ما التصيّد الاحتيالي؟ كيف تتعرف على رسائل البريد والرسائل النصية ورموز QR المزيفة

ما التصيّد الاحتيالي؟

يعرّف المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) التصيّد الاحتيالي بأنه استخدام المجرمين رسائل بريد إلكتروني أو رسائل نصية أو مكالمات هاتفية احتيالية لخداع ضحاياهم؛ والهدف غالبًا دفعك إلى زيارة موقع قد يُنزّل فيروسًا على حاسوبك، أو سرقة بياناتك المصرفية أو غيرها من المعلومات الشخصية ^[3]. وتعرّفه لجنة التجارة الفيدرالية الأمريكية (FTC) بإيجاز أكبر: يستخدم المحتالون البريد الإلكتروني أو الرسائل النصية لخداعك كي تعطيهم معلوماتك الشخصية والمالية ^[1].

ويصنّف مكتب التحقيقات الفيدرالي هذه الجريمة تحت مسمّى «التصيّد/الانتحال»: رسائل بريد إلكتروني ورسائل نصية ومكالمات هاتفية غير مرغوب فيها يُزعم أنها من شركة مشروعة، تطلب معلومات شخصية أو مالية أو بيانات اعتماد لتسجيل الدخول ^[8]. والانتحال (spoofing) يعني تزييف هوية المرسل، كأن تبدو الرسالة وكأنها صادرة عن مصرفك.

والتصيّد شكل من أشكال الهندسة الاجتماعية، التي يصفها مكتب التحقيقات الفيدرالي بأنها الحصول على بيانات محمية عبر خداع شخص ما ليكشفها ^[12]. فهو يستغل ثقة البشر لا الثغرات التقنية، ولذلك قد يتجاوز الأنظمة القوية إذا أمكن إقناع شخص بتسليم كلمة مرور أو رمز.

ما الأشكال التي يتخذها التصيّد الاحتيالي؟

• التصيّد عبر البريد الإلكتروني: رسائل جماعية تقلّد المصارف أو المتاجر أو شركات التوصيل أو جهات العمل ^[1].
• التصيّد الموجّه (spear phishing): محاولة موجّهة لخداع شخص بعينه أو مجموعة بعينها، باستخدام معلومات يُقصد بها زيادة فرص النجاح ^[12].
• التصيّد عبر الرسائل النصية (smishing): الحيل نفسها مرسلة عبر الرسائل النصية القصيرة؛ ويشمل تعريف لجنة التجارة الفيدرالية الرسائل النصية صراحة ^[1].
• التصيّد عبر الهاتف (vishing): مكالمات تدّعي أنها من جهة موثوقة؛ ويعدّ المركز الوطني للأمن السيبراني المكالمات الاحتيالية جزءًا من التصيّد ^[3].
• التصيّد عبر رموز QR (quishing): رموز QR في رسائل البريد الإلكتروني تقود إلى مواقع خبيثة ^[6].

كيف يغيّر الذكاء الاصطناعي التصيّد الاحتيالي؟

في ديسمبر 2024 حذّر مكتب التحقيقات الفيدرالي من أن المجرمين يستخدمون الذكاء الاصطناعي التوليدي لكتابة نصوص مقنعة للهندسة الاجتماعية والتصيّد الموجّه، ولإرسال الرسائل بسرعة أكبر إلى جمهور أوسع، ولترجمة الرسائل بحيث تحتوي على أخطاء نحوية أو إملائية أقل ^[12]. ويشير المركز الوطني للأمن السيبراني كذلك إلى أن عمليات الاحتيال كان يسهل كشفها في الماضي بسبب الأخطاء الإملائية أو التصميم الغريب، لكنها تزداد ذكاءً، حتى إن بعضها يخدع الخبراء ^[4].

