كيف استنزف اختبار CAPTCHA مزيف الضحايا: عملية احتيال دولية عبر الرسائل القصيرة لم ترها قادمة

تبدأ بقلة انتباه بسيطة: حرف واحد في غير مكانه داخل عنوان موقع. وقبل أن تدرك ما يحدث، تجد نفسك عالقًا في متاهة رقمية، تنقر عبر اختبار CAPTCHA روتيني لإثبات أنك إنسان. لكن هذه المرة، الاختبار ليس ضد الروبوتات. إنه ضد محفظتك - والفخ قد أُحكم بالفعل.

تشريح سرقة تُدار بالنقرات

هذه الخدعة المتقنة، التي كشفها لأول مرة باحثو Infoblox، هي درس متقدم في الخداع الرقمي. تبدأ الرحلة عندما يصل مستخدم غير مرتاب إلى موقع مُنشأ عبر أخطاء الكتابة - عنوان يكاد يطابق علامة اتصالات موثوقة. وبدلًا من صفحة هبوط شرعية، يُساق الزائرون عبر نظام توزيع حركة (TDS) متشعب، يمر عبر خوادم متعددة وشبكات إعلانات، حتى يصلوا إلى وكر المحتالين الرقمي: اختبار CAPTCHA مزيف مقنع.

وعلى خلاف اختبارات CAPTCHA الحقيقية، تطرح هذه الصفحات أسئلة غريبة عن جهازك أو سرعة الإنترنت. كل نقرة بريئة تُفعّل دالة JavaScript مخفية تفتح بهدوء تطبيق الرسائل SMS على هاتفك. ومع كل خطوة، يُجهَّز جهازك لإرسال رسائل نصية مكتوبة مسبقًا إلى عشرات الأرقام الدولية المكلفة عبر 17 دولة - من أذربيجان إلى ميانمار. أكمل “التحقق”، وستكون قد أرسلت دون أن تدري ما يصل إلى 60 رسالة مدفوعة بمعدلات مرتفعة، تُغذّي جيوب مجرمي الإنترنت عبر احتيال تقاسم الإيرادات الدولية (IRSF).

استدراج مُصمَّم بعناية

لا يعتمد المحتالون على الخداع وحده - بل يحبسون الضحايا فعليًا. عبر “اختطاف زر الرجوع”، يعبثون بسجل المتصفح بحيث إن الضغط على “رجوع” يعيد تحميل صفحة الاحتيال نفسها، ليبقوك محبوسًا حتى تُرسل كل الرسائل الاحتيالية. هذا الإصرار يعظّم أرباحهم، مستغلًا ثغرات عبر عدة شركات اتصالات وأنظمة فوترة.

سرقة غير مرئية، صدمة متأخرة

ربما أكثر ما في الأمر خبثًا: أن الضرر يبقى مخفيًا. كثيرًا ما لا يلاحظ الضحايا الرسوم - وأحيانًا تتجاوز 30 دولارًا - إلا بعد أسابيع عندما تصل فاتورة الهاتف. عندها يكون موقع الاحتيال مجرد ذكرى بعيدة، ويصبح تتبع الخداع شبه مستحيل.

الصورة الأكبر

يربط تحقيق Infoblox العملية بشبكات تسويق بالعمولة للرسائل القصيرة في أوروبا وببنية تحتية استُخدمت سابقًا للبرمجيات الخبيثة وبرامج التخويف. وتُبرز الخدعة كيف تُعاد توظيف تكتيكات الجريمة الإلكترونية القديمة للاحتيال الهاتفي الجديد على نطاق صناعي. وطالما ظلت رسوم إنهاء الرسائل الدولية مربحة، سيواصل المجرمون استغلال هذه الأبواب الخلفية الرقمية المهملة.

كيف تبقى آمنًا

تذكّر: اختبارات CAPTCHA الحقيقية لا تطلب منك أبدًا إرسال رسالة نصية. إذا بدا مسار التحقق غريبًا - خصوصًا إذا فتح تطبيق الرسائل لديك دون طلب - فأغلق الصفحة فورًا. في عصر الخداع الرقمي، قد تكلفك حتى أصغر نقرة الكثير.

WIKICROOK

• الاستيلاء عبر أخطاء الكتابة (Typosquatting): يحدث Typosquatting عندما يستخدم المهاجمون أسماءً شبيهة بمواقع أو برامج موثوقة لخداع المستخدمين لزيارة مواقع مزيفة أو تنزيل برمجيات خبيثة.
• CAPTCHA: اختبار CAPTCHA هو اختبار أمني على المواقع يساعد على التمييز بين البشر والروبوتات، غالبًا عبر مطالبة المستخدمين بحل ألغاز بسيطة أو تحديد صور.
• نظام توزيع الحركة (TDS): يقوم نظام توزيع الحركة (TDS) بإعادة توجيه مستخدمي الويب إلى مواقع مختلفة، وغالبًا ما يستخدمه مجرمو الإنترنت لإرسال الضحايا إلى محتوى خبيث أو احتيالي.
• احتيال تقاسم الإيرادات الدولية (IRSF): IRSF هو احتيال في قطاع الاتصالات يربح فيه المجرمون من رسوم المكالمات أو الرسائل الدولية، ما يسبب خسائر مالية للشركات والمشغلين.
• اختطاف زر الرجوع: اختطاف زر الرجوع هو أسلوب يمنع المستخدمين من مغادرة صفحة ويب عبر التدخل في زر الرجوع بالمتصفح، وغالبًا لأغراض خبيثة.