«Colissimo — تعذّر تسليم طردك.» تظهر الرسالة، لكن شيئًا ما قد تغيّر. إلى جانب اسم المُرسِل، شعار دائري صغير بألوان الشركة. وتحته، خانة زرقاء: «موثّق». وثلاثة أزرار مقترحة: «تتبّع طردي»، «إعادة جدولة»، «الاتصال بخدمة العملاء».
لم تعد هذه رسالة SMS. إنها رسالة RCS — وهي أقرب كثيرًا إلى محادثة على WhatsApp منها إلى النص الخام المكوّن من 160 حرفًا الذي نعرفه منذ ثلاثين عامًا. فمنذ أن أدمجت Apple هذا المعيار في نظام iOS أواخر عام 2024، وعمّمته Google على أجهزة Android، تغيّرت طبيعة تطبيق الرسائل الأصلي في هاتفك بهدوء. ولم يلاحظ معظم المستخدمين ذلك قط.
هذا التحوّل خبر جيد للأمن. لكنه يخلق أيضًا وضعًا خطيرًا: جمهور يتعلّم الوثوق بالشعارات الصغيرة وشارات «موثّق» دون أن يعرف ما الذي تضمنه فعلًا — ولا سيما ما الذي لا تضمنه.
RCS: عن ماذا نتحدث بالضبط؟
الاختصار يعني Rich Communication Services، أي «خدمات الاتصال الغنية». وهو معيار ترعاه GSMA، الجمعية العالمية لمشغّلي الهاتف المحمول، صُمّم منذ عام 2008 ليحل محل الرسائل القصيرة SMS والوسائط المتعددة MMS، اللتين أصبحتا متقادمتين تقنيًا أمام تطبيقات المراسلة عبر الإنترنت.
عمليًا، يوفّر RCS أربعة أمور لم تعرف رسائل SMS يومًا كيف تقدّمها:
- رسائل بلا حدّ لحجمها، مع صور ومقاطع فيديو وملفات بدقة كاملة؛
- إشعارات القراءة ومؤشر «يكتب الآن»، كما في تطبيقات المراسلة؛
- المرور عبر الإنترنت (Wi-Fi أو بيانات الهاتف) بدلًا من قناة الإشارات في شبكة الهاتف؛
- مُرسِلون مهنيون محدَّدو الهوية، بشعار واسم كامل ولون العلامة التجارية وشارة توثيق.
وهذه النقطة الأخيرة هي ما يهمّنا هنا. ففي منظومة RCS، لم يعد بإمكان شركة ترغب في إرسال رسائل إليك أن تكتفي بدفع رسوم بوابة إرسال وكتابة «SFR» أو «CPAM» في خانة المُرسِل. عليها المرور بعملية تسجيل: التحقق من الهوية القانونية، والتصديق على الشعار، والمراقبة من قِبل المشغّل أو من قِبل Google. هذه هي اللبنة المسمّاة RCS Business Messaging.
على الورق، يحلّ ذلك المشكلة التاريخية لرسائل SMS: الغياب التام لأي مصادقة على هوية المُرسِل.
الخطيئة الأصلية لرسائل SMS، ولماذا يصحّحها RCS
لا بد من إدراك مدى سذاجة بروتوكول SMS. فقد أُنشئ في أواخر الثمانينيات لاستخدام بين مشتركي الشبكة نفسها، ولم يتضمّن قط آلية للتحقق من المُرسِل. وحين ترسل شركة رسالة، فهي تملأ حقلًا نصيًا حرًا يسمى sender ID. ولا يتحقق أحد من هذا الحقل في السلسلة التقنية.
وهذا بالضبط ما يجعل الانتحال (spoofing) ممكنًا: تزوير اسم المُرسِل. فالمحتال الذي يكتب «AMELI» في هذا الحقل سترسو رسالته في خيط المحادثة القائم لهيئة التأمين الصحي على هاتفك، تحت الرسائل الحقيقية مباشرة. وتوثّق Cybermalveillance.gouv.fr، الجهاز الوطني لمساعدة ضحايا الجرائم السيبرانية، هذه الآلية منذ سنوات في نشراتها حول التصيّد عبر الرسائل (smishing).
