التصيّد عبر رموز QR ارتفع 146٪ في ثلاثة أشهر، ومكتب التحقيقات الفيدرالي يحذّر أن رمزاً مُستبدَلاً على فاتورتك أو واجهة متجرك يمكن أن يحوّل أموالك قبل أن يلاحظ أحد

حلّل فريق الأمان في مايكروسوفت نحو 8.3 مليار تهديد تصيّدٍ عبر البريد الإلكتروني بين يناير ومارس 2026 باستخدام بيانات Defender for Office 365، ووضع التصيّد عبر رموز QR على رأس أسرع أنواع الهجمات نمواً التي رصدها في ذلك الربع. فالحجم الشهري ارتفع من 7.6 مليون هجومٍ في يناير إلى 18.7 مليوناً في مارس، ارتفاعٌ بنسبة 146٪ في ثلاثة أشهر [1][2].

وسبب هذا النمو السريع يكمن في طريقة بناء رمز QR نفسه، لا في من يضغط عليه. فمرشّح التصيّد العادي يبحث عن رابطٍ ضارٍّ في نصّ البريد الإلكتروني. أمّا رمز QR فيحمل ذلك الرابط نفسه مُرمَّزاً داخل صورة، وغالباً مطويّاً داخل مرفق PDF لا ملصَقاً في نص الرسالة: 70٪ من التصيّد عبر رموز QR وصل بهذه الطريقة في مارس، ارتفاعاً من 65٪ في يناير [1][3]. المرشّح يرى صورةً أو ملفّاً. ولا يرى رابطاً يُعلِّم عليه حتى يمسح شخصٌ الرمز بهاتفه الخاص، وهو عادةً جهازٌ لا تحميه أيٌّ من وسائل حماية بريد الشركة أصلاً.

ولا يقف الأمر عند البريد الإلكتروني. فمكتب التحقيقات الفيدرالي يحذّر منذ سنوات من أن المجرمين يعبثون برموز QR التي تطبعها الشركات وتنشرها فعلاً، ملصقٌ فوق الرمز الحقيقي على طاولة مطعمٍ، أو عداد انتظارٍ، أو فاتورة، بحيث تصل الدفعة نفسها إلى حسابٍ مختلفٍ بينما يبدو كل شيءٍ آخر في المستند صحيحاً [4]. وفي يناير 2026 أصدر المكتب تنبيهاً عاجلاً منفصلاً يربط مجموعةً مرتبطةً بدولةٍ بحملة تصيّدٍ عبر رموز QR مُستهدَفة، ما يعني أن نفس الثغرة تُستغَلّ من البريد العشوائي الجماعي ومن هجماتٍ مقصودةٍ على منظّماتٍ محدّدة في الوقت نفسه [5].

تقرير مايكروسوفت مبنيٌّ على بيانات رصدها الخاصّة عبر Defender for Office 365، وهذا يمنحها رؤيةً مباشرةً لما يصل فعلاً إلى صناديق البريد لا استطلاعاً لما يتذكّر الناس أنهم استلموه. والتغطية المستقلّة لنفس التقرير تتّسق مع الأرقام الرئيسية: القفزة من 7.6 مليون إلى 18.7 مليون، ومعدّل النمو 146٪، ومكانة التصيّد عبر رموز QR كأسرع فئةٍ نمواً قاستها مايكروسوفت في ذلك الربع ^[1][2][3]. ونفس التقرير وجد أن اختراق البريد التجاري يعمل بمعدّل 10.7 مليون هجومٍ عبر الربع، فالتصيّد عبر رموز QR لا يحلّ محلّ أنواع الاحتيال الأخرى، بل ينمو إلى جانبها ^[1].

وتفصيل التوصيل عبر PDF يفسّر الآلية، لا الاتجاه فقط. فالمرشّح النصّي يفحص البريد الإلكتروني بحثاً عن نطاقٍ معروفٍ بالخبث أو رابطٍ مشبوه. ورمز QR يتجاوز هذا الفحص بتصميمه: الوجهة مُرمَّزةٌ كنمط بكسلات، فلا يوجد رابطٌ نصّيٌّ في الرسالة ليقرأه المرشّح. وتغليف تلك الصورة داخل PDF يمنح المهاجمين طبقةً ثانية، لأن كثيراً من المرشّحات التي تعلّمت رصد صورة QR عاريةٍ مرفقةٍ مباشرةً ما زالت تمرّر نفس الرمز حين يكون جالساً على صفحةٍ داخل مستند. وهذا ما يفسّر ارتفاع نسبة التوصيل عبر PDF من 65٪ إلى 70٪ في ربعٍ واحد: إنها نسخة الهجوم التي ما زالت تنفذ ^[1][3].

وكشف تقرير مايكروسوفت أيضاً عن حاجزٍ ثانٍ يرتفع بالتوازي: صفحات التصيّد المحميّة بخطوة CAPTCHA بلغت أعلى حجمٍ شهريٍّ لها في عامٍ كامل في مارس. فـCAPTCHA تُرشِّح الماسحات الآلية بالطريقة نفسها التي يُرشِّح رمز QR بها المرشّحات النصّية، فأداة الأمان التي تحاول معاينة وجهة رابطٍ ما ترى شاشة تحقّقٍ بشريٍّ بدلاً من صفحة سرقة بيانات الدخول الكامنة تحتها. خدعتان منفصلتان، تستهدفان نوعين منفصلين من الرصد الآلي، وكلتاهما تقفزان في الربع نفسه ^[1][2].

وتحذير مكتب التحقيقات الفيدرالي من رموز QR المُعبَث بها يسبق هذا التقرير بسنوات، ويصف آليةً مختلفة بنفس الثغرة. فالمجرم لا يحتاج إرسال أي شيء. يطبع رمزه الخاص على ملصقٍ ويضعه فوق رمز الشركة الحقيقي، على طاولة، أو لافتة، أو فاتورةٍ مطبوعة، فيمسح عميلٌ أو مورّدٌ ما يبدو رابط دفع الشركة نفسه ويرسل المال إلى حسابٍ لا تتحكّم الشركة فيه. وتوجيهات المكتب صريحةٌ بشأن ما يحدث بعد ذلك: لا يمكنه ضمان عودة المال المُحوَّل بهذه الطريقة ^[4]. والتنبيه العاجل الصادر في يناير 2026 حول حملة تصيّدٍ مرتبطةٍ بمجموعةٍ مدعومةٍ من دولةٍ يؤكّد أن الأسلوب ليس محصوراً في البريد العشوائي الجماعي؛ فنفس إخفاء الوجهة يعمل بفعاليةٍ مماثلة كأداةٍ تستهدف هدفاً واحداً بعينه ^[5].

وعبر الولايات المتحدة ومصر ودول الخليج، أصبح رمز QR جزءاً افتراضيّاً من الدفع والفوترة وطلب الطعام داخل المحل، وهذا يعني أن عدداً متزايداً من الشركات يعتمد على واجهةٍ لا تتحقّق منها إلا يوم طباعتها. والحلّ ليس ملصق تدريبٍ للموظّفين. إنه التأكّد من أن رمز QR لا يكون أبداً الطريقة الوحيدة للوصول إلى وجهة دفعٍ أو تسجيل دخول، وأن ما يفحص بريد الشركة يفكّك فعلاً ما بداخل الصورة أو ملف PDF لا أن يقرأ فقط النصّ المحيط به.