تحقّق من الإجراء الذي تمنح الإذن به، لا من مظهر الرمز وحده.
تقول رسالة إن عليك مسح رمز QR للانضمام إلى مجموعة خاصة أو إبقاء حسابك نشطًا. ثم تطلب الشاشة التالية ربط جهاز. هذان إجراءان مختلفان. توقّف قبل الموافقة: يمكن استغلال آلية حقيقية لربط الحساب لغرض غير نزيه.
يحمي التشفير التام بين الطرفين الرسائل بين الأجهزة الطرفية المشاركة في الاتصال. لكنه لا يستطيع تحديد ما إذا كنت تنوي فعلًا إضافة الجهاز الذي يتلقاها الآن. يشرح هذا الدليل كيفية التمييز بين رابط ويب وطلب ربط جهاز ورمز للتحقق من جهة اتصال، وما ينبغي فحصه إذا كنت قد تصرفت بالفعل.
فخّان مختلفان لرموز QR
موقع مزيف: يفتح الرمز صفحة تقلّد خدمة مألوفة، وتطلب منك كلمة مرور أو معلومات حساسة أخرى. تحذّر لجنة التجارة الفيدرالية الأمريكية، FTC، من رموز QR الواردة في رسائل غير متوقعة. وتوصي بفحص الوجهة والتواصل مع المرسل المفترض عبر قناة معروفة بدلًا من اتباع الرسالة. وجود شعار مألوف لا يثبت هوية الجهة التي تدير الصفحة. إرشادات FTC بشأن الاحتيال برموز QR.
جهاز مرتبط غير مرغوب فيه: يقنعك المهاجم بتوصيل حاسوبه أو جهاز آخر بحساب المراسلة الخاص بك. وقد يستغل بذلك ميزة مشروعة بدلًا من كسر التشفير. وثّق فريق Google Threat Intelligence هجمات لربط أجهزة في Signal تنكّرت في صورة دعوات إلى مجموعات وإشعارات أمنية. وفي الهجمات التي رُصدت، أتاح نجاح الربط وصول الرسائل المستقبلية إلى جهاز يسيطر عليه المهاجم. تحقيق Google حول التصيد عبر ربط الأجهزة.
هذا التمييز مهم. تغيير كلمة المرور ليس بديلًا عن فحص الأجهزة المرتبطة. وفي المقابل، مجرد توجيه الكاميرا نحو رمز لا يثبت الاستيلاء على الحساب. حدّد الصفحة التي فُتحت، والمعلومات التي قدمتها، والإجراء الذي وافقت عليه.
ثلاثة رموز متشابهة، وثلاثة أغراض مختلفة
| الرمز أو الشاشة | الغرض المقصود | سؤال قبل المتابعة |
|---|---|---|
| رمز QR لموقع ويب | فتح عنوان | هل هذه هي الوجهة التي توقعتها بصورة مستقلة؟ |
| رمز QR لربط جهاز | منح الإذن لجهاز آخر | هل هذا جهازي، وهل أنا من بدأ ربطه؟ |
| رمز QR للتحقق من جهة اتصال | مقارنة معلومات الهوية التشفيرية | هل أنا في شاشة التحقق من جهة الاتصال، وأقارن المعلومات مع الشخص الصحيح؟ |
على سبيل المثال، توثّق Signal مسارًا مخصصًا للربط عبر إعدادات الأجهزة المرتبطة والكاميرا داخل التطبيق. وتتضمن إرشاداتها الحالية أيضًا خيارًا بشأن نقل سجل الرسائل. وهذه ليست مهمة التحقق من رقم أمان جهة الاتصال نفسها. إرشادات Signal بشأن الأجهزة المرتبطة.
تصف وثائق أرقام الأمان في Signal مقارنة الأرقام أو مسح رمز QR الخاص بالتحقق من جهة الاتصال، ويُفضّل أن يكون ذلك وجهًا لوجه. تساعد هذه المقارنة في التحقق من الهوية التشفيرية للمحادثة؛ وليست تعليمات لمنح حاسوب جديد حق الوصول إلى حسابك. وهي لا تثبت، بصورة مستقلة، هوية الشخص في العالم الحقيقي. اتبع الغرض الفعلي للشاشة، لا وصف المرسل لها. شرح Signal لأرقام الأمان.
مثال عملي: دعوة يتغيّر معناها
تخيّل هذا الموقف الافتراضي. تتلقى مينا رسالة تبدو كأنها من زميل: «انتقلت مجموعة المشروع. امسحي هذا الرمز للانضمام مجددًا». تبدو الصفحة متقنة التصميم. وتطلب منها فتح ماسح ربط الأجهزة في تطبيق المراسلة.
تلاحظ مينا التناقض: أرادت الانضمام إلى محادثة، لا توصيل حاسوب آخر. تلغي الإجراء، وتفتح بنفسها جهة الاتصال المعتادة، وتتحقق من الطلب مع زميلها عبر قناة منفصلة موثوقة. ولا تستخدم رقم الهاتف الموجود في الصفحة المشبوهة.