في مواجهة ذلك، أنشأت فرنسا في أكتوبر 2023 سجل أسماء مُرسِلي الرسائل القصيرة، تديره الجمعية الفرنسية للوسائط المتعددة المحمولة (AF2M) تحت إشراف Arcep. فكل شركة ترغب في استخدام اسم أبجدي رقمي صارت ملزمة بالتصريح به، ويحجب المشغّلون عمليات الإرسال التي لا يكون مُرسِلها مسجّلًا. إنه تقدّم حقيقي، لكنه يظل وطنيًا: فعمليات الإرسال التي تمرّ عبر بوابات أجنبية أو عبر أبراج إرسال مزيّفة (ما يُعرف بـ SMS Blasters) تلتف جزئيًا على هذا الجهاز.
ويذهب RCS إلى أبعد من ذلك، لأن التحقق ليس تصريحيًا بل تشفيريًا وبصريًا: فالشعار والشارة تدفعهما المنصة، لا مُرسِل الرسالة. ولا يستطيع محتال أن يصنعهما داخل نص رسالته.
ما تضمنه شارة «موثّق» — وما لا تضمنه
هذا هو جوهر الموضوع، ومصدر معظم سوء الفهم.
ما تضمنه الشارة:
الجهة التي تراسلك قدّمت وثائق هوية الشركة وتمّ التحقق منها عبر المنصة. والشعار المعروض يخصّها. ولم تُصطنع الرسالة من طرف ثالث ينتحل صفتها.
ما لا تضمنه الشارة إطلاقًا:
- أن مضمون الرسالة صادق. فشركة تجارية مسجّلة فعلًا يمكنها تمامًا أن ترسل إليك عرضًا مضلّلًا أو اشتراكًا فخًّا أو استدراجًا عدوانيًا. التحقق يتناول الهوية، لا النية.
- أن الرابط الوارد في الرسالة آمن. فلا شيء يمنع رسالة شرعية من الإحالة إلى صفحة مخترقة.
- أن كل الرسائل غير الموثّقة احتيالية. فكثير من المنشآت الصغيرة والجمعيات والعيادات الطبية وورش السيارات ما زالت ترسل رسائل SMS بسيطة. غياب الشارة ليس مؤشرًا على الاحتيال.
هذا التمييز أساسي ينبغي إيصاله، ولا سيما إلى الفئات الأكثر عرضة. لقد أمضينا عشر سنوات نعلّم كبار السن أن «القفل الأخضر في المتصفح لا يعني أن الموقع نزيه». وشارة RCS في طريقها لأن تصبح القفل الأخضر الجديد: مؤشر مفيد، يحوّله من لا يعرف ما يقيسه إلى دليل قاطع.
أسطح الهجوم الجديدة التي يفتحها RCS
الانتقال من النص الخام إلى مراسلة غنية ينقل ساحة اللعب آليًا. وثمة ثلاثة تطورات تستحق الانتباه.
1. الرسالة التي لم تعد تشبه رسالة
كانت رسالة SMS الاحتيالية تُكتشف من قبحها: أخطاء إملائية، رابط غريب ظاهر، وانعدام أي تنسيق. أما رسالة RCS فيمكنها عرض شريط صور دوّار، وأزرار إجراءات، وخريطة تفاعلية، ولون العلامة التجارية. الخطأ الإملائي يبقى، لكنه يذوب داخل واجهة أنيقة تبعث على الثقة.
كما أن ردّ الفعل «أنظر إلى الرابط قبل النقر» يصبح أصعب: ففي زر الإجراء، لا يكون عنوان الوجهة مرئيًا ببساطة. تضغط على «تتبّع طردي» دون أن ترى قط إلى أين يأخذك ذلك.
2. عودة الملف المرفق
كانت رسالة SMS لا تنقل سوى رابط. أما RCS فينقل ملفات تصل إلى مئات الميغابايت. وهكذا نجد في مراسلات الهاتف ناقلًا كنا نظنه حكرًا على البريد الإلكتروني: المرفق الملغوم. فعلى Android، لا يزال ملف APK يُرسل في محادثة ويُقدَّم على أنه «تطبيق متابعة ملفك» أحد أبرز طرق تثبيت برامج التجسس المصرفية، كما توثّق ذلك بانتظام فرق ANSSI وشركات أمن الأجهزة المحمولة.
