QR-koodihuijaukset: mitä tutkimus kertoo

Lyhyesti

• Paina koodeja, jotka avaavat asiakkaillesi tutun osoitteen, mieluiten oman verkkosivustosi.
• Paina koodit suoraan pintaan, ei tarroille, ja tarkista julkisista koodeista, ettei päällä ole tarraa.
• Lue kameran näyttämä osoite ennen kuin avaat skannatun koodin.

QR-koodiviestit huijasivat yhtä usein kuin linkit

Tietojenkalastelu tarkoittaa väärennettyjä viestejä, jotka ohjaavat ihmiset väärennetylle sivustolle. QR-koodikalastelu eli quishing tekee saman QR-koodilla linkin sijaan.

Vuonna 2025 Liechtensteinin yliopiston ryhmä Marie Weinzin johdolla testasi tietojenkalastelua oikeissa organisaatioissa pienyrityksistä monikansalliseen yhtiöön. He lähettivät yli 71 000 testisähköpostia. Osassa oli tavallinen linkki, osassa QR-koodi.

QR-koodiviestit veivät ihmisiä väärennetylle sivulle suunnilleen yhtä usein kuin linkkiviestit. Tutkijat huomauttavat, että sähköpostisuodattimien on myös vaikeampi tunnistaa QR-viestejä, koska osoite on kuvan sisällä. Tutkimus esiteltiin AsiaCCS 2025 -tietoturvakonferenssissa.

Kaksi aiempaa tutkimusta viittaa samaan suuntaan. Vuonna 2022 Sharevski kollegoineen pyysi 173 ihmistä skannaamaan väärennetyn QR-koodin COVID-19-passia varten. 67 % oli valmis rekisteröitymään Google- tai Facebook-tilillään, ja yleisin syy oli vaivattomuus. Vuonna 2024 Geisler, Pöhn ja Hommel kiinnittivät väärennettyjä kyselyjulisteita saksalaiselle tutkimuskampukselle. Ammattimaisempaa julistetta, joka lupasi myös palkinnon, skannattiin lähes kolme kertaa niin usein kuin pelkistettyä.

Jos painat QR-koodeja

Ihmiset voivat tarkistaa osoitteen, jonka he tunnistavat. Oma verkkosivustosi on helpoin tunnistaa.

• Näytä oma osoitteesi, kun voit. Staattinen koodi avaa verkko-osoitteesi suoraan. QR Lasts Prolla myös dynaamiset koodit voivat käyttää omaa verkkotunnustasi.
• Paina suoraan pintaan. Kylttiin painettua koodia on vaikeampi peittää kuin tarraa.
• Tarkista julkisilla paikoilla olevat koodit. Katso pöydistä, julisteista ja ovista silloin tällöin, ettei koodisi päällä ole tarraa.
• Kerro, minne koodi vie. Koodin alla oleva rivi, kuten ”Avaa kauppasi.com/menu”, auttaa ihmisiä tarkistamaan ennen avaamista.

Näin tarkistat koodin ennen avaamista

1. Lue osoite ensin. Useimmat kamerasovellukset näyttävät sen ennen avaamista.
2. Etsi sivuston nimi. Lue osoite ensimmäiseen yksittäiseen /-merkkiin asti ja katso sitten kahta viimeistä osaa. Osoitteessa parking-city.example.com.pay-now.ru/pay sivusto on pay-now.ru. Kun osoite päättyy .co.uk-päätteeseen tai vastaavaan, katso kolmea viimeistä osaa.
3. Ole varovainen koodien kanssa, jotka pyytävät kirjautumaan tai maksamaan. Pysäköinti-, pankki- ja toimituspalveluissa voi yleensä maksaa niiden omassa sovelluksessa tai sivustolla, jonka voit avata itse.
4. Tunnustele tarroja pysäköintiautomaateista ja julisteista ennen skannaamista.
5. Älä skannaa koodeja odottamattomista sähköposteista. Mene sen sijaan suoraan palveluun.

Näin QR Lasts auttaa

Staattiset koodit avaavat oman osoitteesi ilman mitään välissä. Jokainen täällä tehty koodi, ilmainen tai maksullinen, ohjaa edelleen. Ainoa syy, miksi pysäytämme koodin, on väärinkäyttö, kuten kohde, jonka Google Web Risk merkitsee tietojenkalasteluksi tai haittaohjelmaksi.

Lähteet

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Jos olemme ymmärtäneet tutkimuksen väärin, kerro meille, niin korjaamme sen.