من المستهدف شخصيًا؟

يستخدم المجرمون معلومات عنك متاحة على الإنترنت، بما في ذلك وسائل التواصل الاجتماعي، لجعل الرسائل أكثر إقناعًا ^[3]. كما تواجه الفئات البارزة حملات مرتبطة بالدول. فقد أفادت منظمة فريدم هاوس (Freedom House) بأن مجموعة اختراق مرتبطة بالحرس الثوري الإسلامي في إيران انتحلت صفة صحفيين وناشطين في مجال حقوق الإنسان عبر الإنترنت لاستدراج منتقدي الحكومة إلى عمليات تصيّد ^[13]. وبالنسبة إلى الصحفيين والناشطين الناطقين بالفارسية، فإن طلب مقابلة غير متوقع أو رابط مستند يستحق الفحص نفسه الذي تستحقه رسالة من المصرف.

كيف تتعرف على رسالة تصيّد؟

بحسب لجنة التجارة الفيدرالية، كثيرًا ما تزعم رسائل التصيّد أنها رصدت نشاطًا مريبًا أو محاولات لتسجيل الدخول، أو تدّعي وجود مشكلة في حسابك أو في معلومات الدفع، أو تطلب منك تأكيد بيانات شخصية أو مالية، أو تتضمن فاتورة لا تعرفها، أو تطلب منك النقر على رابط لإجراء دفعة، أو تقول إنك مؤهل لاسترداد مبلغ من الحكومة، أو تعرض قسيمة للحصول على أشياء مجانية ^[1].

ويقترح المركز الوطني للأمن السيبراني فحص الرسالة المشبوهة بحثًا عن هذه العلامات الكاشفة ^[4]:

1. السلطة: هل تدّعي أنها من جهة رسمية، كمصرفك أو طبيبك أو محامٍ أو جهة حكومية ^[4]؟
2. الاستعجال: هل يُطلب منك الرد خلال 24 ساعة أو فورًا، وغالبًا مع التهديد بغرامات ^[4]؟
3. العاطفة: هل تثير فيك الذعر، أو تشعرك بالخوف أو الأمل أو الفضول ^[4]؟
4. الندرة: هل تعرض شيئًا شحيحًا، كتذاكر حفلات أو مال أو علاج طبي ^[4]؟
5. الأحداث الجارية: هل تستغل خبرًا أو حدثًا كبيرًا أو وقتًا من السنة مثل موسم الضرائب ^[4]؟

ويضيف المركز أن مصرفك أو أي جهة رسمية أخرى لن تطلب منك أبدًا تقديم معلومات شخصية عبر البريد الإلكتروني، ولن تتصل بك لتطلب تأكيد بيانات حسابك المصرفي ^[4]. وإذا ساورتك الشكوك، فتواصل مع الجهة مباشرة باستخدام بيانات الاتصال الواردة في موقعها الرسمي، لا الأرقام أو العناوين الواردة في الرسالة ^[4].

ما مدى انتشار التصيّد الاحتيالي؟

تلقّى مركز شكاوى جرائم الإنترنت (IC3) التابع لمكتب التحقيقات الفيدرالي 1,008,597 شكوى في 2025، بخسائر مُبلغ عنها قدرها 20.877 مليار دولار ^[8]. وكان التصيّد/الانتحال أكبر فئة من حيث عدد الشكاوى، إذ بلغ 191,561 شكوى ^[8]. وارتفعت خسائره المُبلغ عنها إلى 215,843,126 دولارًا في 2025 بعد أن كانت 70,013,036 دولارًا في 2024 ^[8]. ولا تحتسب أعداد الشكاوى إلا ما يختار الناس إبلاغ مركز IC3 به، لا كل عمليات التصيّد التي تحدث.

ورصدت مجموعة العمل لمكافحة التصيّد (APWG)، وهي تحالف من القطاع، 1,003,924 هجوم تصيّد في الربع الأول من 2025، وهو أكبر عدد منذ أواخر 2023، وقالت إن المجرمين يرسلون يوميًا ملايين رسائل البريد الإلكتروني التي تحتوي على رموز QR ^[9]. وشكّلت الهجمات على خدمات الدفع الإلكتروني والخدمات المصرفية معًا 30.9 في المئة من مجموع الهجمات في ذلك الربع ^[9].

وفي المملكة المتحدة، كانت خدمة الإبلاغ التابعة للمركز الوطني للأمن السيبراني قد تلقّت حتى سبتمبر 2026 أكثر من 59.6 مليون بلاغ عن عمليات احتيال، أفضت إلى إزالة 263.7 ألف عملية احتيال عبر 466,300 عنوان URL ^[3].

