QR-kódos csalások: mit mond a kutatás?

Röviden

• Olyan kódokat nyomtass, amelyek egy vásárlóid által ismert címet nyitnak meg, ideális esetben a saját weboldaladat.
• A kódokat közvetlenül a felületre nyomtasd, ne matricára, és a nyilvános kódokon nézd meg, nincs-e rajtuk ráragasztott matrica.
• Mielőtt megnyitsz egy beszkennelt kódot, olvasd el a címet, amelyet a kamera mutat.

A QR-kódos e-mailek ugyanolyan gyakran csaptak be, mint a linkek

Az adathalászat (phishing) hamis üzeneteket jelent, amelyek hamis weboldalra küldik az embereket. A QR-kódos adathalászat, más néven quishing, ugyanezt teszi, csak link helyett QR-kóddal.

2025-ben a Liechtensteini Egyetem Marie Weinz vezette csapata valódi szervezeteknél tesztelte az adathalászatot, kisvállalkozásoktól egy multinacionális cégig. Több mint 71 000 teszt e-mailt küldtek ki. Némelyikben hagyományos link, másokban QR-kód volt.

A QR-kódos e-mailek nagyjából ugyanolyan gyakran juttatták el az embereket a hamis oldalra, mint a linkes e-mailek. A szerzők megjegyzik, hogy a QR-kódos e-maileket az e-mail-szűrők is nehezebben szúrják ki, mert a cím egy képben van. A tanulmányt az AsiaCCS 2025 biztonsági konferencián mutatták be.

Két korábbi kutatás ugyanebbe az irányba mutat. 2022-ben Sharevski és munkatársai 173 emberrel szkenneltettek be egy hamis QR-kódot egy COVID-19-igazoláshoz. 67%-uk hajlandó volt bejelentkezni a Google- vagy Facebook-fiókjával, és leggyakrabban a kényelmet említették okként. 2024-ben Geisler, Pöhn és Hommel hamis kérdőíves plakátokat helyezett ki egy németországi kutatási campuson. Egy profibb, nyereményt is kínáló plakátot majdnem háromszor olyan gyakran szkenneltek be, mint egy egyszerűt.

Ha QR-kódokat nyomtatsz

Az emberek egy általuk ismert címet tudnak ellenőrizni. A saját weboldaladat a legkönnyebb felismerni.

• Ahol lehet, mutasd a saját címedet. A statikus kód közvetlenül a webcímedet nyitja meg. A QR Lasts Pro csomaggal a dinamikus kódok is használhatják a saját domainedet.
• Nyomtass közvetlenül a felületre. Egy táblára nyomtatott kódot nehezebb letakarni, mint egy matricát.
• Ellenőrizd a nyilvános helyeken lévő kódokat. Asztalokon, plakátokon és ajtókon nézd meg időnként, nincs-e matrica a kódodon.
• Írd ki, hová visz a kód. Egy sor a kód alatt, például „Megnyitja: yourshop.com/menu”, lehetővé teszi, hogy megnyitás előtt ellenőrizzék.

Hogyan ellenőrizz egy kódot megnyitás előtt?

1. Először olvasd el a címet. A legtöbb kameraalkalmazás megnyitás előtt megmutatja.
2. Keresd meg a webhely nevét. Olvasd a címet az első szimpla /-ig, majd nézd meg az utolsó két részt. A parking-city.example.com.pay-now.ru/pay címben a webhely a pay-now.ru. A .co.uk és hasonló végződésű címeknél az utolsó három részt nézd.
3. Légy óvatos a bejelentkezést vagy fizetést kérő kódokkal. A parkolási, banki és csomagküldő szolgáltatásoknál általában a saját alkalmazásukban vagy weboldalukon is fizethetsz, amelyet magad nyitsz meg.
4. Tapintsd meg, nincs-e matrica a parkolóórákon és plakátokon, mielőtt szkennelsz.
5. Ne szkennelj kódot olyan e-mailből, amelyre nem számítottál. Inkább közvetlenül nyisd meg a szolgáltatást.

Hogyan segít a QR Lasts?

A statikus kódok a saját címedet nyitják meg, semmi sincs közte. Minden itt készült kód, ingyenes vagy fizetős, tovább irányít. Egy kódot csak visszaélés miatt állítunk le, például ha a célt a Google Web Risk adathalászként vagy kártevőként jelöli meg.

Források

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Ha félreértettünk egy kutatást, szólj, és kijavítjuk.