احتيال رموز QR (Quishing): ملصقات مزيفة، ورموز دفع وقوائم طعام تقودك إلى الفخ

ركنت سيارتك في موقف بوسط المدينة. على آلة الأداء، ملصق أنيق: “ادفع بسرعة: امسح رمز QR”. تمسحه بهاتفك، فتفتح صفحة تطلب رقم السيارة ومدة الوقوف، ثم معلومات بطاقتك البنكية. تدفع 10 دراهم وتمضي. بعد أيام، تظهر في حسابك عمليات بمئات الدراهم لم تقم بها.

الملصق لم يكن من الجماعة ولا من الشركة المسيرة للموقف. كان ملصقاً مزيفاً وضعه محتال فوق الرمز الأصلي، أو في مكان لا يقبل الدفع بـ QR أصلاً. هذا ما يسمى Quishing: تصيد احتيالي عبر رموز QR.

لماذا رموز QR بالذات؟

رمز QR مجرد صورة تحمل عنواناً إلكترونياً. ميزته أنه سريع وعملي، وعيبه أنك لا ترى العنوان قبل المسح. عندما ترى رابطاً مكتوباً في رسالة، قد تلاحظ أنه غريب. أما الرمز فيبدو بريئاً دائماً.

ولأن الناس تعودوا على رموز QR في المطاعم وفي الدفع وفي الإعلانات، أصبحوا يمسحونها دون تفكير. والمحتالون استغلوا ذلك:

• في مواقف السيارات: حسب منظمة Which? البريطانية لحماية المستهلك (يونيو 2025)، الملصقات المزيفة توجد غالباً على آلات الأداء في المواقف. وفي سبتمبر 2026، حذّرت لجنة التجارة الفيدرالية الأمريكية (FTC) من محتالين يغطّون رموز QR الحقيقية على عدادات الوقوف برموز من صنعهم.
• في الطرود غير المتوقعة: في يناير 2025، حذّرت الـFTC من طرود تصل دون طلب، مع ورقة تطلب منك مسح رمز لمعرفة المرسل. الرمز قد يقود إلى موقع تصيد أو إلى تحميل برنامج خبيث.
• في الرسائل والبريد: رمز QR في بريد يطلب “التحقق من حسابك” أو “استلام مبلغ”، لأن بعض أنظمة الحماية تكشف الروابط المكتوبة أكثر من الصور.
• في رسائل “المخالفات”: رصدت الـFTC أيضاً رسائل تطلب مسح رمز لدفع غرامة سير لتجنب المحكمة. شرحنا الحيلة المغربية المشابهة في مقال رسائل مخالفات السير المزيفة.
• في المطاعم والمحلات: ملصق فوق رمز قائمة الطعام أو رمز الدفع الأصلي في المحل.

وفي المملكة المتحدة وحدها، حسب أرقام هيئة Action Fraud التي نقلتها Which?، خسر الضحايا 3.5 ملايين جنيه إسترليني في احتيالات رموز QR المبلّغ عنها خلال 2024.

ماذا يمكن أن يحدث بعد المسح؟

• صفحة دفع مزيفة تسرق رقم بطاقتك ورمزها السري.
• صفحة دخول مزيفة (بنك، بريد، تطبيق توصيل) تسرق كلمة مرورك.
• تحميل تطبيق خبيث، خصوصاً على أندرويد، كما شرحنا في مقال ملفات APK الخبيثة.
• الاشتراك في خدمات مدفوعة دون أن تنتبه.

علامات التحذير

• ملصق فوق ملصق آخر، أو ملصق مائل، أو حوافه مرفوعة، أو يبدو جديداً جداً مقارنة بالآلة.
• رمز QR في مكان لا تتوقعه فيه، أو في موقف يعرض أصلاً طرقاً أخرى للدفع.
• عنوان الموقع الذي يظهر عند المسح لا يطابق اسم الشركة أو الجماعة، أو فيه أخطاء إملائية أو حروف مبدّلة، كما تنبه الـFTC.
• رابط مختصر يخفي العنوان الحقيقي.
• صفحة تطلب تحميل تطبيق قبل الدفع.
• رمز في رسالة أو بريد غير متوقع، خصوصاً مع استعجال.
• رمز في طرد لم تطلبه.