يوضح المثال قاعدة مفيدة لاتخاذ القرار: إذا كان الإذن الذي يطلبه التطبيق أوسع من المهمة التي تقصدها أو مختلفًا عنها، فتوقّف. لا يكفي أن يكون حساب المرسل مألوفًا، إذ يمكن انتحال الحسابات أو اختراقها. كما أن عنوان موقع يبدو مطمئنًا لا يفسر وحده سبب حاجة جهاز غير متوقع إلى الوصول.
قائمة تحقق قصيرة قبل الموافقة
- حدّد مهمتك. هل تفتح صفحة، أم تنضم إلى مجموعة، أم تتحقق من جهة اتصال، أم تربط حاسوبك الخاص؟
- ابدأ بصورة مستقلة. لإدارة الحساب، افتح التطبيق المثبّت أو وجهة تعرفها مسبقًا بدلًا من اتباع تعليمات رسالة لم تطلبها.
- اقرأ طلب التطبيق. تعامل مع ربط الجهاز واستعادة الحساب وإدخال بيانات الدخول بوصفها قرارات منفصلة. ألغِ الطلب الذي لا يتوافق مع مهمتك.
- تعرّف إلى الجهاز الآخر. لا تربط إلا معدات كنت تنوي استخدامها وتسيطر عليها. اسم الجهاز الودود ليس دليلًا على ملكيته.
- أبقِ الأسرار خارج المحادثات. لا ترسل كلمات المرور أو رموز التسجيل أو مفاتيح الاستعادة إلى شخص يدّعي مساعدتك.
- استخدم برامج محدّثة. التحديثات والتحذيرات المدمجة مهمة، لكنها لا تحوّل طلب موافقة غير متوقع إلى طلب موثوق.
تنصح إرشادات Signal لمكافحة التصيد بالتحقق بصورة مستقلة، والحفاظ على سرية الرموز، والتعامل بحذر مع الطلبات غير المتوقعة. كما تميّز بين إعلاناتها الرسمية المخصصة للعرض فقط وبين شخص ينتحل صفة الدعم ويتبادل الرسائل معك. هذه تفاصيل خاصة بـSignal، وليست ادعاءات عن نظام الدعم في كل تطبيق مراسلة. إرشادات Signal بشأن التصيد وانتحال الهوية.
إذا مسحت الرمز أو وافقت بالفعل
ابدأ من الإجراء الذي حدث فعلًا:
- فتحت صفحة فقط: أغلقها وتوقف عن التفاعل معها. تحقّق مما إذا كنت أدخلت معلومات أو نزّلت شيئًا أو وافقت على إجراء داخل التطبيق. لا تستنتج حدوث اختراق أو تحقق الأمان من المسح وحده.
- أدخلت بيانات دخول أو شاركت رمزًا: استخدم تعليمات الاستعادة الرسمية للخدمة من جهاز موثوق. غيّر كلمات المرور التي انكشفت وراجع الوصول إلى الحساب؛ وتعامل بصورة منفصلة مع كلمات المرور التي أعدت استخدامها في أماكن أخرى.
- ربطت جهازًا غير مألوف: افتح قائمة الأجهزة أو الجلسات الفعلية في التطبيق وأزل الاتصال غير المرغوب فيه. لا تفترض أن حذف رسالة الاحتيال يلغي الوصول.
- ثبّتّ برنامجًا أو منحت أذونات غير معتادة: افحص ذلك بصورة منفصلة. إلغاء جلسة في الحساب لا يزيل وحده البرامج الضارة من الهاتف.
بالنسبة إلى Signal تحديدًا، توصي إرشادات الحماية بفحص الأجهزة المرتبطة وإزالة الإدخالات غير المألوفة وإزالة كل الأجهزة المدرجة عند الشك. وتشرح تعليمات إلغاء الربط كيفية سحب وصول جهاز عبر الهاتف الأساسي. وقد تستخدم الخدمات الأخرى عناصر تحكم مختلفة. إرشادات Signal لحماية الحساب، تعليمات Signal لإلغاء ربط الأجهزة.
إلغاء الوصول لا يسترجع المعلومات التي نُسخت بالفعل إلى مكان آخر. يعتمد نطاق الانكشاف على الخدمة والأذونات الممنوحة وأي اختيار لنقل السجل ومدة الوصول، لا على قاعدة عامة تقول إن «كل المحادثات» انكشفت. وإذا كان من المحتمل انكشاف محادثات حساسة، فأبلغ الأشخاص المتأثرين عبر وسيلة موثوقة واتبع أي إجراءات واجبة للإبلاغ عن الحوادث.
ما الذي ينبغي فحصه عند تقييم Livara أو تطبيق مراسلة آخر؟
اسأل كيف يُمنح الإذن للأجهزة الجديدة، وأين تظهر الجلسات النشطة، وكيف يُلغى الوصول، وما إذا كان سجل الرسائل يُنقل بصورة منفصلة. راجع وثائق المنتج الحالية بدلًا من افتراض أن وصفه بأنه مشفّر يجيب عن هذه الأسئلة. لا تثبت هذه المقالة أن Livara تستخدم تسجيل الدخول برمز QR أو مسارًا معينًا لربط الأجهزة.
الخلاصة العملية بسيطة: تحقّق من الإجراء الذي تمنح الإذن به، لا من مظهر الرمز وحده.
