنحه ثقتك مسبقًا.
وثمة ثلاثة عوامل تزيد الوضع سوءًا:
- الانتشار الواسع بعد 2020. قوائم المطاعم، وشبابيك التذاكر، ومحطات الشحن، وأدلة تركيب الأثاث، وملصقات المنتجات: صار المسح فعلًا انعكاسيًا، دون أدنى شبهة مرتبطة به.
- انقطاع السياق. الرسالة النصية الاحتيالية تصل ضمن تدفّق (صندوق رسائلك) حيث تصلح الرسائل الأخرى كمرجع للمقارنة. أما رمز QR فمادي: يستعير مصداقية السطح الملصق عليه. فملصق على أثاث حضري رسمي يبدو رسميًا.
- تبدّل الشاشة. غالبًا ما تمسح الرمز المعروض على سطح خارجي وأنت تمدّ ذراعك بالهاتف، في ضوء ساطع وعلى عجل. وهذا أسوأ سياق ممكن لقراءة شريط عنوان مبتور بانتباه.
لم يختفِ التصيّد عبر الرسائل النصية الكلاسيكي — وتُثبت ذلك موجات الرسائل المصرفية أو الإدارية المزيّفة التي رصدتها الصحافة المحلية في الأشهر الأخيرة. لكن رمز QR يمنح المحتالين شيئًا لم تعد الرسالة النصية تمنحه لهم: الغياب التام لأي مرشّح. فلا مشغّل اتصالات يستطيع تحليل ملصق ورقي.
أين نجدها عمليًا في فرنسا
ترسم البلاغات الواردة إلى جمعيات حماية المستهلك والبلديات خريطة ثابتة نسبيًا.
| السطح المستغَل | الذريعة المعروضة | ما يحصل عليه المحتال |
|---|---|---|
| عدّاد المواقف، مرآب تحت الأرض | دفع رسوم الوقوف | البطاقة المصرفية، رقم اللوحة، الهوية |
| محطة الشحن الكهربائي | بدء جلسة الشحن | البطاقة المصرفية، إنشاء حساب |
| الدراجات والسكوترات ذاتية الخدمة | فتح المركبة سريعًا | البيانات المصرفية |
| ملصق مشاركة السيارة / إعلان مبوّب | التواصل مع البائع | بيانات الدخول إلى منصّة |
| رسالة ورقية «رسمية» | تسوية ملف، استرداد مبلغ | بيانات شخصية كاملة |
| طرد يصل مع منشور «هدية» | تقييم مقابل قسيمة شراء | حساب تجاري، اشتراك مخفي |
| شرفة مقهى، طاولة مطعم | قائمة الطعام أو دفع الحساب | البطاقة المصرفية |
وثمة نوعان يستحقان انتباهًا خاصًا.
الرسالة الإدارية المزوّرة. ما زال تلقّي رسالة ورقية، بالنسبة إلى كثيرين، دليل جدّية. فحملات تنتحل صفة هيئات عامة — التأمين الصحي، صناديق التقاعد، الإدارة الضريبية — صارت تستبدل بالعنوان الإلكتروني رمز QR، وذلك تحديدًا لأن تزوير رمز QR أسهل من التحقق من موقع مؤسسي. ولنُذكّر بالمبدأ الذي تكرّره Ameli: التأمين الصحي لا يطلب أبدًا بيانات مصرفية عبر رسالة أو بريد غير مطلوب من أجل «تحرير» مبلغ مسترد.
«البراشينغ» مع منشور دعائي. تتلقّى طردًا صغيرًا لم تطلبه، مرفقًا ببطاقة تعرض هدية مقابل تقييم. ويقود رمز QR إلى استمارة تجمع أكثر بكثير مما يلزم.
ماذا يحدث فعلًا بعد المسح
خلافًا لفكرة شائعة وراسخة، فإن مسح رمز QR لا «يخترق» الهاتف. الرمز لا يحتوي سوى على بيان واحد: غالبًا عنوان إلكتروني، وأحيانًا رقم هاتف، أو شبكة Wi-Fi، أو نص، أو أمر دفع. الخطر يأتي من ما تفعله بعد ذلك.
وتغلب ثلاثة سيناريوهات:
- صفحة جمع البيانات. نسخة شديدة الإتقان من موقع دفع. تُدخل بطاقتك، فتذهب مباشرة إلى المحتال — أو، وهو الأخبث، تُستخدم لتفعيل اشتراك متكرر بقيمة بضعة يوروهات أسبوعيًا، وهو مبلغ منخفض عمدًا كي يمرّ تحت عتبة انتباهك في كشف الحساب.
- إطلاق مكالمة. يتضمّن الرمز رقمًا ذا تعرفة مرتفعة؛ فيقترح الجهاز الاتصال، وثانية واحدة من الشرود تكفي. إنها آلية «wangiri» منقولة إلى الوسيط المادي.
