Измами с QR кодове: какво казват проучванията

Накратко

• Отпечатвайте кодове, които отварят адрес, познат на клиентите ви, най-добре собствения ви уебсайт.
• Отпечатвайте кодовете върху повърхността, не на стикери, и проверявайте дали върху публичните кодове няма залепени стикери.
• Преди да отворите сканиран код, прочетете адреса, който показва камерата.

Имейлите с QR код подлъгваха хората толкова често, колкото линковете

Фишинг означава фалшиви съобщения, които пращат хората към фалшив уебсайт. QR фишингът, или quishing, прави същото с QR код вместо линк.

През 2025 г. екип на Университета на Лихтенщайн с ръководител Marie Weinz изпита фишинг в реални организации, от малки фирми до мултинационална компания. Те изпратиха над 71 000 тестови имейла. Някои съдържаха обикновен линк, други QR код.

Имейлите с QR код отвеждаха хората до фалшивата страница приблизително толкова често, колкото имейлите с линк. Авторите отбелязват, че QR имейлите са и по-трудни за улавяне от имейл филтрите, защото адресът е в картинка. Статията е представена на конференцията по сигурност AsiaCCS 2025.

Две по-ранни проучвания сочат в същата посока. През 2022 г. Sharevski и колеги помолиха 173 души да сканират фалшив QR код за COVID-19 сертификат. 67% бяха готови да се регистрират със своя профил в Google или Facebook, а най-често посочваната причина беше удобството. През 2024 г. Geisler, Pöhn и Hommel поставиха фалшиви плакати за анкета в немски научен кампус. По-професионален плакат, който предлагаше и награда, беше сканиран почти три пъти по-често от обикновения.

Ако отпечатвате QR кодове

Хората могат да проверят адрес, който познават. Собственият ви уебсайт се разпознава най-лесно.

• Показвайте собствения си адрес, където можете. Статичният код отваря уеб адреса ви директно. С QR Lasts Pro и динамичните кодове могат да използват собствения ви домейн.
• Отпечатвайте върху повърхността. Код, отпечатан върху табела, се покрива по-трудно от стикер.
• Проверявайте кодовете на обществени места. На масите, плакатите и вратите поглеждайте от време на време дали няма стикер върху кода ви.
• Напишете накъде води кодът. Ред под кода, например „Отваря yourshop.com/menu“, позволява на хората да проверят, преди да го отворят.

Как да проверите код, преди да го отворите

1. Първо прочетете адреса. Повечето приложения за камера го показват, преди да го отворят.
2. Намерете името на сайта. Прочетете адреса до първата единична /, след това вижте последните две части. В parking-city.example.com.pay-now.ru/pay сайтът е pay-now.ru. При адреси, завършващи на .co.uk и подобни, вижте последните три части.
3. Внимавайте с кодове, които искат да влезете в профил или да платите. Услугите за паркиране, банките и куриерите обикновено ви позволяват да платите в собственото им приложение или уебсайт, който можете да отворите сами.
4. Опипайте за стикери паркинг автоматите и плакатите, преди да сканирате.
5. Не сканирайте кодове в имейли, които не сте очаквали. Вместо това отидете директно на сайта на услугата.

Как помага QR Lasts

Статичните кодове отварят собствения ви адрес, без нищо по средата. Всеки код, създаден тук, безплатен или платен, продължава да пренасочва. Единствената причина да спрем код е злоупотреба, например адрес, който Google Web Risk отбелязва като фишинг или зловреден софтуер.

Източници

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Ако сме разбрали погрешно някое проучване, кажете ни и ще го поправим.