رموز QR ملغومة على عدادات الوقوف ومحطات الشحن: التصيّد بالـ QR ينتقل إلى الشارع

«دفع رسوم الوقوف — امسح الرمز لتسدّد في 30 ثانية، دون أي تطبيق.»

العبارة مطبوعة بالأسود على ملصق أبيض، نظيف، مغلّف بالبلاستيك، ملصوق باستقامة تامة على واجهة عدّاد الوقوف. ورمز QR أسفله يعمل على أتمّ وجه. الصفحة التي تُفتح تعرض اسم مدينتك، وخريطة للمنطقة، وشعارًا بلديًا، ونموذج دفع. وبعد ثلاث دقائق، تصلك حتى رسالة SMS تأكيد تحمل رقم تذكرة.

كل شيء مزيَّف، ما عدا الخصم من بطاقتك.

التصيّد بالـ QR — أو ما يُعرف بـ quishing، وهو دمج لكلمتَي QR وphishing — هو أكثر أشكال الاحتيال الإلكتروني الحديث تخفّيًا. لا يحتاج إلى انتحال هوية مُرسِل، ولا إلى قاعدة بيانات مسروقة، ولا إلى جهاز SMS Blaster مخبّأ في صندوق سيارة. كل ما يحتاجه هو طابعة، ولفّة شريط لاصق، وعشر ثوانٍ أمام أحد تجهيزات الطرق.

لماذا صار رمز QR الثغرة المثالية

الرابط الإلكتروني يمكن قراءته. يمكنك رصد الشرطة المريبة، أو الامتداد .top أو .xyz، أو النطاق الفرعي الذي يتقنّع (ants-gouv.verif-doc.net). بل إن هذه هي القاعدة الأولى للوقاية التي يذكّر بها موقع Cybermalveillance.gouv.fr: مرّر المؤشر، اقرأ، تحقّق من اسم النطاق قبل النقر.

أما رمز QR فهو غير قابل للقراءة بالنسبة إلى الإنسان. إنه شيك على بياض في صورة رسم: لا تكتشف الوجهة إلا بعد فتح الرابط، وأحيانًا بعد عمليتَي تحويل متتاليتين. وتصميم واجهات الهواتف الذكية لا يساعد — فكثير من الأجهزة يعرض الرابط بخط صغير جدًا، مقطوعًا، لمدة ثانية ونصف، في شريط إشعارات لا يقرأه أحد.

ثلاث خصائص تجعل منه أداة مفضّلة للمحتالين:

• الثقة المرتبطة بالوسيط المادي. لوحة بلدية، محطة شحن، قائمة طعام في مطعم: تتمتّع تجهيزات الشارع بقرينة أصالة لن تحصل عليها أي رسالة SMS يومًا.
• الاختفاء عن أنظار المرشِّحات. لا يمكن لأي مشغّل هاتفي ولا لأي نظام مكافحة للرسائل المزعجة أن يحلّل ملصقًا في الشارع. فحيث يُحجب في النهاية رابط ضار في رسالة SMS جماعية، يمرّ رمز QR عبر القناة الأكثر استعصاءً على الحجب: عينَيك.
• عنصر الاستعجال المدمج. أنت تمسح رمز QR للوقوف لأنك مستعجل، واقف في الصف الثاني، تحت المطر، ولديك موعد بعد ثماني دقائق. وهي الظروف نفسها التي ينهار فيها الحذر.

تذكّر جهات مثل ANSSI وArcep بانتظام أن التطوّر التقني لعملية نصب أقل أهمية من اللحظة التي تحدث فيها. والتصيّد بالـ QR في الشارع هو البرهان المثالي على هذا المبدأ.

أكثر أربعة سياقات استخدامًا في فرنسا

1. عدادات الوقوف وأجهزة الاصطفاف

هي الحالة الأكثر توثيقًا منذ 2024، مع بلاغات في عشرات البلديات الفرنسية — Charleville-Mézières، Rouen، Lyon، Toulouse، Nice، وعدّة منتجعات ساحلية في الموسم. أسلوب العمل ثابت: يُلصق ملصق على شاشة العدّاد أو بجانبها، وغالبًا فوق رمز QR رسمي قديم.

