فكّ شفرة رمز QR قبل مسحه لمعرفة محتواه الحقيقي

هناك حالتان تستدعيان ذلك: عندما تكون على وشك مسح رمز لا تثق به بالكامل، وعندما تكون على وشك طباعة رمز جرى إنشاؤه في مكان آخر. وتجيب التقنية نفسها عن الحالتين.

الخطوة 1 — اقرأ المحتوى بدلًا من فتحه

يحتوي رمز QR على نص. يفكّ الماسح هذا النص ويتصرف بناءً عليه فورًا — يفتح عنوان URL، أو ينضم إلى شبكة Wi-Fi، أو يبدأ مكالمة. أما المحلّل فيفكّ النص نفسه ويعرضه لك ببساطة. هذا الفرق هو هامش الأمان كله.

صوّر الرمز أو التقط لقطة شاشة له، ثم فكّ شفرة الصورة باستخدام قارئ QR. يعمل بالكامل في متصفحك: لا تُرفع الصورة، ولا يُفتح أي شيء. وستحصل على المحتوى الخام كنص.

الخطوة 2 — حدّد نوع المحتوى

تتبع محتويات رموز QR تنسيقات يمكن تمييزها. وتخبرك قراءة البادئة بما كان الماسح سيفعله.

تشرح صفحات أنواعنا كيفية إنشاء كل تنسيق إذا أردت معرفة شكل التنسيق السليم: Wi-Fi، وvCard، والبريد الإلكتروني، والهاتف، والنص العادي.

الخطوة 3 — قيّم النطاق

في محتوى عنوان URL، النطاق هو المهم — اقرأه من اليمين إلى اليسار بدءًا من أول شرطة مائلة مفردة. في https://pay.cityparking.gov/meter/44، النطاق هو cityparking.gov. أما في https://cityparking.gov.pay-now.click/meter/44، فهو pay-now.click، والجزء المألوف مجرد تمويه.

تنبيه واحد بشأن خدمات الاختصار: معرفة الخدمة لا تخبرك بالوجهة. يوضح Unit 42 الأمر مباشرة: "حتى الأشخاص الحريصون على الأمان الذين يفحصون معاينة عنوان URL قبل المسح لا يستطيعون تحديد الوجهة النهائية عند عرض روابط مختصرة" — والخدمات الثلاث التي يحددونها باعتبارها الأكثر إساءة للاستخدام هي نطاقات إعادة التوجيه الخاصة بمولّدات QR العادية. الخدمة المختصرة المألوفة ليست مصدر طمأنينة.

الخطوة 4 — تتبّع سلسلة إعادة التوجيه

إذا كان المحتوى رابطًا مختصرًا وتحتاج إلى معرفة وجهته النهائية، فحلّله دون تحميل الصفحة. من الطرفية:

شغّل curl -sIL "https://short.example/abc" | grep -i "^location:" — سيطبع ذلك رأس Location لكل قفزة دون تنفيذ محتوى الصفحة. راقب عدد القفزات: القفزة الواحدة إلى الوجهة المتوقعة أمر عادي، بينما تشير عدة قفزات عبر مضيفين غير مرتبطين عادةً إلى وسطاء للتحليلات أو الإعلانات، يرى كل منهم الطلب. يشرح ما الذي يسجله وكيل QR ما تجمعه تلك القفزات.

هناك محذوران. قد يعرض التحويل لك وجهة، ولشخص آخر وجهة مختلفة، استنادًا إلى عنوان IP أو وكيل المستخدم أو الوقت — لذا فإن النتيجة النظيفة تثبت ما حدث لك في تلك اللحظة، لا ما سيحصل عليه عميل في بلد آخر. كما يمكن تغيير وجهة الرمز الديناميكي في أي وقت لاحق، وهذه تحديدًا هي الميزة التي يُباع من أجلها.

