Απάτες με κωδικούς QR: τι λέει η έρευνα

Με λίγα λόγια

• Τυπώνετε κωδικούς που ανοίγουν μια διεύθυνση που αναγνωρίζουν οι πελάτες σας, ιδανικά τον δικό σας ιστότοπο.
• Τυπώνετε τους κωδικούς πάνω στην επιφάνεια, όχι σε αυτοκόλλητα, και ελέγχετε τους δημόσιους μήπως έχουν αυτοκόλλητο από πάνω.
• Πριν ανοίξετε έναν κωδικό που σαρώσατε, διαβάστε τη διεύθυνση που δείχνει η κάμερά σας.

Τα email με κωδικό QR ξεγέλασαν τον κόσμο όσο συχνά και οι σύνδεσμοι

Phishing σημαίνει ψεύτικα μηνύματα που στέλνουν τον κόσμο σε ψεύτικο ιστότοπο. Το phishing με κωδικό QR, ή quishing, κάνει το ίδιο με έναν κωδικό QR αντί για σύνδεσμο.

Το 2025, μια ομάδα του Πανεπιστημίου του Λιχτενστάιν με επικεφαλής τη Marie Weinz δοκίμασε το phishing σε πραγματικούς οργανισμούς, από μικρές επιχειρήσεις έως μια πολυεθνική. Έστειλαν περισσότερα από 71.000 δοκιμαστικά email. Κάποια είχαν κανονικό σύνδεσμο, κάποια έναν κωδικό QR.

Τα email με κωδικό QR έφεραν τον κόσμο στην ψεύτικη σελίδα περίπου τόσο συχνά όσο τα email με σύνδεσμο. Οι συγγραφείς σημειώνουν ότι τα email με QR εντοπίζονται επίσης πιο δύσκολα από τα φίλτρα email, επειδή η διεύθυνση βρίσκεται μέσα σε μια εικόνα. Η εργασία παρουσιάστηκε στο συνέδριο ασφάλειας AsiaCCS 2025.

Δύο παλαιότερες μελέτες δείχνουν προς την ίδια κατεύθυνση. Το 2022, ο Sharevski και οι συνεργάτες του ζήτησαν από 173 άτομα να σαρώσουν έναν ψεύτικο κωδικό QR για πιστοποιητικό COVID-19. Το 67% ήταν πρόθυμο να εγγραφεί με τον λογαριασμό του στο Google ή στο Facebook, και η ευκολία ήταν ο λόγος που ανέφεραν πιο συχνά. Το 2024, οι Geisler, Pöhn και Hommel τοποθέτησαν ψεύτικες αφίσες για ένα ερωτηματολόγιο σε μια ερευνητική πανεπιστημιούπολη στη Γερμανία. Μια πιο επαγγελματική αφίσα που πρόσφερε και ένα έπαθλο σαρώθηκε σχεδόν τρεις φορές πιο συχνά από μια απλή.

Αν τυπώνετε κωδικούς QR

Ο κόσμος μπορεί να ελέγξει μια διεύθυνση που αναγνωρίζει. Ο δικός σας ιστότοπος αναγνωρίζεται πιο εύκολα από κάθε άλλη διεύθυνση.

• Δείχνετε τη δική σας διεύθυνση όπου μπορείτε. Ένας στατικός κωδικός ανοίγει απευθείας τη διεύθυνση web σας. Με το QR Lasts Pro, και οι δυναμικοί κωδικοί μπορούν να χρησιμοποιούν το δικό σας domain.
• Τυπώνετε πάνω στην επιφάνεια. Ένας κωδικός τυπωμένος σε μια πινακίδα καλύπτεται πιο δύσκολα από ένα αυτοκόλλητο.
• Ελέγχετε τους κωδικούς σε δημόσιους χώρους. Σε τραπέζια, αφίσες και πόρτες, κοιτάζετε κάθε τόσο μήπως υπάρχει αυτοκόλλητο πάνω στον κωδικό σας.
• Γράφετε πού οδηγεί ο κωδικός. Μια γραμμή κάτω από τον κωδικό, όπως «Ανοίγει το yourshop.com/menu», επιτρέπει στον κόσμο να ελέγξει πριν τον ανοίξει.

Πώς να ελέγξετε έναν κωδικό πριν τον ανοίξετε

1. Διαβάστε πρώτα τη διεύθυνση. Οι περισσότερες εφαρμογές κάμερας τη δείχνουν πριν την ανοίξουν.
2. Βρείτε το όνομα του ιστότοπου. Διαβάστε τη διεύθυνση μέχρι την πρώτη μονή /, και μετά κοιτάξτε τα δύο τελευταία μέρη. Στο parking-city.example.com.pay-now.ru/pay, ο ιστότοπος είναι το pay-now.ru. Για διευθύνσεις που τελειώνουν σε .co.uk και παρόμοια, κοιτάξτε τα τρία τελευταία μέρη.
3. Προσέχετε τους κωδικούς που ζητούν σύνδεση ή πληρωμή. Οι υπηρεσίες στάθμευσης, οι τράπεζες και οι εταιρείες ταχυμεταφορών συνήθως σας αφήνουν να πληρώσετε στη δική τους εφαρμογή ή ιστότοπο. Αυτά μπορείτε να τα ανοίξετε μόνοι σας.
4. Ψηλαφίστε για αυτοκόλλητα σε παρκόμετρα και αφίσες πριν σαρώσετε.
5. Μη σαρώνετε κωδικούς σε email που δεν περιμένατε. Πηγαίνετε απευθείας στην υπηρεσία.

Πώς βοηθά το QR Lasts

Οι στατικοί κωδικοί ανοίγουν τη δική σας διεύθυνση, χωρίς τίποτα στη μέση. Κάθε κωδικός που φτιάχνεται εδώ, δωρεάν ή επί πληρωμή, συνεχίζει να ανακατευθύνει. Ο μόνος λόγος να σταματήσουμε έναν κωδικό είναι η κατάχρηση, όπως ένας προορισμός που το Google Web Risk επισημαίνει ως phishing ή κακόβουλο λογισμικό.

Πηγές

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Αν έχουμε παρερμηνεύσει μια μελέτη, πείτε μας και θα το διορθώσουμε.