أصبحت أكواد QR منتشرة في كل مكان في يومنا الحالي . بدءاً من عرض قوائم المطاعم إلى تسهيل المعاملات المالية وآليات الدفع إلى إضافة معلومات جهة اتصال للجهاز.
و بشكل مشابه لكل التقنيات المنتشرة، فإن استخدام هذه التقنية QR قد جذب انتباه المحتالين أيضاً لاستخدامها لأهداف خبيثة. في هذا المقال سنلقى نظرة على كيفية استخدام المحتالين لهذه التقنية لتحقيق أرباح غير مشروعة. و كذلك سنقدم لمحة عن الأمور التي يجب الانتباه لها عند القيام بعملية مسح لكود QR.
ما هو كود QR وكيف يعمل؟
QR هي اختصار لـ Quick Response (الاستجابة السريعة). رمز الاستجابة السريعة QR هو نوع من الرموز التي يمكن مسحها ضوئياً من قبل أجهزة أخرى. هذه الرموزمصصمة لتتم قرائتها وترجمتها بشكل فوري. ويمكنها تخزين ما يصل إلى 4296 حرف أبجدي أو رمز أو رقم ويمكن فك ترميزها من قبل كاميرا الهاتف المحمول. قد تحوي السلاسل النصية المرمزة داخل كود QR على مجموعة متنوعة من البيانات. ويعتمد الاجراء المطلوب من قراءة رموز QR على التطبيق الذي يتفاعل مع هذا الكود. يمكن استخدام هذا الكود لفتح موقع ويب أو لتحميل ملف، أو إضافة جهة اتصال ،أو الاتصال بشبكة لاسلكية أو حتى اجراء عمليات الدفع والعديد من المهام الأخرى.
أكواد QR متعددة الاستخدامات ويمكن تخصيصها لتحوي على شعار معين. والإصدار الديناميكي منها يسمح بتغيير المحتوى والمهام الخاصة بها في أي وقت وهذه الميزات يمكن أن تكون سلاح ذو حدين.
كيف يمكن استغلال أكواد QR؟
بالتأكيد فإن المجرمين استغلوا الاستخدام الكبيرة لأكواد QR. فيما يلي نعرض بعض الطرق المستخدمة من قبل المحتالين والمجرمين لسرقة الأموال والبيانات من خلال أكواد QR
- إعادة توجيه المستخدم إلى مواقع خبيثة تؤدي لسرقة المعلومات الحساسة:
هجمات التصيد Phishing Attacks لا تتم فقط عبر رسائل البريد الالكتروني أو تطبيقات المراسلة الفورية. يمكن للمهاجم استخدام الإعلانات أو النوافذ المنبثقة أو تقنيات أخرى ليعمل على توجيه المستخدم إلى مواقع أو صفحات ويب مزورة .وهذا الأمر ممكن أن يتم أيضاً من خلال مسح أكواد QR.
” في إحدى الحالات التي تم الإبلاغ عنها مؤخراً، قامت مجموعة من الأشخاص بوضع ملصقات تحوي على أكواد QR على لوحات مواقف السيارات في عدة مناطق في ولاية تكساس، لتوجيه الناس إلى مواقع دفع مزورة “.
- تحميل برمجيات خبيثة:
تستخدم العديد من المطاعم أكواد QR لتنزيل قائمة الطلبات كملف PDF أو لتثبيت تطبيق على جهاز الزبون يسمح له بتقديم الطلب من خلاله، يمكن للمهاجم أن يقوم بالتلاعب بكود QR كمحاولة منه لخداع المستخدم ليقوم بتنزيل ملفات أو تطبيقات مزورة تحوي على أكواد برمجية خبيثة
- اتخاذ اجراء على جهاز المستخدم:
يمكن لأكواد QR أن تنفذ اجراء مباشر على جهاز المستخدم بحسب التطبيق الذي سيقوم بعملية القراءة. يوجد بعض الإجراءات التي يمكن لأي قارئ QR أن يقوم بتنفيذها. من الأمثلة على هذه الاجراءات: الاتصال بشبكة لاسلكية أو إرسال بريد الكتروني أو رسالة SMS بنص محدد مسبقاً أو حفظ معلومات الاتصال (إضافة اسم ورقم) على الجهاز. هذه الإجراءات يمكن أن تعتبر غير ضارة ولكن يمكن استغلالها من قبل المهاجم للقيام بأعمال خبيثة. كوصل جهاز المستخدم مع شبكة مخادعة مُعدة مسبقاً ليتم اختراق الأجهزة التي تتصل بها أو إرسال رسائل بالنيابة عن المستخدم.
