«مرحبًا، خدمة التوصيل: طردكم 7G42B في انتظاركم في نقطة الاستلام. لتأكيد هويتكم، نرجو إرسال رمز الاستلام المكوّن من 6 أرقام الذي وصلكم على هذا الرقم عبر رسالة نصية.»
هذه الرسالة لا تطلب منك بطاقتك المصرفية. ولا تحوّلك إلى صفحة بنك مزيفة، ولا تطالبك بـ1.99 يورو كرسوم جمركية، ولا تهدّد بإعادة الطرد إلى المُرسِل. إنها تطلب منك شيئًا ضئيلًا، إداريًا تقريبًا: ستة أرقام. ستة أرقام وصلتك فعلًا للتوّ، لا تبدو ككلمة مرور، ولا تعرف تمامًا ما الغرض منها.
ولهذا السبب تحديدًا تنجح الخطة. فرمز استلام الطرد هو أحد الأسرار اليومية القليلة التي لا يعتبرها أحد سرًّا. نعرضه على الشاشة للتاجر، ونقرأه بصوت عالٍ في متجر مزدحم، ونرسله إلى الزوج أو الزوجة ليأخذ الطرد في طريق العودة. وقد فهم المحتالون ببساطة أن هذه القصاصة من الأرقام تساوي، في الواقع، ثمن الطرد كله.
ما الذي يحميه رمز الاستلام فعلًا
منذ أن انتشرت شبكات نقاط الاستلام على نطاق واسع — المتاجر القريبة، وخزائن الإيداع الآلية، والصناديق في المحطات والمراكز التجارية — اضطرت شركات النقل إلى حلّ مشكلة بسيطة: كيف نتأكد من أن الشخص الصحيح هو من يستلم الطرد الصحيح، دون فرض إظهار بطاقة هوية في كل مرة؟
كان الجواب هو الرمز ذو الاستخدام الواحد، المُرسَل عبر رسالة نصية أو بريد إلكتروني إلى المُستلِم. وفي كثير من الشبكات، يحلّ هذا الرمز بدلًا من التحقق من الهوية: يكفي تقديمه ليُسلَّم الطرد. بعض المتاجر تطلب بطاقة هوية إضافة إلى ذلك، لكن الممارسة تتفاوت بشدة من تاجر إلى آخر، وهذا التفاوت بالتحديد هو ما يفتح الثغرة.
بعبارة أخرى، رمز الاستلام ليس تفصيلًا لوجستيًا. إنه مفتاح. ومن يحصل عليه يستطيع، في حالات كثيرة، أن يمضي بطرد لا يملكه — بلا عنف، وبلا اقتحام، ودون أن يحتاج حتى إلى الكذب مطوّلًا على التاجر.
يتصرّف رمز الاستلام تمامًا كرمز البطاقة المصرفية: لا قيمة له إلا ما دمتَ الشخص الوحيد الذي يعرفه.
السيناريوهات الأربعة الأكثر شيوعًا
1. خدمة العملاء المزيفة لشركة النقل
هذه هي النسخة الأكثر مباشرة. أنت تنتظر طردًا، فتصلك رسالة نصية تُعرّف نفسها بأنها من شركة النقل وتتذرّع بحجة تحقق: «عنوان غير مكتمل»، «طرد معلّق»، «تسجيل مزدوج»، «مراقبة لمكافحة الاحتيال». ويُطلب منك إرسال الرمز لـ«فتح» عملية الاستلام.
وفي النسخ الأكثر تطورًا، تتبع الرسالة مكالمة هاتفية. صوت هادئ، ومفردات مهنية («جولة التوزيع»، «المركز اللوجستي»، «نقطة تسليم معتمدة»)، واسم شخصي، ورقم ملف. ولا شيء من ذلك كلّه يكلّف صاحبه أي شيء لتلفيقه.