- التثبيت خارج المتجر الرسمي. تدعوك صفحة إلى تثبيت «تطبيق مواقف» عبر ملف يُنزَّل مباشرة. وعلى أندرويد، قبول التثبيت من مصدر مجهول يفتح الباب أمام برنامج قادر على اعتراض رسائلك النصية — أي رموز التحقق المصرفية.
الحالة الثالثة هي الأخطر، لأنها تحوّل سرقة عابرة إلى نفاذ دائم. وهي أيضًا الوحيدة التي تتطلب عدة تأكيدات صريحة منك: أي عدة لحظات لا يزال بوسعك فيها أن ترفض.
قاعدة بسيطة تستحق التذكّر: رمز QR مشروع لا يطلب منك أبدًا تثبيت أي شيء خارج App Store أو Play Store. أبدًا.
ردود الفعل الستة الكفيلة بحمايتك
1. المس قبل أن تمسح
أنجع حركة لا تكلّف شيئًا: مرّر إصبعك على رمز QR. الملصق الموضوع فوق غيره يُحسّ باللمس — حافة مرفوعة قليلًا، سماكة، لمعان مختلف عن السطح، زاوية غير مستقيمة، شعار مبكسل. وعلى عدّاد المواقف أو المحطة، انظر أيضًا ما إذا كان الرمز يغطي جزئيًا معلومة ما (رقم تسلسلي، بيان قانوني). فالمشغّل الرسمي لا يحجب أبدًا كتاباته الخاصة.
2. اقرأ العنوان قبل الفتح
كل الهواتف الحديثة تعرض الرابط في معاينة قبل فتح الصفحة. خذ الثانيتين اللازمتين. المهم هو الكلمة الواقعة مباشرة قبل أول /: فهي النطاق الحقيقي. paiement.ville-de-lyon.fr/parking معقول؛ أما ville-de-lyon.paiement-securise-fr.co/parking فليس كذلك إطلاقًا، حتى وإن بدت بدايته سليمة.
وإذا كنت تجد صعوبة في قراءة الشاشة في الخارج، تحت أشعة الشمس أو بنظارات متعددة البؤر، فهذه ليست مسألة راحة ثانوية: إنها عامل خطر. فـفيلم مضاد للانعكاس للهاتف الذكي يحسّن الوضوح بشكل ملحوظ في الضوء الساطع، وبالتالي يحسّن غير مباشرة قدرتك على التحقق من عنوان قبل النقر.
3. ارفض الطريق المختصر متى وُجد بديل
يوجد دائمًا تقريبًا مسار لا يمكن نصب فخّ فيه:
- بالنسبة إلى المواقف: التطبيق الرسمي للمدينة مثبّتًا من متجر التطبيقات، أو ببساطة النقود والبطاقة المُدخلة في العدّاد؛
- بالنسبة إلى هيئة عامة: كتابة العنوان المعروف يدويًا (ameli.fr، impots.gouv.fr، agirc-arrco.fr) في المتصفح؛
- بالنسبة إلى مصرف: التطبيق المثبّت مسبقًا، ولا رابط وارد أبدًا.
المبدأ ثابت: لا تسلك أبدًا طريقًا مُدّ إليك؛ اسلك الطريق الذي تعرفه سلفًا.
4. اعزل وسيلة الدفع
كثير من عمليات الاحتيال عبر رموز QR لا تدرّ شيئًا لأن البطاقة المستخدمة فارغة. هذا هو دور البطاقات الافتراضية أحادية الاستخدام التي تقدّمها معظم المصارف الفرنسية، أو بطاقة مدفوعة مسبقًا قابلة للشحن مخصّصة للمدفوعات الميدانية — المواقف، الشحن، الشراء أثناء التنقل. فالسقف يحدّ من الأضرار آليًا، والاشتراك المخفي لا يمكنه اقتطاع ما لا وجود له.
5. أغلق الجهاز مسبقًا
إعدادان، مرة واحدة وإلى الأبد:
- على أندرويد، اترك تعطيل إذن تثبيت التطبيقات من مصادر مجهولة (الإعدادات ← التطبيقات ← الوصول الخاص)؛
- على iPhone كما على أندرويد، فعّل الحماية من المواقع الاحتيالية في إعدادات المتصفح.
وبالنسبة إلى من يستخدمون هواتفهم في الخارج، غالبًا ويداهما مشغولتان، فإن غطاء هاتف بحامل بطاقات مدمج يجنّبك إخراج الهاتف والمحفظة معًا على الرصيف — وهو السياق النموذجي الذي يُمسح فيه الرمز بسرعة وبإهمال.
6. أبلِغ، دائمًا
يبقى الملصق الاحتيالي في مكانه ما دام لا أحد يزيله. ثلاث خطوات مفيدة:
- انزع رمز QR المزيّف إن كان إضافة ظاهرة للعيان، أو صوّره؛
- أبلغ المشغّل: البلدية، مصلحة المواقف، مشغّل المحطة، مدير المحل؛
- أبلغ عن الصفحة على منصة Cybermalveillance.gouv.fr، وعن الرسالة النصية المرتبطة بها على الرقم 33700 إذا سبقت رسالة عملية المسح أو تلتها.