هل مسح رموز QR آمن؟

غالبًا نعم، في الأماكن العادية. إذ يقول المركز الوطني للأمن السيبراني إن رموز QR في الحانات أو المطاعم آمنة على الأرجح، وإن الاحتيال القائم على رموز QR صغير نسبيًا مقارنة بأشكال الاحتيال السيبراني الأخرى، وإن معظمه يحدث في الأماكن المفتوحة كالمحطات ومواقف السيارات، وغالبًا ما يقترن بالهندسة الاجتماعية ^[6].

أما البريد الإلكتروني فهو مصدر القلق الأكبر. إذ يرصد المركز ازديادًا في رموز QR ضمن رسائل التصيّد، وهو أسلوب يُسمّى أحيانًا quishing، لأن رموز QR تُخفي الروابط الخبيثة، ولأن أدوات أمن البريد الإلكتروني لا تفحص كلها الصور، ولأن الناس يميلون إلى مسحها بهواتفهم الشخصية التي قد تكون حمايتها أضعف من حاسوب العمل ^[6].

بماذا ينصح مكتب التحقيقات الفيدرالي ولجنة التجارة الفيدرالية؟

• بعد المسح، تحقّق من عنوان الموقع؛ فقد يبدو النطاق الخبيث مشابهًا للنطاق الحقيقي مع خطأ مطبعي أو حرف في غير موضعه ^[7].
• في الرمز المطبوع، تحقّق من أنه لم يُغطَّ بملصق ^[7]. وتشير لجنة التجارة الفيدرالية إلى بلاغات عن محتالين يغطّون رموز QR على عدّادات مواقف السيارات برموزهم الخاصة ^[2].
• لا تُنزّل تطبيقًا من رمز QR، ولا تثبّت تطبيقًا منفصلًا لمسح رموز QR؛ فمعظم الهواتف فيها ماسح ضمن تطبيق الكاميرا ^[7].
• لا تمسح رمز QR في بريد إلكتروني أو رسالة نصية لم تكن تتوقعها؛ وتواصل مع الشركة باستخدام رقم هاتف أو موقع تعرف أنه حقيقي ^[2].
• تجنّب الدفع عبر موقع وصلت إليه من رمز QR؛ واكتب بدلًا من ذلك عنوانًا معروفًا وموثوقًا ^[7].

ماذا تفعل إذا نقرت على رابط تصيّد؟

تصرّف بسرعة وبهذا الترتيب:

1. توقف واقطع التواصل. نصيحة المركز الوطني للأمن السيبراني هي أن تتوقف، وتقطع التواصل، وتتأمل اللغة المستخدمة ^[4].
2. إذا أعطيت كلمة مرور، يقول المركز إن عليك تغيير كلمات المرور في أي حسابات تستخدم كلمة المرور نفسها، واستخدام مفتاح مرور بدلًا منها إن كان متاحًا ^[14]. وتوصي لجنة التجارة الفيدرالية أيضًا بالمصادقة متعددة العوامل لحماية الحسابات ^[1].
3. إذا فتحت مرفقًا أو ثبّت شيئًا، فحدّث برنامج الأمان لديك، وأجرِ فحصًا، واحذف كل ما يُنبّه إليه ^[1][14]. وإذا حدث ذلك على حاسوب محمول أو هاتف خاص بالعمل، فأبلغ قسم تقنية المعلومات ^[14].
4. إذا خسرت مالًا أو أعطيت بيانات مصرفية، فأبلغ مصرفك مستخدمًا الرقم الوارد على بطاقتك أو كشف حسابك، حيث تُطبع بيانات الاتصال الرسمية غالبًا ^[4]، وأبلغ عن الأمر بوصفه جريمة؛ وفي إنجلترا وويلز وأيرلندا الشمالية يعني ذلك خدمة Report Fraud، وفي اسكتلندا شرطة اسكتلندا (Police Scotland) ^[14]. ويمكن للقرّاء في الولايات المتحدة الذين ربما انكشف رقم الضمان الاجتماعي أو رقم البطاقة أو الحساب المصرفي الخاص بهم اتباع الخطوات في IdentityTheft.gov ^[1].
5. إذا دفعت عبر رمز QR تم التلاعب به، يقول مكتب التحقيقات الفيدرالي إن عليك الإبلاغ عن ذلك، ويحذّر من أن جهات إنفاذ القانون لا تستطيع ضمان استرداد الأموال المفقودة ^[7].