3. الاعتماد على الإنترنت
يمرّ RCS عبر البيانات. فالرسالة المُرسَلة وأنت في منطقة بلا تغطية أو نفد رصيد باقتك تتحوّل تلقائيًا إلى SMS تقليدية — أي بلا شارة، بلا شعار، بلا تشفير. وهذا التحوّل الصامت يخلق تناقضًا بصريًا يمكن للمحتالين استغلاله: «وصلت رسالتك بصيغة مبسّطة، انقر للاطلاع عليها». والحفاظ على الهاتف مشحونًا ومتصلًا له هنا وظيفة أمنية حقيقية، وهو ما يفسّر نجاح بطاريات الشحن المحمولة لدى المستخدمين الكثيفين للهاتف.
وماذا عن التشفير في كل هذا؟
هذا هو الموضوع الأكثر سوء فهم. فرسائل SMS ليست مشفّرة من طرف إلى طرف: إنها تمرّ بشكل واضح داخل بنية المشغّل، الذي يمكنه تقنيًا قراءتها، وتُخزَّن بعض الوقت على خوادمه. ولهذا السبب تحديدًا ينصح المختصون منذ زمن طويل بعدم تلقّي رموز المصادقة المصرفية عبر SMS.
وقد ورث RCS هذا الضعف طويلًا. أضافت Google التشفير من طرف إلى طرف في تطبيقها Messages، لكن فقط بين مستخدمَين لهذا التطبيق. ومنذ نشر ملف RCS Universal Profile 3.0 من قِبل GSMA عام 2025، صار التشفير من طرف إلى طرف منصوصًا عليه في المعيار نفسه، بما في ذلك بين Android وiPhone. أما نشره الفعلي فيتوقف على تحديثات أنظمة التشغيل والتطبيقات.
لنحتفظ بأمرين:
| SMS التقليدية | RCS (الملف الحديث) | |
|---|---|---|
| مصادقة المُرسِل | لا (سجل AF2M في فرنسا) | نعم للمهنيين الموثّقين |
| التشفير من طرف إلى طرف | لا | نعم، حسب الإصدارات |
| النقل | شبكة المشغّل | الإنترنت |
| المرفقات | لا | نعم |
| قابلة للقراءة بلا شبكة بيانات | نعم | لا |
يحمي التشفير مراسلاتك الخاصة من الاعتراض. لكنه لا يحمي إطلاقًا من الاحتيال: فالمحتال الذي يراسلك مباشرة يراسلك عبر قناة مشفّرة، وهذا لا يجعل كذبته أكثر أمانًا. والخلط بين السرية والموثوقية هو الخطأ المنطقي الأكثر شيوعًا في هذا الموضوع.
ردود الفعل التي ينبغي تحديثها في 2026
لا يُلغي وصول RCS أيًّا من ردود الفعل القائمة. بل يضيف إليها بعضها.
1. تحقّق من القناة، لا من الرسالة. تبقى القاعدة الذهبية ثابتة: لا إدارة ولا بنك ولا شركة نقل ستطلب منك إدخال معرّفاتك أو بياناتك المصرفية انطلاقًا من رسالة تلقّيتها. أيًّا كان الشعار المعروض، نغلق الرسالة ونتوجّه بأنفسنا إلى الموقع الرسمي أو التطبيق.
2. اضغط مطوّلًا بدل النقر. في معظم تطبيقات المراسلة، يُظهر الضغط المطوّل على زر إجراء أو رابط عنوانَ الوجهة دون فتحه. اعتد على ذلك: إنها الوسيلة الوحيدة لمعرفة إلى أين يقود زر RCS.
3. احذر من أي ملف يصلك في محادثة. لا توجد خدمة عامة ولا بنك فرنسي يوزّع تطبيقه بطريقة أخرى غير App Store أو Play Store. أي ملف تثبيت يصل عبر رسالة هو ملف احتيالي، بلا استثناء.
