لماذا بدأ المحتالون بإرسال صور الروابط إليك

ماسح الروابط شيء بسيط لا يتوقف. إنه يقرأ روابط URL النصية في البريد الإلكتروني، ويتحقق منها مقابل قوائم النطاقات الضارة المعروفة، ويتتبع عمليات إعادة التوجيه ويضع علامة على التي تؤدي إلى مكان سيء. وهو ماهر في عمله. لذا فعل المحتالون الشيء الواضح: توقفوا عن إرسال الروابط.

بدأوا بإرسال صور للروابط.

هذا هو الخدعة وراء "الاحتيال برمز QR" — أي quishing. رمز QR هو عنوان URL مشفّر كصورة بالأسود والأبيض، لذا فإن وجهة مثل login-verify.example توقفت عن كونها نصاً في جسم الرسالة وأصبحت بكسلات. الفكرة ليست أن العنوان مشفّر؛ فأي كاميرا تفك تشفيره فوراً. الفكرة هي أنه لم يعد مكتوباً في أي مكان يمكنك أنت أو محلل نصي أن تقرأه قبل أن تلتزم به.

ما إذا كان بإمكان المرشح أن يقرأه لا يزال يعتمد بالكامل على المنتج. تضع مركز الأمن السيبراني الوطني في المملكة المتحدة الحد الفاصل بكلمات حذرة في مذكرته من فبراير 2024 حول رموز QR: "لن تقوم جميع أدوات الأمان المصممة للكشف عن رسائل البريش الاحتيالي بمسح الصور." انتبه إلى ما لم تقله. لم تقل إن أياً منها لا يفعل. نشرت Microsoft الجانب الآخر من ذلك في نوفمبر 2024: Defender for Office 365، كتبت، "حسّنت قدراتها على استخراج عناوين URL من رموز QR"، باستخدام معالجة الصور في وقت مبكر في تدفق البريد لـ "استخراج وتسجيل عناوين URL المخفية داخل رموز QR"، والآن تستخرج أيضاً بيانات وصفية QR وتبحث عن النمط المحيط — نص الجسم الحد الأدنى، شراك العلامة التجارية، سلسلة إعادة توجيه. لذا فإن "المرشح لا يستطيع قراءتها" كانت صحيحة لعدد من المنتجات لفترة ما، وتبقى صحيحة لبعضها، وليست قانون الطبيعة. إذا أردت أن تعرف ما إذا كانت صحيحة لبريدك الخاص، فهذا سؤال حول منتج مزودك التقني والتكوين الخاص به، لا حول رموز QR.

الأرقام التي يمكن التحقق منها تأتي من نفس البائع، وتستحق القراءة مع النطاق المرفق. تصف مشاركة Microsoft في نوفمبر 2024 طفرة مع "بعض الهجمات تزداد بمعدل نمو 270% شهرياً"، وتقول إن "في ذروتها، كان Defender for Office 365 يحجب 3 ملايين محاولة يومياً"، وأنه بعد شحن عمل الكشف "رأينا هذا الرقم ينكمش إلى 200,000 محاولة احتيال برمز QR كل يوم." يضع Digital Defense Report 2026 من Microsoft مجموعاً على الحجم الحالي: 145+ مليون هجوم احتيال برمز QR تم كشفه بين يوليو 2025 ويونيو 2026 بواسطة Defender for Office 365. كل تلك الأرقام هي بيانات تلمترية من بائع واحد لمنتجه الخاص، مُبلّغ عنها ذاتياً. لا تمثل حصة من جميع رسائل البريش الاحتيالية، ولا تمثل إجمالاً صناعياً — أشارت نسخة سابقة من هذه المقالة إلى حصة 25% لا يبدو أن أي منشور Microsoft يدعمها، وقد تمت إزالة هذا الرقم بدلاً من استبداله.