مخاطر إضافية لاستخدام أكواد QR
- تحويل الأموال أو تقديم طلب للحصول عليها:
العديد من التطبيقات المالية تسمح بإجراء عمليات الدفع من خلال مسح أكواد QR. تحوي هذه الأكواد على البيانات الخاصة بمستلم هذه الأموال. تعرض العديد من المتاجر أكواد QR لعملائها لتسهيل عملية الدفع. ومع ذلك يمكن للمهاجمين تعديل هذه الأكواد وإضافة بيناتهم الخاصة وتلقي المبالغ المدفوعة على حساباتهم.
- سرقة هوية المستخدم أو الوصول إلى التطبيقات:
يتم استخدام أكواد QR كشهادة للتحقق من معلومات الأشخاص التعريفية أو الصحية. من هذه المعلومات: المُعرف الشخصي ID أو تصريح اللقاح. في هذه الحالات فإن أكواد QR يمكن أن تحوي على معلومات حساسة كالمعلومات الخاصة بالسجلات الطبية. يمكن للمهاجم الحصول على تلك المعلومات من خلال مسح كود QR.
تستخدم العديد من التطبيقات مثل واتساب أو تلغرام آلية مسح كود QR للقيام بعملية المصادقة الخاصة بجلسات المستخدمين للوصول إلى حساباتهم. وهذه الآلية كانت عرضه لهجمات QRLjacking والتي تتم من خلال خداع المستخدم ليقوم بمسح كود QR مزور يبدو على أنه الكود الخاص بالخدمة الحقيقية.
يحتاج المهاجم في معظم السيناريوهاتلإنشاء كود QR خبيث ليكون مكان الكود الأصلي وهذا الأمر يتطلب تقنيات أخرى للوصول لذلك مثل الهندسة الاجتماعية التي تعتمد على خداع الضحية ليتخذ اجراء ليس بصالحه
التالي هو بعض الأمور التي يجب أن تؤخذ بعين الاعتبار قبل مسح أي كود QR:
- قبل مسح أي كود QR تأكد من أنه لم يتم التلاعب به (مثلاً تم تغطيته بكود أخرى)
- لا تقم بمسح أي كود وصل لك عبر رسائل غير موثوقة المصدر
- كن حذراً عندما يتعلق الأمر باستخدام كود QR لدفع فاتورة أو اجراء أي نوع من المعاملات المالية والأفضل استخدام طرق الدفع الأخرى إن أمكن ذلك
- قم بتعطيل خيار تنفيذ الإجراءات التلقائية عند مسح كود QR مثل زيارة موقع أو تنزيل ملف بشكل اتوماتيكي
- تأكد بعد عملية المسح من رابط الموقع URL أنه رابط شرعي ومن الأفضل دائماً تجنب إدخال المعلومات الشخصية ضمن أي موقع قمت بالوصول له من خلال مسح كود QR وإذا كنت مضطر لفعل ذلك قم بفتح المتصفح وقم بإدخال عنوان URL بشكل يدوي
- لا تشارك أكواد QR التي تحوي على معلومات حساسة مثل الأكواد المستخدمة للوصول إلى معلوماتك الطبية
- تأكد من تحديث تطبيقاتك بشكل دائم واستخدم برامج الحماية