4. انظر إلى الاتساق، لا إلى الشكل الجمالي. الرسالة المهنية الموثّقة التي تخاطبك بصيغة حميمية، أو تهدّدك بمهلة 24 ساعة، أو تطلب منك «تسوية بقيمة 1,99 يورو» هي رسالة مشبوهة مهما كان مظهرها. الاستعجال والدفعة الصغيرة هما أثبت مؤشرَين على الاحتيال.
5. احتفظ برقم 33700 في المتناول. الخدمة الوطنية للإبلاغ عن الرسائل والمكالمات الاحتيالية، التي يديرها المشغّلون تحت إشراف السلطات العامة، تقبل إعادة توجيه الرسائل غير المرغوبة. وبالتوازي، تظل منصة Pharos وموقع cybermalveillance.gouv.fr نقطتَي الدخول للحالات الأخطر.
6. رتّب تطبيقات المراسلة لديك. كثير من هواتف Android تستضيف تطبيقَين قادرين على تلقّي الرسائل، ما يضاعف نقاط الدخول ويشوّش المعالم. الاحتفاظ بتطبيق واحد فقط، محدَّث، يبسّط اليقظة إلى حد بعيد.
الحالة الخاصة لكبار السن والمستخدمين غير المعتادين
كل تطوّر في الواجهة يُنتج أثرًا جانبيًا: فهو يعيد ضبط معالم من أمضوا سنوات في بنائها. فشخص في الثمانين كان قد فهم أخيرًا أن «رسالة حقيقية من مصرفي لا تتضمّن رابطًا أبدًا» يجد نفسه أمام فقاعات ملوّنة وأزرار وشعارات وصور مصغّرة.
بعض الإجراءات البسيطة تحدّ من الخطر:
- تعطيل RCS في إعدادات تطبيق الرسائل إن لم يكن للمستخدم أي حاجة إليه. يعود الهاتف إلى SMS التقليدية، أفقر لكن أوضح.
- حظر تثبيت التطبيقات من مصادر غير معروفة، وهو خيار موجود في إعدادات الأمان في Android، ويُبطل معظم الهجمات عبر المرفقات.
- للاستخدامات المحدودة جدًا، يمكن التفكير في هاتف لكبار السن بأزرار كبيرة، تبقى وظيفة المراسلة فيه بسيطة عن قصد: وظائف أقل تعني أيضًا سطح هجوم أصغر.
- تدوين المعرّفات المهمة في دفتر ورقي لكلمات المرور يُحفظ في المنزل، بدلًا من تخزينها في ملاحظات الهاتف أو الاضطرار إلى طلبها من جديد على عجل — وهي لحظة يستغلها المحتالون.
- تركيب حامل هاتف للمكتب قرب مكان العمل المنزلي، كي يعتاد الشخص قراءة رسائله بتأنٍّ وهو جالس، بدلًا من قراءتها في الشارع أثناء المشي. فالتسرّع هو العامل الأول للنقر.
ما ينبغي تذكّره
RCS تحسين حقيقي. فمصادقة المُرسِلين المهنيين تجعل الانتحال الفجّ لـ«CPAM» أو «La Poste»، الذي صنع ثروة التصيّد عبر الرسائل طوال عشر سنوات، أصعب بكثير. والتشفير من طرف إلى طرف، مع اتساع انتشاره، يسدّ ثغرة بنيوية في SMS.
لكن لم يسبق لأي تحسين تقني أن ألغى عملية احتيال: إنه ينقلها فحسب. فالحملات الاحتيالية تهاجر نحو أرقام الهاتف العادية، ونحو WhatsApp، ونحو رسائل منصات البيع، ونحو رموز QR المزيّفة. والأهم أنها تستند إلى ما لن تصلحه التقنية أبدًا: الخوف، والاستعجال، والتعب، والثقة الممنوحة لشعار.
فالسؤال الذي ينبغي طرحه أمام أي رسالة ليس «هل تبدو حقيقية؟»، بل «هل تطلب مني شيئًا لم أبادر أنا به؟». هذا السؤال يعمل بالقدر نفسه مع رسالة SMS من عام 1995 ومع رسالة غنية من عام 2026.