الموقع المزيَّف يستنسخ الهوية البصرية لتطبيقات الوقوف الشرعية. يطلب رقم لوحة السيارة، ومدة الوقوف، ثم بيانات البطاقة المصرفية كاملة: الرقم المكوّن من 16 خانة، وتاريخ الانتهاء، والرمز السري الخلفي. بعض النسخ تذهب أبعد من ذلك وتقترح «اشتراكًا شهريًا بيورو واحد» يخفي في الحقيقة خصمًا متكرّرًا.

2. محطات شحن السيارات الكهربائية

السياق مثالي: محطة الشحن تجهيز تقني، غالبًا سيّئ التعريف، مع عدّة مشغّلين متنافسين، وتطبيقات متعدّدة، وأسعار غير مفهومة. السائق لا يعرف دائمًا لمن يُفترض أن يدفع. رمز QR مزيَّف ملصوق على عمود المحطة، مع عبارة «دفع بدون بطاقة عضوية»، يجد هدفه فورًا — خصوصًا في الرحلات الطويلة، حين تريد المتابعة بسرعة.

3. إشعارات المخالفات وإشعارات المرور

إشعارات وهمية بـ«رسوم وقوف غير مسدّدة» تُدَسّ تحت ماسحات الزجاج، مطبوعة على ورق أصفر أو أخضر، مع رمز QR للتسديد. والمنطق نفسه ينطبق على إشعارات مرور شركات التوصيل المزيَّفة المعلّقة على صندوق البريد: لم تعد هناك حاجة لإرسال رسالة SMS عن طرد، يكفي ترك ورقة.

4. تراسات المقاهي واللافتات والواجهات

رمز QR لقائمة الطعام مغطّى بآخر، ملصق حفل موسيقي أو سوق مستعمل مُحوَّل، ملصق «واي فاي مجاني» في قاعة انتظار. هنا لا يكون الهدف دائمًا الدفع الفوري: بل غالبًا جمع رقم الهاتف والبريد الإلكتروني، ليُعاد بيعهما أو استخدامهما في حملة تصيّد عبر الرسائل النصية بعد أسابيع.

رسالة SMS، الطابق الثاني من عملية النصب

هذه هي النقطة التي تنساها معظم مقالات التوعية: رمز QR لا يكون تقريبًا أبدًا نهاية القصة. إنه يخدم في التقاط معلومة، وهذه المعلومة تُستخدم بعد ذلك لصياغة رسالة SMS بالغة الإقناع.

السيناريو الكامل يشبه هذا:

المرحلة	ما تعيشه أنت	ما يحدث في الواقع
1	تمسح رمز QR الموجود على عدّاد الوقوف	تهبط على نطاق أُنشئ في الأسبوع السابق
2	تُدخل لوحة السيارة والهاتف والبطاقة	البيانات تُرسَل بشكل صريح إلى سيرفر تابع لجهة خارجية
3	تصلك رسالة SMS «تم تأكيد التذكرة رقم 48219»	الرسالة يرسلها المحتالون لإخماد أي شكّ
4	بعد 3 إلى 20 يومًا: «فشل الدفع، يرجى التسوية»	خصم ثانٍ، أو سرقة رمز 3-D Secure
5	مكالمة «من مصرفك» تطلب منك التأكيد	احتيال المستشار المزيَّف، مع بيانات دقيقة بين يديه

رسالة تأكيد الـ SMS تلعب دورًا نفسيًا جوهريًا: فهي تحوّل عملية مشبوهة إلى معاملة ناجحة. تُعيد هاتفك إلى جيبك مطمئنًا، ولا تراقب حسابك، ولن تربط بين الخصم غير الطبيعي في الرابع عشر من الشهر ووقوفك في ذلك المرآب يوم الثاني.

وهذه الرسالة نفسها هي ما يجعل الاحتيال صعب التتبّع: فعندما تُدرك الضحية ما حدث، تكون قد حذفت الرسالة، ومحت سجلّ المتصفّح، ونسيت اسم الشارع.

