منذ سنوات، تقوم مكافحة الرسائل النصية الاحتيالية على افتراض بسيط: لا بدّ لرسالة النصب أن تمرّ من مكان ما. عبر منصة إرسال، أو عبر وسيط تجميع، أو عبر مشغّل. وما دامت الرسالة تمرّ عبر أنبوب، فيمكن ترشيحها وحجبها وتتبّع مرسِلها.
في عام 2026، ينهار هذا الافتراض. فثمة جيل جديد من عمليات النصب لم يعد يسلك أي أنبوب. الرسالة لا تأتي من Orange ولا SFR ولا Bouygues ولا Free. إنها لا تأتي من أي مشغّل على الإطلاق. بل تُبثّ مباشرة في الهواء، من صندوق موضوع في حقيبة سيارة تسير أو تقف على بُعد خمسين مترًا منك.
هذا ما يُسمّى SMS Blaster — ويُطلق عليه أحيانًا «المُرحِّل المزيف» أو «fake base station»، أو في المصطلحات الأقدم لدى أجهزة الاستخبارات: ابن عمّ جهاز IMSI catcher. والمشكلة الجوهرية هي التالية: لا يستطيع مشغّلك ترشيح رسالة لم يرَها تمرّ عنده قط.
ما هو SMS Blaster حقًا
الهاتف المحمول ليس جهازًا مرتابًا. منطقه الأساسي، الموروث من أولى معايير GSM في تسعينيات القرن الماضي، هو الاتصال بالهوائي الذي يوفّر أفضل إشارة. وهو لا يطلب من هذا الهوائي أي إثبات. وفي أقدم أجيال الشبكة — الجيل الثاني 2G تحديدًا — تعمل المصادقة في اتجاه واحد: الشبكة تتحقق من أن شريحة SIM الخاصة بك شرعية، لكن هاتفك لا يتحقق من شرعية الهوائي.
يستغل SMS Blaster هذه الثغرة التصميمية بالضبط. الجهاز يتّسع له كيس رياضي أو حقيبة صلبة: راديو مُعرَّف برمجيًا، ومضخّم، وبطارية، وأحيانًا مجرد حاسوب محمول لإدارة المنظومة. ينتحل صفة برج تقوية، ويجبر الهواتف المحيطة على مغادرة شبكات 4G أو 5G والتراجع إلى 2G، ثم يحقن فيها رسالة نصية مباشرة.
يتفاوت نطاق التأثير بحسب القدرة والبيئة — عادةً من بضع عشرات إلى بضع مئات من الأمتار في المناطق الحضرية الكثيفة. وبالتنقّل ببطء في شارع تجاري، أو في مترو معلّق، أو على محور مزدحم، يستطيع جهاز واحد أن يصل إلى آلاف الهواتف في ساعة واحدة.
النقطة الحاسمة: الرسالة المبثوثة على هذا النحو لا وجود لها إطلاقًا في أنظمة المشغّل. لا تظهر في أي سجل فوترة، ولا في أي منصة إشراف، ولا في أي أداة لمكافحة الرسائل المزعجة. بالنسبة إلى الشبكة، هذه الرسالة لم تُرسل قط.
لماذا لا تنفع الدفاعات المعتادة هنا
عزّز المشغّلون الفرنسيون ترسانتهم كثيرًا في السنوات الأخيرة. فمنظومة 33700، التي تديرها Association Française du Multimédia Mobile، تتيح الإبلاغ عن رسالة نصية غير مرغوبة وقطع الأرقام المسيئة. وفلاتر الشبكة ترصد عمليات الإرسال الجماعي، وعناوين URL المدرجة في القوائم السوداء، والأنماط المتكررة. أما مرجعية MAN (آلية مصادقة الأرقام) فقد صعّبت كثيرًا انتحال أرقام الاتصال.