2. المشتري المستعجل على منصة إعلانات مبوَّبة
أنت تبيع شيئًا. يقول لك المشتري إنه دفع، ويطلب منك إرسال الطرد — ثم، بعد إيداع قسيمة الإرسال، يطالب بـ«رقم التتبّع ورمز الاستلام حتى يأخذ ابن عمه الطرد بدلًا منه». أما الدفع فلم يُؤكَّد قطّ، أو سيُطعَن فيه لاحقًا. فتخسر السلعة والمال معًا.
وتوجد النسخة المعاكسة أيضًا: أنت المشتري، ويطالبك «البائع» بالرمز الذي وصلك لـ«إثبات أن التسليم تمّ فعلًا» وتحرير مبلغه. وبمجرد إرسال الرمز، يستلم الطرد شخص ثالث، ويقسم البائع أنه أرسل كل شيء.
3. الطرد الذي لم تطلبه قطّ
هذا السيناريو أكثر مكرًا. تصلك رسالة نصية تُعلمك بوجود طرد في الانتظار مع رمز. لا تتذكر شيئًا، لكن الفضول يفعل الباقي. في الحقيقة، استخدم محتالٌ رقمك كرقم تواصل لطلبية احتيالية دُفعت ببيانات مسروقة. وهو يحتاج إلى رمزك أنت لاستلام السلعة دون أن يربط العملية بهويته الشخصية. وبإرسالك الرمز، تصبح الحلقة المرئية في عملية احتيال ليست لك.
4. الرمز الذي ليس رمز استلام على الإطلاق
وأخيرًا، هناك خلط يحرص المحتالون على رعايته بعناية. فقد صارت الرسائل التي تحتوي رمزًا من 6 أرقام مألوفة إلى حدّ أن كثيرًا من الناس لم يعودوا يقرأون المُرسِل ولا نصّ الرسالة — تسجيل الدخول إلى حساب، تأكيد دفعة، التحقق بخطوتين. فالمحتال الذي يحاول الدخول إلى حسابك على منصة توصيل أو بريد إلكتروني أو خدمة دفع سيتصل بك منتحلًا صفة «خدمة التوصيل» وسيطلب «الرمز الذي وصلك للتوّ». وهذا ليس رمز استلام: إنه مفتاح حسابك.
لماذا تمرّ هذه الحيلة دون أن يلحظها أحد
لحملات التصيّد عبر الرسائل النصية التقليدية نقطة ضعف واحدة: فهي تحتوي رابطًا. والرابط يمكن النظر فيه وتحليله، وينتهي به الأمر مُبلَّغًا عنه ومحجوبًا. فالمتصفحات تُظهر تحذيرات، ومشغّلو الاتصالات يُرشّحون الرسائل، وقواعد بيانات النطاقات الخبيثة تُحدَّث باستمرار.
أما هنا، فغالبًا لا يوجد أي رابط. مجرد طلب مصوغ بلغة طبيعية. ولا يمكن لأي مُرشِّح تقني أن يقرر أن رسالة تطلب «الرمز المكوّن من 6 أرقام» احتيالية، لأن عشرات الخدمات المشروعة ترسل هذا النوع من الرسائل بالضبط. الدفاع الوحيد هنا بشري.
أضِف إلى ذلك ثلاثة عوامل تعمل ضدنا:
- الضرر يبدو ضئيلًا. طرد بـ60 يورو ليس حسابًا مصرفيًا مُفرَّغًا. وكثير من الضحايا لا يتقدّمون بشكوى أبدًا، ما يجعل الظاهرة غير مرئية إحصائيًا.
- المسؤولية غامضة. شركة النقل تعتبر أنها سلّمت الطرد مقابل تقديم رمز صحيح. والمنصة تحوّلك إلى البائع. والبائع أرسل فعلًا. ولا أحد يشعر بأنه مسؤول عن الخسارة.