قاعدة بسيطة تستحق التذكّر: رمز QR لا يؤكّد لك شيئًا أبدًا. وحده تطبيق رسمي ثبّتّه أنت، أو موقع كتبت عنوانه أنت بنفسك، يمكنه أن يفعل ذلك.

كيف تكتشف رمز QR متلاعَبًا به في عشر ثوانٍ

الخبر الجيّد أن هذا الاحتيال مادي — أي إنه قابل للكشف بالعين المجرّدة. قبل مسح أي رمز في الفضاء العام:

• المس الرمز. الملصق الموضوع فوق الأصلي يُحَسّ بالإصبع: حافة بارزة، زاوية تبدأ بالانفصال، فقاعة هواء. رموز QR الرسمية مطبوعة بالسلك سكرين، أو محفورة، أو مطبوعة على اللوحة نفسها، تحت بلاستيك صلب.
• انظر إلى الاصطفاف ونوع الخط. خط مختلف عن بقية اللوحة، حرف ناقص الحركة، شعار مبكسل، عبارة «مدينة…» بدون شعار رسمي: كلها إشارات تحذير.
• ابحث عن التكرار. وجود رمزَي QR على التجهيز نفسه، أحدهما مُضاف على عجل، هو السيناريو الأكثر شيوعًا.
• تحقّق من النطاق قبل الفتح. الإدارات والجماعات المحلية الفرنسية تستخدم نطاقات .gouv.fr أو .fr قابلة للتعرّف. أي رابط بامتداد .top أو .icu أو .shop أو .online، أو مختصِر روابط (bit.ly، cutt.ly)، أو نطاق طويل محشو بالشرطات: أغلق فورًا.
• احذر الرمز السري الخلفي. لن تطلب منك أي خدمة وقوف عامة رمزك المكوّن من 3 أرقام على صفحة وصلت إليها عبر رمز QR دون المرور بـ 3-D Secure.

هناك ملحق بسيط جدًا يساعد أكثر مما نتصوّر: حامل هاتف للسيارة، يتيح إبقاء الهاتف على مستوى العين وقراءة الرابط بهدوء بدل المسح بذراع ممدودة، والباب مفتوح، والمحرّك يدور.

ردّة الفعل التي تحلّ 90% من المشكلة

سدّد رسوم وقوفك بطريقة أخرى. تطبيقات الوقوف الرسمية في فرنسا متاحة للتنزيل من متاجر التطبيقات، وبعد تثبيتها لا تحتاج إلى أي رمز QR بعد ذلك. والدفع بالبطاقة مباشرة على عدّاد الوقوف، حيث يتوفّر، يبقى كذلك لا يُبارى: لا صفحة ويب، لا نموذج، ولا رقم هاتف مُفصَح عنه.

أما محطات الشحن، فبطاقة أو شريحة RFID الخاصة بمشغّل التنقّل الذي تتعامل معه تحلّ المشكلة من جذورها. قارئ بطاقة شحن متوافق أو بطاقة عضوية متعدّدة الشبكات يعفيك من مسح أي شيء على محطة مجهولة.

هيّئ هاتفك قبل أن تحتاج إليه

بعض الإعدادات، تُضبط مرة واحدة، تغيّر كل شيء في اليوم الذي تمسح فيه رمزًا خبيثًا.

أوقف الفتح التلقائي للروابط. على iPhone كما على Android، يمكن ضبط الكاميرا لعرض الرابط وانتظار تأكيد بدل فتح المتصفّح فورًا. هذا هو الحصن الفعّال الوحيد حقًا، وهو مجاني.

فعّل إشعارات الدفع من مصرفك. تنبيه عند كل خصم، ولو بمقدار يورو واحد، يقلّص مدة الكشف من ثلاثة أسابيع إلى ثلاث دقائق. جميع المصارف الفرنسية تقدّم هذه الخدمة مجانًا في تطبيقاتها.