كل هذه الآليات تشترك في افتراض واحد: أن الرسالة تعبر بنية تحتية خاضعة للإشراف. وSMS Blaster ينسف هذا الافتراض.
| الدفاع التقليدي | الفعالية أمام SMS Blaster |
|---|---|
| ترشيح الرسائل المزعجة لدى المشغّل | معدومة — الرسالة لا تعبر الشبكة |
| الإبلاغ عبر 33700 | مفيد للتحقيق، لكن لا يوجد رقم لقطعه |
| حجب رقم المرسِل | معدومة — المرسِل مجرد تسمية اعتباطية |
| رصد الإرسال الجماعي | معدومة — لا حجم مرئي لدى المشغّل |
| تطبيق مكافحة الرسائل المزعجة على الهاتف | جزئية — تتوقف على المحتوى والرابط |
وثمة نتيجة أخرى أشدّ خبثًا: المرسِل الظاهر يختاره المهاجم بالكامل. فقد يكون اسم مصرف، أو اسم جهة إدارية، أو رقمًا قصيرًا معروفًا. وعلى بعض الهواتف، إذا تطابقت التسمية تمامًا مع تسمية مرسِل شرعي موجود أصلًا في محادثاتك، فقد تنضمّ الرسالة الاحتيالية إلى سلسلة المحادثة القائمة — تحت رسائل مصرفك أو صندوق تقاعدك الحقيقية مباشرة. وآلية التجميع هذه بحسب اسم المرسِل هي ما يفسّر بعض الموجات الأخيرة من الرسائل المزيفة التي تحمل الاسم الدقيق لمؤسسات رسمية.
ما الذي تحتويه هذه الرسائل
المحتوى لا يختلف جوهريًا عن التصيّد النصي المعتاد — الوسيلة هي ما تغيّر. نجد الأنماط الكلاسيكية الكبرى، بلغة فرنسية لا غبار عليها:
- الطرد المحتجز: رسوم جمركية بقيمة 1,79 يورو يجب تسديدها فورًا، مع رابط إلى صفحة دفع مستنسخة.
- الرسالة المصرفية المزيفة: «تم الشروع في عملية بقيمة 749 يورو. إن لم تكن أنت من قام بها، اضغط هنا.»
- الجهات الإدارية: مخالفة غير مسددة، تحديث بطاقة Vitale، تعويض من التأمين التكميلي، تسوية حساب تقاعد.
- خدمة رسوم الطرق أو مواقف السيارات: فعّالة بوجه خاص عندما يتنقّل الجهاز على طول محور طرقي.
- رمز التحقق المزيف متبوعًا باتصال: «مرحبًا، قسم مكافحة الاحتيال في مصرفكم، نرصد محاولة على حسابكم.»
المحفّز العاطفي واحد دائمًا: الاستعجال المالي أو الإداري، مقرونًا بإجراء يجب تنفيذه خلال أقل من أربع وعشرين ساعة.
لماذا انتشرت هذه التقنية
اجتمعت ثلاثة عوامل.
العتاد صار في المتناول. أجهزة الراديو المُعرَّفة برمجيًا، التي كانت في الأصل أدوات بحث وهواية لاسلكية، لا تكلّف اليوم سوى بضع مئات من اليوروهات. أما الخبرة اللازمة لتحويل وجهتها فتنتقل في مجتمعات مغلقة، على هيئة حزم جاهزة للاستخدام.
الكلفة الحدّية معدومة. إرسال رسالة نصية عبر مشغّل يكلّف مالًا ويترك أثرًا محاسبيًا. أما بثّ مئة ألف رسالة من جهاز blaster فلا يكلّف سوى الكهرباء. وهكذا يتبدّل النموذج الاقتصادي للنصب: لم تعد هناك حاجة إلى حسابات بأسماء مستعارة، ولا إلى صناديق SIM box، ولا إلى وسطاء تجميع متواطئين.
التتبّع شبه مستحيل. فالجهاز لا اشتراك له، ولا معرّف شبكة قابلًا للاستغلال، ولا عنوان IP. والسبيل الوحيد لتحييده هو تحديد موقعه ماديًا — وهو عمل توجيه لاسلكي يتطلب وقتًا وعتادًا وتنسيقًا بين ANFR (الوكالة الوطنية للترددات) والمشغّلين وقوات الأمن. هذه العمليات موجودة وتؤتي ثمارها، لكنها تفترض أولًا أن يبلّغ أحدهم عن الخلل.
ولنذكّر بالمناسبة بأن استخدام مثل هذا الجهاز يستوجب في فرنسا عقوبات جزائية ثقيلة: البثّ على ترددات مخصصة دون ترخيص، وعرقلة عمل شبكة اتصالات إلكترونية، والنصب في إطار عصابة منظمة. والعقوبات المقررة تُحسب بسنوات من السجن.
الإعدادات التي تُحدث فرقًا فعليًا
لا يوجد زر باسم «مكافحة SMS Blaster». لكن ثمة إجراءً أثره مباشر وقابل للقياس: تعطيل شبكة 2G.