وفي حال تمّ الدفع، اعترض على العملية فورًا، ثم قدّم شكوى. فالتوجيه الأوروبي لخدمات الدفع (DSP2) المنقول إلى القانون الفرنسي ينظّم استرداد العمليات غير المصرّح بها: على مصرفك أن يردّ لك عملية لم تأذن بها، إلا إذا أثبت إهمالًا جسيمًا من جانبك. ومن هنا أهمية الاحتفاظ بالأدلة — صورة الملصق، لقطة للصفحة، توقيت الحادثة.
الحالة الخاصة لكبار السن والفئات الهشّة
يضرب التصيّد عبر رموز QR بشكل خاص من تبنّوا الهاتف الذكي متأخرين. فقد استوعبوا غالبًا تعليمة مبسّطة — «لا تنقر على الروابط» — دون أن يدخل رمز QR في هذه الخانة الذهنية. فبالنسبة إلى كثيرين، المسح ليس نقرًا.
بعض تدابير المرافقة الفعّالة:
- إعادة صياغة التعليمة بدلالة الوجهة لا الوسيط: «لا ندفع أبدًا من رمز معروض في الخارج، بل ندفع من تطبيق ثبّتناه بأنفسنا»؛
- تثبيت التطبيقين أو الثلاثة المفيدة فعلًا معًا (المواقف، النقل، المصرف) لإلغاء الحاجة إلى مسح أي شيء؛
- تكبير حجم الخط ورفع التباين لجعل معاينة العنوان مقروءة؛
- بالنسبة إلى والد شديد التحفّظ تجاه التكنولوجيا، تبنَّ استخدامًا في حدّه الأدنى: هاتف لكبار السن بأزرار كبيرة بلا متصفح يغلق الباب أمام هذه الهجمات كلها، وهو خيار يبقى مشروعًا تمامًا.
وغالبًا ما يترك كتاب تبسيطي عن الأمن السيبراني، متروكًا على الطاولة المنخفضة، أثرًا أكبر من شرح شفوي مدّته عشر دقائق: فالقراءة على الإيقاع الشخصي تجنّب الشعور بالمعاملة الطفولية الذي يعطّل كثيرًا من الأحاديث العائلية حول الموضوع.
ما يميّز رمز QR مشروعًا عن فخّ
| المؤشّر | مشروع | مشبوه |
|---|---|---|
| السطح | مطبوع في المادة نفسها، محفور، مدمج في الأثاث | ملصق مضاف، موضوع فوق غيره |
| النطاق المعروض | اسم الهيئة قبل أول / | اسم الهيئة كنطاق فرعي أو مع شرطة |
| المطلوب | المبلغ، رقم اللوحة، الجلسة | بطاقة + وثيقة هوية + رقم ضريبي |
| التثبيت | إحالة إلى App Store / Play Store | تنزيل مباشر لملف |
| الاستعجال | لا يوجد | عدّاد تنازلي، «عرض صالح 15 دقيقة» |
| البديل | الدفع التقليدي متاح | يُقدَّم رمز QR بوصفه الوسيلة الوحيدة |
المعيار الأخير هو على الأرجح الأكثر دلالة. فالمؤسسة لا تلغي أبدًا كل القنوات الأخرى. وحين يخبرك سطح ما بأن المسح هو السبيل الوحيد الممكن، فذلك لأن الهدف منعك من التحقق في مكان آخر.
جوهر المشكلة ليس تقنيًا
لا يقوم التصيّد عبر رموز QR على أي براعة معلوماتية. إنه يقوم على عادة جماعية ترسّخت في سنوات قليلة: الثقة بوسيط مادي لمجرد أنه هناك، ظاهر، في الفضاء العام. لقد تعلّمنا الحذر مما يصل إلى شاشتنا دون طلب منا — رسائل نصية، رسائل إلكترونية، مكالمات — لكن لا مما هو ملصق على محطة في الشارع.
والخبر السار أن الوقاية هنا تتطلب جهدًا أقل مما تتطلبه الرسالة النصية الاحتيالية. فالرابط الوارد في رسالة يجب تحليله ذهنيًا في ثانية واحدة. أما رمز QR فيُلمس بالإصبع. والاختبار الأكثر موثوقية ضد احتيال عام 2026 هو أيضًا أقدم اختبار في العالم: التحقق باليد ممّا إذا كان شيء قد أُلصق فوق شيء آخر.
وإذا كان عليك تحذير شخص قريب سريعًا من عملية احتيال رصدتها في حيّك، تبقى الرسالة القصيرة والواضحة أنجع أداة — أكثر بكثير من رسالة صوتية طويلة أو لقطة شاشة غير مقروءة. جملة واحدة، ومكان، ونصيحة. غالبًا ما يكون ذلك كل ما كان ينقص لتفادي عملية مسح واحدة زائدة.