ما يجعل هذه التقنية قابلة للاستمرار هو المسلّم، لا الترميز. البريد يهبط على جهاز كمبيوتر محمول، حيث يوجد المرشح الشركة، والمتصفح المدار، ومدير كلمات المرور. يتم مسح الرمز على هاتف، والذي عادة ما يكون جهازاً شخصياً. يسرد NCSC هذا من بين الأسباب التي يفضلها المجرمون للطريقة: "قد لا تحتوي الأجهزة الشخصية على نفس حماية الأمان مثل جهاز الكمبيوتر المقدم من جهة عملك." على الهاتف يتم اختزال شريط العنوان، من الصعب فحص عنوان URL الكامل، ومدير كلمات المرور الذي كان سيرفض الملء التلقائي على النطاق الخاطئ ليس متورطاً على الإطلاق.

المواضيع مملة يمكن التنبؤ بها، وهذا تلميح في حد ذاته، وتظهر في تحذيرات المستهلكين تقريباً كلمة بكلمة. يصف تنبيه FTC في ديسمبر 2023 المحتالين الذين يغطون رمز QR الحقيقي على مقياس مواقف السيارات برصيقة خاصة بهم، ويحذر بصراحة: "لا تمسح رمز QR في بريد إلكتروني أو رسالة نصية لم تتوقعها"، خاصة الذي يدفعك للتصرف على الفور. تقول إعلان الخدمة العامة من FBI IC3 من يناير 2022 نفس الشيء حول التعديل — "يتلاعب مجرمو الإنترنت برموز QR الرقمية والفيزيائية لاستبدال الرموز الشرعية برموز ضارة" — وتخبر الناس بفحص الرموز الفيزيائية للتحقق من "ملصق موضوع فوق الرمز الأصلي." رمز لإعادة تمكين المصادقة متعددة العوامل المنتهية، طلب توقيع لم تتوقعه، إشعار شحن يطلب منك تأكيد التسليم: الهدف من التصميم دائماً سبب صغير معقول لرفع الهاتف قبل التحقق من أي شيء.

لذا فإن الحركات الدفاعية هي الحركات الممله، وهي الحركات التي تنشرها الوكالات فعلاً. يقول IC3's advice، لرسالة تريد دفعة أو دخولاً بعد المسح: "اتصل بالشركة للتحقق"، باستخدام "رقم الشركة عبر موقع موثوق به وليس رقماً مقدماً في البريد الإلكتروني"، و "تجنب السداد عبر موقع يتم الوصول إليه من رمز QR. بدلاً من ذلك، أدخل عنوان URL معروفاً وموثوقاً يدوياً." لا شيء في هذا يتطلب منك الحكم على ما إذا كان مربع معين ضاراً — وهو الجزء الذي لا يجيده أي إنسان.

شيء واحد لم يخبرك به رمز QR في بريد إلكتروني أبداً هو ما إذا تم تزييف الرسالة. يجيب المصادقة على النطاق على سؤال مختلف تماماً، وتضع مواصفات DMARC الحالية بوضوح "تحليل المحتوى" خارج نطاقها — وهذا هو السبب في أن الرسالة المصرح بها بالكامل يمكن أن تحمل صورة ضارة. هذه الآلية جديرة بقراءتها الخاصة، وهي موضوع مقالة مصاحبة في هذه السلسلة.

تصحيح، 20 أكتوبر 2026. قالت نسخة سابقة من هذه المقالة إن مرشح البريش المزعج لا يمكنه قراءة رمز QR وأن الماسحات الضوئية عمياء عن العنوان المشفّر. هذا صحيح بالنسبة لبعض منتجات أمان البريد الإلكتروني وليس للآخرين: وثقت Microsoft استخراج عنوان URL من رموز QR في Defender for Office 365 في نوفمبر 2024، وصياغة NCSC هي أن ليس جميع الأدوات تمسح الصور. استشهدت المقالة أيضاً برقم حوالي 25% من رسائل البريش الاحتيالي باستخدام رموز QR، نسبت إلى Microsoft؛ لم يتمكن من العثور على أي منشور Microsoft يدعم هذه الحصة، لذا تم إزالة الرقم واستبداله بأرقام تنشرها Microsoft مباشرة، مع تحديد منتجها وفترتها. تم استبدال نطاق البريش الاحتيالي التوضيحي الذي تم تقديمه كرابط مباشر برمز غير قابل للنقر على مساحة الاسم المحفوظة .example، وتم استبدال الاستشهاد بصفحة CISA الرئيسية بمشورة FBI IC3 و FTC المحددة.