فما دام الهجوم يقوم على التراجع القسري إلى بروتوكول لا يحتاج فيه الهوائي إلى إثبات هويته، فإن هاتفًا يرفض 2G رفضًا قاطعًا يصبح إيقاعه في الفخّ أصعب بكثير.
على أندرويد
توفّر معظم إصدارات Android الحديثة مفتاحًا مخصصًا. يتفاوت المسار بحسب الشركة المصنّعة، لكنه يشبه: الإعدادات ← الشبكة والإنترنت ← شرائح SIM ← اختيار الشريحة ← «السماح بشبكة 2G»، ويجب تعطيله. وتضع بعض الشركات هذا الخيار في قائمة «الأمان والخصوصية».
كما يوفّر Android، في أحدث الإصدارات، وضع حماية الشبكة الذي يرفض الاتصالات غير المشفّرة وقد ينبّهك عندما يرصد الهاتف محطة قاعدية ذات سلوك غير طبيعي. إن كان جهازك يتيحه، فعّله.
على iPhone
لا يوفّر iOS مفتاحًا مستقلًا لشبكة 2G. في المقابل، فإن وضع الحجْز (الإعدادات ← الخصوصية والأمان ← وضع الحجْز) يعطّل من بين ما يعطّل التراجع إلى الشبكات الخلوية غير الآمنة. وهو وضع تقييدي، مصمَّم للفئات المعرَّضة للخطر — الصحفيون والمحامون والمنتخبون — ويحدّ من بعض الاستخدامات اليومية. ولا يُنصح به يوميًا لغالبية المستخدمين، لكن يمكن تفعيله ظرفيًا في سياق ينطوي على مخاطر.
بقية الإعدادات المفيدة
- فعّل ترشيح المرسِلين المجهولين (iOS: الإعدادات ← التطبيقات ← الرسائل؛ Android: الرسائل ← الإعدادات ← الحماية من الرسائل المزعجة).
- ارفض دائمًا تثبيت التطبيقات من خارج App Store أو Play Store. فهي المدخل الرئيسي للمراحل الثانية من الهجوم.
- تأكّد من أن المصادقة الثنائية لحساباتك الحساسة لا تعتمد على الرسائل النصية وحدها. فتطبيق مصادقة، أو الأفضل مفتاح أمان FIDO2 مادي، يقطع السلسلة بأكملها: فحتى لو استولى المهاجم على بيانات دخولك، يظل عاجزًا.
وكلمة عن التغطية الشبكية بالمناسبة: في المناطق التي تضعف فيها إشارة 4G، يتراجع هاتفك تلقائيًا إلى 2G — وهو ما يجعلك أكثر عرضة للخطر. إن كنت تقيم في منطقة ضعيفة التغطية جزئيًا، فإن مقوّي إشارة محمول معتمَدًا من ARCEP، مركّبًا وفق الأصول، يقلّل هذا التحوّل الدائم. انتبه: وحدها الطُّرز المعتمدة والمصرَّح بها قانونية في فرنسا.
كيف تعرف أنك استُهدفت للتوّ
بعض الإشارات، وهي في ذاتها عابرة، تكتسب معنى حين تجتمع:
- ينتقل هاتفك فجأة إلى 2G أو إلى «E» بينما أنت في قلب المدينة، في منطقة تتمتع عادةً بتغطية جيدة.
- تفقد الشبكة لبضع ثوانٍ، ثم تصلك رسالة نصية مباشرة بعد إعادة الاتصال.
- الرسالة لا أثر لها في سجل حسابك لدى المشغّل.
- عدة أشخاص حولك — في العربة نفسها، أو البهو نفسه، أو طابور الانتظار نفسه — يتلقون الرسالة ذاتها في اللحظة ذاتها.
- المرسِل الظاهر شرعي تمامًا، لكن الرابط يشير إلى نطاق يختلف اختلافًا طفيفًا عن النطاق الرسمي.
وهذه النقطة الأخيرة تستحق ردّ فعل منهجيًا: لا تحكم أبدًا على رسالة نصية من المرسِل الظاهر، بل دائمًا من الإجراء المطلوب. فالمؤسسات العامة لا تطلب منك قط بياناتك المصرفية الكاملة عبر رسالة نصية. وموقع Ameli يذكّر بذلك صراحة: التأمين الصحي لا يطلب أبدًا بيانات مصرفية ولا رقم ضمان اجتماعي عبر رسالة.
