اختطاف QR عبر إعادة التوجيه: الوسيط غير المرئي

كل رمز QR ديناميكي قمت بمسحه من قبل، شاركه طرف ثالث لم تختره أبداً. بين كاميرا الهاتف وموقع الوجهة، مرّر خادم إعادة توجيه مملوك لمزوّد QR الطلب بصمت. معظم المستخدمين لا يلاحظون أبداً. هذه هي الفكرة بالضبط.

تشرح هذه المقالة كيف يبدو اختطاف إعادة التوجيه عملياً، وماذا يفعل الوسيط فعلاً، وما المعرّض للخطر.

تسلسل إعادة التوجيه

عند مسح QR ثابت لـ https://shop.example.com:

1. تقرأ الكاميرا QR
2. يتعرّف نظام التشغيل عليه كرابط
3. يفتح المتصفح https://shop.example.com

ثلاث خطوات. بدون أطراف ثالثة.

عند مسح QR ديناميكي لنفس الوجهة:

1. تقرأ الكاميرا QR، الذي يُرمّز شيئاً مثل https://qr-provider.com/r/x7n2
2. يفتح نظام التشغيل ذلك الرابط
3. يستقبل qr-provider.com طلباً، يُسجّله، يبحث عن x7n2 في قاعدة بياناته
4. يُصدر qr-provider.com إعادة توجيه 301 أو 302 إلى https://shop.example.com
5. يتبع المتصفح إعادة التوجيه ويصل إلى الوجهة الحقيقية

خمس خطوات. طرف إضافي في الخطوة 3 — طرف لم توافق عليه أبداً، ولم تدفع له أبداً، ولا تراه.

ما يحصل عليه الوسيط

كل مسح يُنتج سجلّ خادم يحتوي:

• طابع زمني للمسح
• عنوان IP للماسح
• نص user-agent (الجهاز، نظام التشغيل، المتصفّح)
• ترويسة Referrer (من أين جاء الماسح، إن كانت مطبّقة)
• ترويسة Accept-Language (تفضيل اللغة)

من هنا، يستنتج المزوّد: الموقع الجغرافي التقريبي، نوع الجهاز، نسخة نظام التشغيل، وعلى نحو مُجمَّع أنماط المسح عبر الزمن. يُسوَّق هذا للعملاء كـ"تحليلات". وهو بالقدر نفسه مراقبة لمن يمسحون رموزك — دون أن يوافقوا على ذلك.

ما يستطيع الوسيط فعله

تغيير الوجهة

تعيش وجهة إعادة التوجيه في قاعدة بيانات المزوّد. عادةً يستطيع مالك QR تعديلها عبر لوحة تحكّم. يُباع ذلك كميزة، ولبعض الحالات هو كذلك فعلاً. لكنه يعني أن QR لم يعد كما يبدو. المنتج الفيزيائي يقول "امسح لزيارة موقعنا". السلوك الفعلي هو ما تقوله قاعدة بيانات المزوّد اليوم.

تعطيل إعادة التوجيه

إذا انتهى اشتراك المالك، أو أُغلق حسابه، أو انتُهكت شروط الخدمة، يمكن إزالة إعادة التوجيه. كل نسخة مطبوعة من QR تتوقّف فوراً عن العمل. يرى الماسحون صفحة خطأ عامّة أو 404.

إدراج صفحة وسيطة

يقوم بعض المزوّدين بتمرير مسح QR الديناميكي عبر صفحة وسيطة بعلامتهم التجارية قبل إعادة التوجيه النهائية — مع عرض إعلانات، وطلب موافقة، وجمع رسائل بريد. عادةً لم يشترك مالك QR في ذلك. يُضاف لاحقاً، مع اتّجاه المزوّد إلى جني الأرباح بشكل أقوى.

بيع بيانات المسح أو فقدانها

سجلات المسح ذات قيمة. بيعت لوسطاء تحليلات، واستُخدمت لتدريب نماذج استهداف إعلاني، وفي عدّة حوادث موثّقة على الأقل تسرّبت عند اختراق المزوّدين. عملاؤك مسحوا قائمة طعام؛ الآن بصمة أجهزتهم تعيش في مجموعة بيانات مسرّبة.

لماذا لا يلاحظ المستخدمون

تتبع المتصفحات الحديثة إعادات التوجيه تلقائياً. دون فتح أدوات المطوّر، لن ترى القفزة الوسيطة. يبدو المسح فورياً لأن إعادة التوجيه سريعة (عندما تعمل). من منظور المستخدم، يتصرّف QR ديناميكي بشكل مطابق لـQR ثابت.

حتى يفشل خادم إعادة التوجيه. حينها تتباين التجربة فجأة — لكن بحلول ذلك الوقت يكون QR قد طُبع على ألف سطح.

تداعيات أمنية

خادم إعادة التوجيه هو نقطة فشل واحدة لكل رمز QR يعتمد عليه. ثلاث واجهات هجوم جديرة بالاعتبار:

• الاستيلاء على الحساب. إن حصل مهاجم على وصول إلى حساب مالك QR لدى المزوّد، يستطيع إعادة توجيه كل QR إلى صفحة تصيّد. يمسح العملاء الرمز الفيزيائي متوقّعين قائمة المطعم؛ يهبطون على نسخة تحصد بيانات اعتماد تسجيل الدخول.
• اختراق المزوّد. إن اختُرق مزوّد QR نفسه، فإن كل QR ديناميكي قيد الاستخدام من المحتمل إعادة توجيهه إلى محتوى يتحكّم به المهاجم. هذا ليس نظريّاً — إفصاحات عن اختراقات موجودة لدى عدّة مزوّدي QR-as-a-Service.
• عطل DNS أو TLS لدى المزوّد. إن توقّف نطاق إعادة التوجيه عن الحلّ، أو انتهت صلاحية شهادة TLS، فإن كل QR معتمد يفشل. لا ممثل خبيث — مجرد خطر تشغيلي اعتيادي لا يتحكّم به مالك QR.

لا تعاني رموز QR الثابتة من أيّ من أنماط الفشل هذه، لأنه لا يوجد خادم طرف ثالث بين المسح والوجهة.

كيف تتحقّق ممّا إذا كنت تمسح إعادة توجيه

استخدم ماسحاً يعرض المحتوى المُفكَّك قبل فتحه — ماسحنا الإلكتروني يفعل ذلك. امسح QR وافحص الرابط المُفكَّك. إن كان وجهتك الحقيقية، فـQR ثابت. إن كان شيئاً مثل qrco.de/xyz أو نطاقاً قصيراً لا تعرفه، فهو إعادة توجيه — وهناك طرف ثالث يجلس في المنتصف.

البديل

ولّد رموز QR تُرمّز وجهتك مباشرة. بدون خوادم طرف ثالث، وبدون سجلات إعادة توجيه، وبدون اشتراك. المقارنة الكاملة في رموز QR الثابتة مقابل الديناميكية، ولماذا يهيمن نموذج الوسيط على الصناعة في الحقيقة عن عمليات احتيال QR.

أو ببساطة ولّد رمز QR ثابت وتوقّف عن القلق.