كيف تمسح رموز QR بأمان؟

1. افحص الرمز قبل المسح: المسه بإصبعك. هل هو ملصق فوق شيء آخر؟ هل يبدو مختلفاً عن باقي اللافتات؟ تنصح Which? بالبحث عن أي علامات تلاعب.
2. استعمل كاميرا الهاتف نفسها بدل تطبيقات المسح المجهولة. كاميرات iPhone وأغلب هواتف أندرويد تعرض العنوان قبل فتحه، وتنصح Which? بذلك.
3. اقرأ العنوان قبل الضغط: هل هو الموقع الرسمي للجهة المعنية؟ هل ينتهي بـ ‎.gov.ma‎ إذا كانت جهة حكومية؟ إذا لم تتأكد، لا تفتحه.
4. فضّل الطرق الأخرى للدفع: آلة الأداء نفسها، أو التطبيق الرسمي للجهة الذي حمّلته من المتجر الرسمي، أو اكتب عنوان الموقع بنفسك.
5. لا تمسح رموز QR الموجودة في رسائل البريد أو SMS التي لم تتوقعها. إذا بدت الرسالة حقيقية، اتصل بالجهة عبر رقم أو موقع تعرفه.
6. لا تحمّل تطبيقاً من صفحة فتحها رمز QR. ابحث عن التطبيق بنفسك في المتجر الرسمي.
7. حدّث هاتفك وتطبيقاتك، وفعّل التحقق بخطوتين في حساباتك، كما تنصح الـFTC.

عندما تدفع برمز QR حقيقي في محل

الدفع برمز QR طريقة عملية وشرعية في كثير من المحلات، والمشكلة ليست في التقنية بل في الرموز المزورة. بعض العادات البسيطة تحميك:

• امسح الرمز المعروض على جهاز البائع أو شاشته إن وُجد، فهو أصعب في التزوير من ملصق على الحائط.
• تأكد من اسم المستفيد الذي يظهر في تطبيق الدفع قبل أن تؤكد: هل يطابق اسم المحل الذي أمامك؟
• اكتب المبلغ بنفسك أو تحقق منه، ولا تؤكد مبلغاً لم تتفق عليه.
• استعمل تطبيق بنكك أو محفظتك الرسمي لمسح الرمز، لا تطبيقاً مجهولاً، ولا صفحة إنترنت تطلب معلومات بطاقتك كاملة.
• إذا شككت، اسأل البائع أن يؤكد الرمز، أو ادفع بطريقة أخرى.

إذا مسحت رمزاً مشبوهاً

حسب نصائح الـFTC وWhich?:

1. إذا أدخلت معلومات بطاقتك: اتصل ببنكك فوراً عبر الرقم الموجود على البطاقة، واطلب إيقافها.
2. راجع كشوف حسابك بحثاً عن عمليات لا تعرفها، خلال الأيام والأسابيع التالية.
3. إذا أدخلت كلمة مرور: غيّرها فوراً، وغيّرها في كل حساب يستعمل نفس الكلمة، وفعّل التحقق بخطوتين.
4. لا تتواصل مع أي شخص عبر الموقع المزيف.
5. إذا حمّلت تطبيقاً: احذفه، وافحص الهاتف بـ Play Protect على أندرويد، واتبع خطوات مقال ملفات APK.
6. بلّغ صاحب المكان (الجماعة، الموقف، المطعم) ليزيل الملصق ويحمي غيرك، وبلّغ الشرطة أو عبر منصة “E-Blagh” (dgsn.gov.ma) إذا سُرقت أموال.

الخلاصة السريعة

• رمز QR يخفي العنوان: اقرأه دائماً قبل الفتح.
• احذر الملصقات الموضوعة فوق ملصقات أخرى، خصوصاً في المواقف.
• لا تمسح رموزاً في رسائل أو طرود لم تتوقعها.
• فضّل الدفع عبر الآلة أو التطبيق الرسمي.
• إذا أدخلت بطاقتك: البنك فوراً.

المصادر

• FTC: See a QR code parked somewhere? Don’t scan it…yet! (3 سبتمبر 2026)
• FTC: Scam alert, QR code on an unexpected package (23 يناير 2025)
• FTC: That text about a traffic violation is probably a scam (14 أبريل 2026)
• FTC: Scammers hide harmful links in QR codes to steal your information
• Which?: Quishing scams warning, how to spot and avoid dodgy QR codes (25 يونيو 2025)