- نحن غالبًا في حركة. تصل هذه الرسائل ونحن نسير، أو نقود، أو في العمل. فنجيب بسرعة، وبشكل سيئ، ودون إعادة قراءة. إنّ إبقاء الهاتف في المتناول ومشحونًا في تلك اللحظات أمر مريح، لكن بطارية خارجية صغيرة الحجم لها أيضًا هذا الأثر العكسي: تصبح متاحًا للتواصل دائمًا، أي في موقع الردّ على عجل دائمًا. فالتوافر ليس يقظة.
الإشارات التي يجب أن توقف إبهامك
تحتوي رسالة من هذا النوع، في الغالب دائمًا، على واحدة من هذه القرائن على الأقل:
| الإشارة | ما يحدث في الواقع |
|---|---|
| يُطلب منك إعادة إرسال رمز | لا تحتاج أي شركة نقل إلى رمز أنشأته هي نفسها |
| الرسالة تأتي من رقم هاتف محمول (06/07) | شركات النقل تستخدم أرقامًا قصيرة أو أسماء مُرسِلين أبجدية رقمية |
| يجب أن يستلم الطرد شخص ثالث بدلًا منك | تفويض الاستلام، حين يوجد، يمرّ عبر حسابك على الموقع، لا عبر رسالة نصية |
| الطرد غير معروف لك | ربما استُخدم رقمك كواجهة لطلبية احتيالية |
| يتذرّعون بـالتحقق من الهوية عبر رسالة نصية | الهوية تُتحقَّق منها في المتجر ببطاقة هوية، لا بردّ على رسالة |
| هناك مهلة قصيرة (24 ساعة، ساعتان، «قبل الإغلاق») | الاستعجال هو الأداة الحقيقية الوحيدة لدى المحتال |
والقاعدة الأساسية واحدة دائمًا، وتُختصر في جملة: الرمز الذي يصلك لا يُنقَل أبدًا، إلى أي شخص، وتحت أي ذريعة. لا إلى شركة النقل، ولا إلى المشتري، ولا إلى التاجر الذي يتصل بك، ولا إلى «فنّي». الرمز يُعرَض على الطاولة، في لحظة الاستلام، وهذا كل شيء.
ما يجب فعله عند وصول الرسالة
- لا تُجب. لا بـ«لا»، ولا بـ«توقف»، ولا بإهانة. فأي ردّ يؤكد أن الرقم نشط وأن صاحبه سريع التفاعل.
- تحقّق عبر قناة تختارها أنت. افتح تطبيق شركة النقل أو اكتب عنوان موقعها بنفسك، وتابع الطرد برقم التتبّع الموجود في بريد تأكيد الطلبية. أبدًا عبر رابط وصلك.
- في البيع بين الأفراد، ابقَ داخل المنصة. فالمراسلات الداخلية تحفظ أثرًا. والمشتري الذي يريد الخروج من المنصة لمواصلة الحديث عبر الرسائل النصية أو تطبيق محادثة يكشف نواياه في الغالب.
- بلّغ عن الرسالة. تتيح خدمة 33700، التي أنشأها مشغّلو الاتصالات الفرنسيون، تحويل رسالة احتيالية مجانًا: ترسل الرسالة إلى 33700، ثم رقم المُرسِل في رسالة ثانية. كما يستقبل موقع Cybermalveillance.gouv.fr ومنصة PHAROS (internet-signalement.gouv.fr) هذه البلاغات أيضًا.
- إن كنت قد أعطيتَ الرمز فعلًا، اتصل فورًا بشركة النقل لمحاولة إيقاف الاستلام، وبالتاجر أو المنصة لفتح نزاع. وتقدَّم بشكوى: فحتى في المبالغ الزهيدة، هذا ما يتيح للمحققين ربط ملفات متفرّقة. وتذكّر Arcep بانتظام أن البلاغات المجمّعة هي ما يُفعّل حجب الأرقام المستخدمة على نطاق واسع.
