QR-koodi pettused: mida uuringud ütlevad

Lühidalt

• Prindi koodid, mis avavad klientidele tuttava aadressi, eelistatult sinu enda veebisaidi.
• Prindi koodid otse pinnale, mitte kleebistele, ja vaata avalike koodide puhul, ega nende peale pole kleebist pandud.
• Enne skaneeritud koodi avamist loe aadressi, mida kaamera näitab.

QR-koodiga kirjad petsid inimesi sama sageli kui lingid

Andmepüük tähendab võltssõnumeid, mis saadavad inimesi võltsveebisaidile. QR-koodi andmepüük ehk quishing teeb sama, kuid lingi asemel on QR-kood.

2025. aastal testis Marie Weinzi juhitud Liechtensteini Ülikooli meeskond andmepüüki päris organisatsioonides, väikeettevõtetest rahvusvahelise suurettevõtteni. Nad saatsid üle 71 000 testkirja. Osas oli tavaline link, osas QR-kood.

QR-koodiga kirjad viisid inimesi võltslehele umbes sama sageli kui lingiga kirjad. Autorid märgivad, et QR-kirju on e-posti filtritel ka raskem tabada, sest aadress on pildi sees. Artikkel esitati 2025. aasta turvakonverentsil AsiaCCS.

Kaks varasemat uuringut viitavad samas suunas. 2022. aastal lasid Sharevski ja kolleegid 173 inimesel skaneerida võlts-QR-koodi COVID-19 passi jaoks. 67% olid valmis registreeruma oma Google'i või Facebooki kontoga ning põhjusena nimetasid nad kõige sagedamini mugavust. 2024. aastal panid Geisler, Pöhn ja Hommel ühes Saksa teaduslinnakus üles võltsküsitluse plakatid. Professionaalsemat plakatit, mis pakkus ka auhinda, skaneeriti peaaegu kolm korda sagedamini kui lihtsat.

Kui sa prindid QR-koode

Inimesed saavad kontrollida aadressi, mida nad tunnevad. Sinu enda veebisaiti on kõige lihtsam ära tunda.

• Näita võimalusel oma aadressi. Staatiline kood avab sinu veebiaadressi otse. QR Lasts Pro abil saavad ka dünaamilised koodid kasutada sinu enda domeeni.
• Prindi otse pinnale. Sildile prinditud koodi on raskem katta kui kleebist.
• Kontrolli koode avalikes kohtades. Vaata laudadel, plakatitel ja ustel aeg-ajalt, kas sinu koodi peal on kleebis.
• Ütle, kuhu kood viib. Rida koodi all, näiteks „Avab yourshop.com/menu“, laseb inimestel enne avamist kontrollida.

Kuidas koodi enne avamist kontrollida

1. Loe kõigepealt aadressi. Enamik kaamerarakendusi näitab seda enne avamist.
2. Leia saidi nimi. Loe aadressi kuni esimese üksiku kaldkriipsuni / ja vaata selle kahte viimast osa. Aadressis parking-city.example.com.pay-now.ru/pay on sait pay-now.ru. Kui aadress lõpeb näiteks .co.uk-ga, vaata kolme viimast osa.
3. Ole ettevaatlik koodidega, mis paluvad sisse logida või maksta. Parkimis-, panga- ja kullerteenused lasevad tavaliselt maksta oma rakenduses või veebisaidil, mille saad ise avada.
4. Katsu kleebiseid parkimisautomaatidel ja plakatitel, enne kui skaneerid.
5. Ära skaneeri koode e-kirjadest, mida sa ei oodanud. Mine selle asemel otse teenuse lehele.

Kuidas QR Lasts aitab

Staatilised koodid avavad sinu enda aadressi ilma vahendajata. Iga siin loodud kood, tasuta või tasuline, suunab edasi. Ainus põhjus, miks koodi peatame, on kuritarvitamine, näiteks sihtkoht, mille Google Web Risk märgistab andmepüügi või pahavarana.

Allikad

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Kui oleme mõnda uuringut valesti lugenud, anna meile teada ja me parandame selle.