ردّ الفعل السليم في ثلاث خطوات
لا تضغط على الرابط. قد تبدو نصيحة مبتذلة، لكنها نقطة القطع الوحيدة التي تملكها بالكامل. رسالة غير مقروءة لا تفعل شيئًا. ورسالة مقروءة لا تفعل شيئًا. الضغط وحده هو ما يفتح الباب لما بعده.
تحقّق عبر قناة تختارها أنت. ليس الرقم الوارد في الرسالة، ولا الرابط: بل تطبيق مصرفك تفتحه بيدك، أو الرقم المطبوع على ظهر بطاقتك، أو الموقع الرسمي تكتبه بنفسك في المتصفح.
بلِّغ. أعد توجيه الرسالة إلى 33700 (مجانًا، لدى جميع المشغّلين)، وفي حال وقوع ضرر، قدّم شكوى عبر الخدمة الإلكترونية المخصصة. وبوابة Cybermalveillance.gouv.fr توجّهك إلى الجهات المناسبة وتقدّم بطاقات إرشادية واضحة. وحتى في غياب مرسِل قابل للتتبّع، تغذّي هذه البلاغات الإحصائيات التي تُطلق عمليات تحديد المواقع لدى ANFR.
إذا وقع المحظور
الضغط تمّ، وبيانات الدخول أُدخلت. لا تزال هناك نافذة للتحرّك، لكنها قصيرة.
- أوقف بطاقتك فورًا لدى مصرفك، ثم عبر الخدمة المصرفية المشتركة لإيقاف البطاقات على الرقم 0 892 705 705.
- غيّر كلمات المرور للحسابات المعنية من جهاز آخر — حاسوب مثلًا، إن كنت تشتبه في أن الهاتف مخترق. ومدير كلمات المرور يجنّبك بالمناسبة العدوى المتسلسلة للحسابات التي تشترك في كلمة المرور نفسها.
- تحقّق من تحويل المكالمات وقواعد إعادة توجيه الرسائل النصية. فمن الممارسات الشائعة تفعيل تحويل خفي لاعتراض رموز التحقق.
- وثّق كل شيء: لقطات شاشة مؤرَّخة للرسالة والرقم والتوقيت. هذه العناصر هي التي ستُحدث الفرق عند تقديم الشكوى وطلب استرداد الأموال من المصرف، وهو طلب تنظّمه المواد L.133-18 وما يليها من قانون النقد والمال الفرنسي.
وإن كنت ترافق شخصًا قريبًا أقلّ إلمامًا بهذه الاحتياطات، فإن دليلًا عمليًا عن الأمن السيبراني في الحياة اليومية، موضوعًا على طاولة الصالون، غالبًا ما ينجز عملًا أكبر من خطبة طويلة: فهو يتيح العودة إلى الموضوع مرارًا، دون أن يُستشعر ذلك كدرس.
ما الذي سيتغيّر في السنوات المقبلة
الخبر السار أن الوسيلة التقنية في طريقها إلى الزوال. فشبكة 2G قيد الإغلاق رسميًا لدى المشغّلين الفرنسيين — إذ باشرت Orange وSFR جدولهما الزمني للإيقاف، والبقية تحذو حذوهما. ويوم لا يعود أي هاتف متداول قادرًا على التراجع إلى 2G، ستفقد هذه الفئة تحديدًا من الهجمات معظم ساحة لعبها.
والخبر السيئ أن الباحثين يوثّقون بالفعل نسخًا تستهدف شبكة 4G، مستغلةً رسائل إشارية سابقة على اكتمال المصادقة. المبدأ يبقى نفسه: بين لحظة اكتشاف الهاتف لهوائي ولحظة تحققه من شرعيته، توجد نافذة. وهي تضيق مع كل جيل، لكنها لم تختفِ بعد.
وإلى ذلك الحين، فإن المنطق الذي ينبغي استحضاره بسيط، وهو صالح لما هو أبعد من SMS Blaster بكثير: المصدر الظاهر لأي رسالة ليس دليلًا أبدًا. لا اسم المرسِل، ولا سلسلة المحادثة التي تظهر فيها، ولا جودة الصياغة. ما يهمّ وحده هو السؤال عمّا تطلب منك الرسالة فعله — وإذا كان هذا الإجراء يمسّ مالك أو بيانات دخولك أو معطياتك الشخصية، فهو يستحق التحقق منه في مكان آخر، عبر طريق تختاره أنت بنفسك.