تقليص مساحة الهجوم، قبل وصول الرسالة الأولى
تقوم هذه الحيلة على معلومة بسيطة جدًا: رقم هاتفك المحمول، مرتبطًا بعملية توصيل جارية. وكلما قلّ انتشار هذا الارتباط، قلّ تعرّضك للخطر.
- حُدّ من نشر رقمك الأساسي. للمشتريات العابرة والبيع بين الأفراد، يبقى خط ثانٍ مخصّص خيارًا مُبخَّس القدر: بطاقة SIM مسبقة الدفع بلا التزام تُدخلها في جهاز قديم، أو في الشقّ الثاني لهاتف بشريحتين، تفصل مراسلاتك التجارية عن حياتك. وإذا بدأ هذا الرقم يستقبل رسائل تصيّد متلاحقة، فستعرف من أين جاء التسريب — وستستطيع استبداله دون إبلاغ كل عائلتك.
- لا تترك رموزك معروضة على الشاشة. تُظهر معاينات الإشعارات الرموز على شاشة القفل، أي مرئية لأي شخص في وسيلة نقل عامة. وتعطيل معاينة محتوى الرسائل النصية لا يستغرق أكثر من ثلاثين ثانية في الإعدادات، كما يمنع فلتر الخصوصية لشاشة الهاتف الذكي القراءة من الزوايا الجانبية لمن يستخدمون هاتفهم كثيرًا في الأماكن العامة.
- لا تخزّن مستنداتك الثبوتية في أي مكان. فرسائل التأكيد وقسائم الإرسال ومراجع الطلبيات هي ما سيتيح لك إثبات حسن نيتك في حال النزاع. ونسخة احتياطية محلية على ذاكرة USB مشفّرة أو في مجلد مخصّص، بعيدًا عن حساب بريد إلكتروني قد يتعرّض هو نفسه للاختراق، تحميك من فقدان كل أدلتك في وقت واحد.
- انشر هذه القواعد في محيطك. فالأقارب الأقل تآلفًا مع الشاشات هم الأكثر تعرّضًا، لأنهم يرون الرمز مجرد إجراء شكلي. ودليل عملي للأمن السيبراني لكبار السن موضوع قرب الهاتف الأرضي، أو حتى جملة واحدة معلّقة على الثلاجة — «لا نُملي أبدًا رمزًا وصل برسالة نصية» — يفعل غالبًا أكثر من أي مُرشِّح تقني.
ما تقوله هذه الحيلة عن النظام نفسه
سرقة رمز الاستلام ليست خللًا معلوماتيًا. إنها نتيجة مقايضة تجارية: فمن أجل تسهيل ملايين عمليات الاستلام يوميًا، استبدلت شبكات التوصيل تحقّقًا ثقيلًا — بطاقة الهوية — بتحقّق خفيف وقابل للنقل. الربح في الراحة حقيقي. أما الكلفة، فقد نُقلت إلى المُستلِم، الذي صار حاملَ سرٍّ لم يشرح له أحد قيمته قطّ.
وهي الآلية نفسها المعتمدة في رموز البنوك ذات الاستخدام الواحد، ورموز التحقق بخطوتين، وتأكيدات تسجيل الدخول. ففي كل مكان، أصبح الأمن يقوم على قاعدة واحدة لا يحتاج المحتالون إلا إلى إنسائك إياها لمدة رسالة واحدة: ما يصل إلى هاتفك يبقى في هاتفك.
شركة النقل التي تحتاج إلى التحقق من هويتك ستفعل ذلك على الطاولة. والمنصة التي عليها تأكيد تسليم ستفعل ذلك في حسابك الشخصي. والمشتري النزيه لا يحتاج أبدًا إلى أرقامك الستة. وفي اللحظة التي يطلبها فيها أحد، فهو لا يسعى إلى مساعدتك: إنه يسعى إلى أخذ مكانك.