كيف تتحقق من رمز وصلك عبر البريد الإلكتروني؟

تعامل مع هذه الحالة باعتبارها منفصلة وأكثر خطورة. يذكر NCSC أن رموز QR تُستخدم في رسائل التصيد الاحتيالي تحديدًا لأن أدوات الأمان لا تفحص الصور كلها، ولذلك يمكن لرَمز أن يحمل رابطًا ضارًا يتجاوز المرشحات التي كانت ستلتقط الرابط نفسه لو كان نصًا — كما أن المسح ينقلك إلى هاتف شخصي ذي حماية أضعف من جهاز العمل.

التحقق مباشر. احفظ الصورة من البريد الإلكتروني بدلًا من مسحها من الشاشة، ثم فكّ شفرة الملف واقرأ النطاق. نفّذ ذلك على الكمبيوتر، لا الهاتف، حتى لا تغادر الجهاز المحمي. إذا لم يطابق النطاق المؤسسة التي يدّعي البريد أنه أُرسل منها تطابقًا تامًا، فتوقف — وتواصل مع المؤسسة بالطريقة المعتادة، لا عبر أي شيء في الرسالة.

ابحث عن اقتران الاستعجال بالرمز: مشكلة في التسليم، أو إشعار ضريبي، أو صندوق بريد تجاوز السعة، أو حساب يحتاج إلى التحقق اليوم. نادرًا ما تحتاج المؤسسات الشرعية إلى أن تمسح مربعًا مطبوعًا لحل مشكلة حساب عاجلة. يشرح التصيد عبر QR أنماط الهجوم كاملة.

ما الذي لا يستطيع المحلّل إخبارك به؟

إن الوضوح بشأن الحدود يبقي عملية التحقق نزيهة.

• ما إذا كانت الوجهة آمنة. يعرض المحلّل العنوان، لا المحتوى. فقد يستضيف نطاق مألوف صفحة مخترقة.
• ما الذي سيحصل عليه الآخرون. قد يعرض التحويل وجهات مختلفة بحسب عنوان IP أو وكيل المستخدم أو وقت اليوم. تصف نتيجتك النظيفة طلبك أنت، في تلك اللحظة.
• ما الذي سيفعله غدًا. يمكن تغيير وجهة الرمز الديناميكي في أي وقت بعد فحصه. وهذه هي الميزة التي يُباع من أجلها، ولذلك فإن قولك «تحققت منه مرة» ليس حكمًا دائمًا على رمز ديناميكي.
• ما إذا كانت النسخة المطبوعة تطابق الملف. تعني الملصقات الموضوعة فوق الرمز أن التصميم الذي وافقت عليه والشيء الموجود على الحائط قد يختلفان. وحده فكّ شفرة نسخة مادية يخبرك عن النسخة المادية.

الحدّان الأول والأخير هما سبب تكرار النصيحة نفسها في إرشادات هذا المدوّن للأعمال: الرمز الثابت على نطاقك أنت هو الترتيب الوحيد الذي يظل فيه الفحص لمرة واحدة صحيحًا.

الخطوة 5 — افحص تصميمك قبل إرساله إلى الطباعة

يستغرق هذا دقيقة ويمنع فئة كاملة من المشكلات المكلفة.

1. صدّر التصميم النهائي تمامًا كما سيُطبع.
2. فكّ شفرة ذلك الملف — لا الملف الموجود في معاينة المولّد.
3. تأكد من أن المحتوى هو عنوان URL الذي قصدته، على نطاق تملكه.
4. إذا كان رابطًا مختصرًا على نطاق يملكه شخص آخر، فلا تطبعه. أعد إنشاءه كرمز ثابت.
5. امسح النسخة المطبوعة التجريبية عند وصولها، وتأكد من أنها ما زالت تصل إلى الوجهة الصحيحة.

إذا كان الرمز مطبوعًا بالفعل ووصلت متأخرًا إلى هذا الفحص، يغطي دليل استعادة الرمز المحتجز الخيارات المتبقية. وإذا توقف عن العمل ولا تعرف السبب بعد، فابدأ من سبب توقف رمز QR عن العمل.

الرموز التي تنشئها هنا تفكّ دائمًا إلى ما كتبته بالضبط: رمز QR لعنوان URL. مزيد من السياق في الحقيقة عن عمليات الاحتيال عبر رموز QR.