تهديد جديد عبر رموز QR: يُمكن إصابة هاتفك بمجرد المسح الضوئي!
تقنية تصيد احتيالي جديدة تخترق الأجهزة بالكامل مع الإفلات من الكشف.
تطور التصيد الاحتيالي عبر رموز QR، أو ما يُعرف بـ “Quishing”، ليصبح أكثر خطورة من أي وقت مضى، حيث يستغل المهاجمون هذه الرموز بطرق مبتكرة لاختراق الأجهزة وسرقة البيانات.
وفقًا لتقرير نشره موقع Silicon Angle، يقوم مجرمو الإنترنت الآن بزرع برمجيات JavaScript خبيثة داخل رموز QR، بحيث يتم تنفيذها تلقائيًا بمجرد مسح الرمز. والأخطر من ذلك، أن المستخدمين المستهدفين ليسوا بحاجة حتى إلى النقر على الرابط الذي يظهر بعد المسح ليتم اختراق أجهزتهم.
يختلف هذا الأسلوب عن التهديدات التقليدية لرموز QR، والتي كانت ببساطة تعيد توجيه المستخدمين إلى مواقع ويب خبيثة عند النقر على الرابط الظاهر بعد المسح.
بدلاً من ذلك، تتضمن هذه الطريقة الجديدة تضمين HTML و JavaScript مباشرة في رموز QR باستخدام معرّفات الموارد الموحدة للبيانات (Data URI). هذا يعني أن البرمجية الخبيثة يمكن أن تعمل بالكامل داخل المتصفح، حيث يمكنها السيطرة على صفحات تسجيل الدخول، والتجسس على ما يتم كتابته (keylogger)، وإطلاق عمليات استغلال الثغرات الأمنية على الفور.
بمجرد تفعيلها، يمكن لبرمجية JavaScript الخبيثة أيضًا استخراج البيانات باستخدام نماذج مخفية وتحديد بصمة الجهاز (fingerprint). والأمر الأكثر إثارة للقلق هو أن هذه الرموز الخبيثة يمكن أن تتجاوز معظم برامج وأدوات وأنظمة الأمان، لأن البرمجية الخبيثة مدمجة في الرمز نفسه، وبالتالي لا تتصل بأي عناوين URL خارجية عند التنفيذ. وبالمثل، يضيف تقرير INKY حول هذا الموضوع أن المهاجمين يستخدمون بالفعل أساليب التصيد الاحتيالي الجديدة هذه لإخفاء برامج ضارة خطيرة والإفلات من الكشف.
كيف تحمي نفسك من رموز QR الضارة: دليل شامل
من البديهي القول، ولكن نؤكد عليه: تجنب مسح رموز QR مجهولة المصدر. مطلقًا. إذا كان المصدر غير معروف أو غير مرغوب فيه، فلا تقم بمسحه ضوئيًا. فالسلامة الرقمية تبدأ بالحيطة والحذر.
إذا تلقيت رسالة بريد إلكتروني أو رسالة نصية تطلب منك مسح رمز QR لإكمال إجراء أو نشاط ما، خاصة إذا كانت الرسالة تتضمن إحساسًا بالإلحاح، فاتصل بالمرسل مباشرة عبر رقم هاتف معروف أو قناة دردشة أو معلومات الاتصال بالشركة الرسمية – وليس عن طريق الرد على البريد الإلكتروني أو الرسالة النصية التي أرسلت الطلب. تحقق بشكل مستقل من حاجتهم إلى قيامك بمسح الرمز ضوئيًا. هذه خطوة حاسمة للتحقق من صحة الطلب وتجنب الوقوع ضحية للاحتيال.
لا تقم أبدًا بتقديم معلومات تسجيل الدخول أو أي تفاصيل شخصية حساسة أخرى بعد مسح رمز QR إلا إذا كنت متأكدًا تمامًا من أن الموقع الذي تتصفحه شرعي. تحقق من عنوان URL بعناية، حتى لو بدا جيدًا للوهلة الأولى. غالبًا ما يستخدم المحتالون عناوين URL مشابهة جدًا لتلك الأصلية لخداع المستخدمين.
في الوقت نفسه، يجب عليك أيضًا تعطيل الميزة التي تفتح المتصفح تلقائيًا في نظام تشغيل هاتفك المحمول أو تطبيق ماسح رمز QR. سيمنع هذا الماسح الضوئي من فتح الروابط قبل أن تتاح لك فرصة التحقق منها أولاً. تأكد أيضًا من أنك تستخدم ماسحًا ضوئيًا لرمز QR يعرض لك عنوان URL قبل فتحه. هذه الإعدادات توفر طبقة إضافية من الحماية ضد الروابط الضارة.
كما هو الحال مع أي تهديد تصيد احتيالي، كن حذرًا للغاية ومشككًا في أي رسالة (بريد إلكتروني أو رسالة نصية أو وسائط اجتماعية) تتضمن إحساسًا بالإلحاح أو تهديدًا. أي شيء يتضمن تهديدًا بتعطيل حسابك، أو اتخاذ إجراء قانوني، أو تعليق الحساب، أو تسجيل دخول غير مصرح به، أو مطالبة بالتحرك الآن، يجب التعامل معه على أنه هجوم محتمل. هذه التكتيكات شائعة في محاولات التصيد الاحتيالي وتهدف إلى الضغط على المستخدمين لاتخاذ قرارات متسرعة.
إذا تلقيت رسالة بريد إلكتروني مشبوهة تحتوي على رمز QR، فأبلغ فريق تكنولوجيا المعلومات أو فريق الأمان في عملك. أما إذا ظهرت رسالة مماثلة في حسابك الشخصي، فيمكنك دائمًا الإبلاغ عنها كرسالة غير مرغوب فيها أو تصيد احتيالي محتمل. الإبلاغ عن هذه الرسائل يساعد في حماية الآخرين من الوقوع ضحايا للاحتيال.
نظرًا للشعبية الكبيرة التي اكتسبتها رموز QR وكيف أصبح الناس مرتاحين حقًا لمسحها ضوئيًا في المطاعم والأماكن العامة الأخرى، لا أعتقد أن هذا التهديد سيختفي في أي وقت قريب. نأمل أن تعمل كل من Google و Apple على تنفيذ طرق لحماية مستخدمي Android و iPhone من رموز QR الضارة. تطوير آليات حماية قوية أمر بالغ الأهمية للحفاظ على سلامة المستخدمين في هذا العصر الرقمي.