Prijevare s QR kodovima: što kaže istraživanje

Ukratko

• Tiskajte kodove koji otvaraju adresu koju vaši kupci prepoznaju, najbolje vašu vlastitu web-stranicu.
• Kodove tiskajte na samu površinu, a ne na naljepnice, i na javnim kodovima provjeravajte je li preko njih zalijepljena naljepnica.
• Prije nego što otvorite skenirani kod, pročitajte adresu koju kamera prikazuje.

E-poruke s QR kodom prevarile su ljude jednako često kao linkovi

Phishing su lažne poruke koje ljude šalju na lažnu web-stranicu. QR phishing ili quishing radi isto, ali s QR kodom umjesto linka.

Godine 2025. tim sa Sveučilišta u Lihtenštajnu, koji je vodila Marie Weinz, testirao je phishing u stvarnim organizacijama, od malih tvrtki do multinacionalne kompanije. Poslali su više od 71 000 testnih e-poruka. Neke su sadržavale običan link, a neke QR kod.

E-poruke s QR kodom dovodile su ljude na lažnu stranicu otprilike jednako često kao e-poruke s linkom. Autori napominju da filtri e-pošte e-poruke s QR kodom i teže hvataju, jer je adresa unutar slike. Rad je predstavljen na sigurnosnoj konferenciji AsiaCCS 2025.

Dva ranija istraživanja upućuju u istom smjeru. Godine 2022. Sharevski i suradnici zamolili su 173 osobe da skeniraju lažni QR kod za COVID-19 potvrdu. Njih 67 % bilo je spremno prijaviti se svojim Google ili Facebook računom, a kao razlog najčešće su navodili praktičnost. Godine 2024. Geisler, Pöhn i Hommel postavili su lažne plakate za anketu na njemačkom istraživačkom kampusu. Profesionalniji plakat koji je uz to nudio nagradu skeniran je gotovo tri puta češće od jednostavnog.

Ako tiskate QR kodove

Ljudi mogu provjeriti adresu koju prepoznaju. Vašu vlastitu web-stranicu najlakše je prepoznati.

• Gdje možete, pokažite vlastitu adresu. Statički kod izravno otvara vašu web-adresu. S QR Lasts Pro i dinamički kodovi mogu koristiti vašu vlastitu domenu.
• Tiskajte na površinu. Kod otisnut na natpisu teže je prekriti od naljepnice.
• Provjeravajte kodove na javnim mjestima. Na stolovima, plakatima i vratima povremeno pogledajte je li preko vašeg koda zalijepljena naljepnica.
• Napišite kamo kod vodi. Redak ispod koda, primjerice "Otvara yourshop.com/menu", omogućuje ljudima da ga provjere prije otvaranja.

Kako provjeriti kod prije otvaranja

1. Najprije pročitajte adresu. Većina aplikacija kamere prikaže je prije otvaranja.
2. Pronađite naziv web-mjesta. Pročitajte adresu do prve samostalne /, a zatim pogledajte zadnja dva dijela. U parking-city.example.com.pay-now.ru/pay web-mjesto je pay-now.ru. Za adrese koje završavaju na .co.uk i slično pogledajte zadnja tri dijela.
3. Budite oprezni s kodovima koji traže prijavu ili plaćanje. Parkirališne, bankovne i dostavne usluge obično vam omogućuju plaćanje u vlastitoj aplikaciji ili na web-stranici koju možete sami otvoriti.
4. Opipajte ima li naljepnica na parkirnim automatima i plakatima prije skeniranja.
5. Ne skenirajte kodove iz e-poruka koje niste očekivali. Umjesto toga otvorite uslugu izravno.

Kako QR Lasts pomaže

Statički kodovi otvaraju vašu vlastitu adresu, bez ičega između. Svaki ovdje izrađen kod, besplatan ili plaćen, i dalje preusmjerava. Kod zaustavljamo samo zbog zlouporabe, primjerice ako Google Web Risk odredište označi kao phishing ili zlonamjerni softver.

Izvori

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Ako smo krivo protumačili istraživanje, javite nam i ispravit ćemo to.