وصلك عرض ChatGPT Pro مجانًا لمدة 3 أشهر مقابل التسجيل في فعالية؟ لا تعتبر اسم OpenAI أو شكل صفحة الدخول دليلًا كافيًا. وثّق باحثون دعوات مزيفة تستدرج المستخدم إلى تسجيل الدخول بحساب Google أو Microsoft، بهدف سرقة الوصول إليه بدل تفعيل الاشتراك.
سنوضح كيف تفحص الدعوة، ولماذا لا تكفي المصادقة الثنائية وحدها في بعض الحالات، وماذا تفعل إذا ضغطت الرابط أو وافقت على تسجيل الدخول. آخر مراجعة للمعلومات: 7 نوفمبر 2026.
ما حقيقة عرض ChatGPT Pro المجاني في الدعوات المزيفة؟
نشرت Push Security تقريرها الأصلي يوم 5 نوفمبر 2026 عن صفحات رصدتها أواخر أكتوبر. إحدى الصفحات انتحلت OpenAI Academy وروّجت لفعالية تسويق مع وعد بثلاثة أشهر من ChatGPT Pro. واستخدمت صفحات أخرى أسماء SpaceX وAnthropic.
التقرير يصف حملة تصيّد تستهدف حسابات العمل؛ ولا يثبت اختراق أنظمة OpenAI أو Google أو Microsoft. كذلك تاريخ نشر التقرير مختلف عن بداية الرصد؛ فلا يصح تقديم الحملة باعتبارها بدأت اليوم.
هل كل اشتراك مجاني أو دعوة من OpenAI احتيال؟
لا. توضح صفحة OpenAI الرسمية للعروض والدعوات أن عروضًا وتجارب مجانية قد تُتاح لمستخدمين مؤهلين، بشروط تختلف حسب الحملة والمنطقة ونوع الحساب. لذلك لا نحكم من عبارة «3 أشهر» وحدها.
قبل قبول أي عرض، تحقق من الخطة المشمولة، والمدة، وأهلية حسابك، وشروط التجديد. بعض العروض قد تتطلب وسيلة دفع، وبعضها قد يتحول إلى اشتراك مدفوع عند انتهاء المدة. لكن وجود عروض حقيقية لا يمنح الدعوة المجهولة مصداقية تلقائية.
ابدأ بفتح التطبيق أو الموقع الرسمي بنفسك. وإذا كانت الدعوة لفعالية، ابحث عن صفحتها انطلاقًا من موقع الجهة المنظمة، أو استفسر عبر دعمها الرسمي. عدم ظهور عرض داخل حسابك لا يثبت الاحتيال وحده؛ فقد تصل بعض الحملات الرسمية بالبريد أيضًا.
كيف تُسرق الحسابات رغم ظهور صفحة تسجيل دخول مقنعة؟
1. الموافقة على رمز جهاز لم تبدأ أنت ربطه
في مسار Microsoft الذي وثّقه التقرير، عُرض رمز على الضحية وطُلب إدخاله في صفحة Microsoft الرسمية. المشكلة كانت في الطلب الذي يوافق عليه المستخدم، لا في ضرورة كون الصفحة النهائية مزيفة؛ إذ يحصل المهاجم على رموز دخول بعد الموافقة.
تشرح Microsoft آلية Device Code Flow بوصفها وسيلة مشروعة لتسجيل الدخول إلى أجهزة يصعب الإدخال عليها، لكنها قابلة للاستغلال في التصيّد. القاعدة العملية: لا تُدخل رمزًا لتسجيل جهاز أو تطبيق إلا إذا بدأت العملية بنفسك وعرفت ما الذي تمنحه الوصول.
2. اعتراض جلسة الدخول بدل الاكتفاء بسرقة كلمة المرور
أما مسار Google في التقرير فاستخدم وسيط تصيّد يمرر عملية الدخول ويلتقط بياناتها وملف تعريف ارتباط الجلسة. لهذا قد لا تكفي كتابة رمز التحقق لحمايتك إذا كنت تنفذ العملية عبر وسيط المهاجم.
هذا لا يعني تعطيل المصادقة الثنائية؛ فهي مهمة. وتوصي إرشادات Microsoft لحماية الهوية بوسائل مقاومة للتصيّد، مثل مفاتيح المرور ومفاتيح الأمان FIDO2، ضمن منظومة الحماية. ولا تغني هذه الوسائل عن رفض الموافقة على ربط جهاز أو تطبيق لم تبدأه بنفسك.
كيف تفحص العرض قبل تسجيل الدخول؟
- راجع المصدر مستقلًا: لا تعتمد على الشعار أو اسم المرسل الظاهر. افتح موقع الجهة بنفسك وتحقق من الفعالية أو تواصل مع الدعم.
- اقرأ الطلب كاملًا: ما اسم التطبيق أو الجهاز؟ وما الوصول المطلوب؟ توقف إذا لم تفهم سبب طلبه.
- لا تخلط بين تسجيل فعالية وربط حساب: الوعد بهدية لا يفسر تلقائيًا طلب الموافقة على جهاز أو تطبيق لا تعرفه.