استخدم بطاقة افتراضية أو بسقف محدود لمدفوعات الشارع. معظم المصارف والمصارف الرقمية تتيح توليد رقم لاستخدام واحد. والمحتال الذي يحصل على رقم منتهي الصلاحية لم يحصل على شيء إطلاقًا.

أبقِ هاتفك مشحونًا. يبدو الأمر ثانويًا، لكن جزءًا كبيرًا من القرارات السيئة في المرآب تُتَّخذ على عجل، وبنسبة بطارية 6%، ورغبة في إنهاء الأمر. بطارية خارجية صغيرة الحجم في صندوق القفازات تُزيل جزءًا من هذا الضغط.

سجّل ما مسحته. إذا شككت، صوّر التجهيز ورمز QR فورًا. هذه هي القطعة التي ستتيح للبلدية إزالة الملصق ولمصرفك دراسة النزاع.

مسحت الرمز ودفعت: ما عليك فعله

الوقت عامل حاسم. بالترتيب:

1. أوقف البطاقة فورًا لدى مصرفك (رقم الطوارئ متاح 24 ساعة يوميًا)، أو في حال تعذّر ذلك، عبر الخدمة المشتركة بين المصارف على الرقم 0 892 705 705.
2. اطلب استرداد المبلغ. المادة L133-18 من القانون النقدي والمالي الفرنسي تُلزم المصرف بردّ أي عملية دفع غير مصرّح بها يُبلَّغ عنها في المهل المحدّدة، ما لم يُثبت إهمال جسيم من جانبك. صُغ الطلب كتابةً.
3. بلّغ عن الرسالة النصية التي وصلتك إلى الرقم 33700، المنصّة الرسمية للتبليغ عن الرسائل والمكالمات الاحتيالية، والتي يديرها المشغّلون الفرنسيون.
4. قدّم شكوى في مركز الشرطة أو الدرك، أو عبر منصّة THESEE على موقع service-public.fr الخاصة بجرائم النصب الإلكتروني.
5. بلّغ عن الموقع المزيَّف على Phishing Initiative، وعن رمز QR المادي لدى البلدية أو مُشغّل محطة الشحن: هذا ما يؤدي إلى إزالة الملصق.
6. راقب حساباتك لمدة ثلاثة أشهر. البيانات المسروقة يُعاد بيعها واستخدامها غالبًا بعد أسابيع عديدة، لا سيما في شكل مكالمات مزيَّفة «من مستشارك المصرفي».

وإذا احتجت إلى تحذير قريب أو زميل يوقف سيارته في الشارع نفسه بسرعة، تكفي رسالة قصيرة: «رمز QR ملغوم على عدّاد الوقوف في شارع كذا، ادفع بالبطاقة مباشرة على الجهاز.» وهذا بالضبط نوع التحذير الفوري الذي يكون إرسال رسالة SMS عبر الإنترنت، دون تثبيت أي شيء، مفيدًا فيه.

ما يقوله لنا هذا الاحتيال عن بقية الأمور

التصيّد بالـ QR في الشارع ليس عملية نصب متطوّرة كثيرًا. إنه عملية نصب موضوعة في المكان المناسب. وهي تجسّد تحوّلًا نجده في معظم الحملات الحديثة: المحتالون لم يعودوا يحاولون تضليل حكمك، بل يبحثون عن اللحظة التي لا تُحكم فيها على شيء.

أمام عدّاد وقوف، تحت المطر، وفكرة مخالفة محتملة تدور في رأسك، لا أحد يحلّل اسم نطاق. ولهذا فإن الدفاع المستدام الوحيد ليس الحذر — فهو مُنهك وغير قابل للتطبيق — بل العادة: أن تدفع دائمًا عبر القناة نفسها، تلك التي اخترتها في حالة صفاء، في يوم لم تكن فيه مستعجلًا.

دفتر ملاحظات محفوظ في السيارة يحتوي على الأرقام المفيدة (إيقاف البطاقة، المساعدة، 33700) يكلّف يوروين ويوفّر ربع ساعة حاسمة. فالوقاية، في مسألة الرسائل النصية الاحتيالية كما في رموز QR الملغومة، تُلعب دائمًا تقريبًا قبل وقوع الحادث.