كيف تبلغ عن التصيّد الاحتيالي؟

في المملكة المتحدة، أعد توجيه رسائل البريد الإلكتروني المشبوهة إلى خدمة الإبلاغ عن البريد المشبوه التابعة للمركز الوطني للأمن السيبراني على العنوان report@phishing.gov.uk ^[5]. وفي الولايات المتحدة، تقول لجنة التجارة الفيدرالية إن عليك إعادة توجيه رسائل التصيّد الإلكترونية إلى مجموعة العمل لمكافحة التصيّد على reportphishing@apwg.org، وإعادة توجيه الرسائل النصية الاحتيالية إلى SPAM (7726)، والإبلاغ عن المحاولة في ReportFraud.ftc.gov ^[1]. ويمكن أيضًا الإبلاغ عن خسائر الاحتيال في الولايات المتحدة إلى مركز IC3 التابع لمكتب التحقيقات الفيدرالي ^[7]. هذه معلومات عامة وليست استشارة مالية أو قانونية؛ فمصرفك والمركز الوطني للإبلاغ هما المرجع في حالتك.

أي الدفاعات توقف التصيّد الاحتيالي فعلًا؟

تذكر لجنة التجارة الفيدرالية أربع وسائل للحماية: برنامج أمان على حاسوبك، والتحديثات التلقائية على هاتفك، والمصادقة متعددة العوامل على حساباتك، والنسخ الاحتياطي لبياناتك ^[1].

هل توقف المصادقة متعددة العوامل التصيّد؟

إنها تساعد كثيرًا، لكن ليس تمامًا. إذ تتطلب المصادقة متعددة العوامل (MFA) نوعين أو أكثر من الأدلة، مثل كلمة مرور مع رمز ^[10]. وتوضح وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أن أسلوب تصيّد شائعًا يرسل المستخدمين إلى صفحة تسجيل دخول مزيفة يُدخلون فيها اسم المستخدم وكلمة المرور والرمز المكوّن من 6 أرقام من تطبيق المصادقة، ثم يستخدمها المهاجم ^[10]. وتضيف CISA أن الرموز المرسلة عبر الرسائل النصية أو المكالمات الصوتية يمكن سرقتها أيضًا عبر ثغرات شبكة SS7 أو مبادلة شريحة SIM، وأن المهاجمين يُغرقون المستخدمين بالإشعارات الفورية حتى يضغطوا على «قبول» ^[10].

وتؤكد CISA أن المصادقة الوحيدة المقاومة للتصيّد المتاحة على نطاق واسع هي FIDO/WebAuthn، المدعومة في المتصفحات وأنظمة التشغيل والهواتف الذكية الرئيسية ^[10]. لكنها تظل تقول إن أي شكل من أشكال المصادقة متعددة العوامل أفضل من عدمها ^[10]. ومفاتيح المرور بيانات اعتماد FIDO تستبدل كلمات المرور بأزواج من مفاتيح التشفير، ويقول تحالف FIDO إن مفاتيح المرور، بخلاف كلمات المرور، قوية دائمًا ومقاومة للتصيّد ^[11]، ويضيف أنه لا توجد كلمات مرور يمكن سرقتها من قواعد البيانات المخترقة ^[11].

ما الذي يقلل الخطر أيضًا؟

راجع ما تنشره أنت والآخرون عنك على الإنترنت، وشدّد إعدادات الخصوصية في وسائل التواصل الاجتماعي، لأن المجرمين يستخدمون تلك المعلومات لتخصيص رسائلهم ^[3]. وأبلغ عن الرسائل المشبوهة؛ إذ يقول المركز الوطني للأمن السيبراني إن الإبلاغ يقلل عمليات الاحتيال التي تصلك ويساعد على حماية الآخرين ^[3].