- افحص الوجهة: الرابط المختصر يخفي العنوان النهائي، ووجود HTTPS لا يثبت أن صاحب الموقع هو الشركة التي يدّعي تمثيلها.
- لا تعالج «خطأ التفعيل» بالتجربة العشوائية: إذا طُلب منك تكرار الدخول بحسابات متعددة، توقف وابحث عن تفسير رسمي.
هذه علامات للفحص، وليست اختبارًا يضمن اكتشاف كل رسالة مزيفة. الأهم هو التحقق من الجهة ومن العملية التي توشك على اعتمادها.
ضغطت الرابط بالفعل: ماذا أفعل الآن؟
| ما الذي فعلته؟ | الإجراء المناسب |
|---|---|
| فتحت الصفحة فقط | أغلقها ولا تكمل. فتح الرابط وحده لا يكفي للجزم بأن حسابك سُرق. |
| أدخلت كلمة المرور أو وافقت على رمز جهاز | ابدأ تأمين الحساب فورًا من الموقع الرسمي، وأبلغ مسؤول العمل إن كان حسابًا مؤسسيًا. |
| منحت تطبيقًا صلاحيات | راجع الاتصالات والصلاحيات وألغِ الوصول المشبوه، ضمن إجراءات تأمين الحساب. |
| نزّلت ملفًا وشغّلته | افحص الجهاز ببرنامج حماية موثوق؛ وتأمين الحساب من جهاز موثوق مهم أيضًا. |
تأمين حساب Google بعد دعوة مشبوهة
اتبع دليل Google لتأمين الحساب المخترق، وابدأ من جهاز موثوق:
- افتح إعدادات أمان حساب Google، وغيّر كلمة المرور إذا أدخلتها في موقع مشبوه.
- راجع أحداث الأمان الأخيرة والأجهزة، وتعامل مع النشاط غير المعروف وفق التعليمات الظاهرة.
- افحص بريد ورقم الاسترداد، ثم اتصالات التطبيقات والخدمات، وأزل الوصول الذي لا تعرفه.
- راجع إعدادات Gmail بحثًا عن تحويل تلقائي أو فلاتر لم تنشئها.
- إذا فقدت الدخول، استخدم استرداد حساب Google الرسمي.
إذا كنت تستخدم كلمة المرور نفسها في خدمات أخرى، غيّرها هناك أيضًا. ولا ترسل كلمة المرور أو رموز الاسترداد إلى شخص يدّعي أنه سيعيد الحساب نيابة عنك.
تأمين حساب Microsoft: الشخصي يختلف عن حساب العمل
لحساب العمل أو الدراسة: أبلغ مسؤول تقنية المعلومات فورًا. توصي إرشادات Microsoft للاستجابة للاختراق باحتواء الحساب، وإبطال الجلسات، ومراجعة وسائل المصادقة والتطبيقات المصرّح لها وقواعد تحويل البريد. تغيير كلمة المرور وحده ليس بديلًا عن هذه المراجعة.
يمكنك مراجعة نشاطك عبر My Account ثم Recent Activity، كما يوضح دليل Microsoft الرسمي. افحص الوقت والتطبيق والجهاز؛ فالموقع الجغرافي التقريبي وحده قد يكون مضللًا.
للحساب الشخصي: اتبع دليل استرداد حساب Microsoft وتأمينه: افحص الجهاز من البرمجيات الخبيثة، وغيّر كلمة المرور المسرّبة أو أعد تعيينها، ثم راجع الحسابات المتصلة وتحويل البريد والردود التلقائية. وراجع أيضًا خيار تسجيل الخروج من كل مكان. تقول Microsoft إن تنفيذه قد يستغرق حتى 24 ساعة، ويستثني أجهزة Xbox؛ فلا تفترض أنه ينهي جميع الجلسات فورًا.
هل تحديث المتصفح يكفي؟
تحديث المتصفح مهم لسد الثغرات، لكنه لا يحوّل الموافقة على طلب مجهول إلى إجراء آمن. يمكنك مراجعة شرح تحديث Google Chrome الأمني، مع الاستمرار في فحص الروابط وطلبات الدخول. وللاحتيال الذي يصلك عبر رسائل الهاتف، اقرأ أيضًا شرح حماية Google Messages من الاحتيال.
قبل قبول العرض التالي: تحقق من الجهة، وافهم الصلاحية المطلوبة، واقرأ شروط التجربة والتجديد. وإذا سجلت الدخول في مسار مشبوه، أمّن الحساب والجلسات والتطبيقات المتصلة؛ لا تكتفِ بحذف الرسالة.
المصادر
- التقرير الأصلي لـPush Security — 5 نوفمبر 2026.
- OpenAI: شروط العروض والتجارب والدعوات الرسمية.
- Microsoft: تدفق رمز الجهاز ومخاطره.
- Google: تأمين الحساب المخترق.
- Microsoft: الاستجابة لاختراق حساب البريد المؤسسي.
- Microsoft: استرداد الحساب الشخصي المخترق وتأمينه.
- Microsoft: تسجيل الخروج من الحساب الشخصي في كل مكان.
