QR kodų sukčiavimas: ką rodo tyrimai

Trumpai

• Spausdinkite kodus, kurie atidaro klientams atpažįstamą adresą, geriausia jūsų pačių svetainę.
• Spausdinkite kodus ant paviršiaus, o ne ant lipdukų, ir tikrinkite, ar ant viešų kodų nėra užklijuotų lipdukų.
• Prieš atidarydami nuskaitytą kodą, perskaitykite adresą, kurį rodo kamera.

Laiškai su QR kodu apgavo žmones taip pat dažnai kaip nuorodos

Sukčiavimas (phishing) reiškia netikras žinutes, kurios nukreipia žmones į netikrą svetainę. QR kodų sukčiavimas, arba quishing, daro tą patį, tik vietoj nuorodos naudoja QR kodą.

2025 m. Lichtenšteino universiteto komanda, vadovaujama Marie Weinz, tyrė sukčiavimą tikrose organizacijose, nuo mažų įmonių iki tarptautinės bendrovės. Jie išsiuntė daugiau nei 71 000 bandomųjų el. laiškų. Vienuose buvo įprasta nuoroda, kituose QR kodas.

Laiškai su QR kodu nuvedė žmones į netikrą puslapį maždaug taip pat dažnai kaip laiškai su nuoroda. Autoriai pažymi, kad QR laiškus el. pašto filtrams taip pat sunkiau sugauti, nes adresas yra paveikslėlyje. Straipsnis pristatytas saugumo konferencijoje AsiaCCS 2025.

Du ankstesni tyrimai rodo ta pačia kryptimi. 2022 m. Sharevski ir kolegos paprašė 173 žmonių nuskaityti netikrą QR kodą COVID-19 pasui. 67 % buvo pasirengę užsiregistruoti su savo Google ar Facebook paskyra, o dažniausiai kaip priežastį jie nurodė patogumą. 2024 m. Geisler, Pöhn ir Hommel Vokietijos mokslinių tyrimų miestelyje iškabino netikrų apklausų plakatus. Profesionalesnis plakatas, kuris dar siūlė prizą, buvo nuskaitytas beveik tris kartus dažniau nei paprastas.

Jei spausdinate QR kodus

Žmonės gali patikrinti adresą, kurį atpažįsta. Jūsų pačių svetainę atpažinti lengviausia.

• Kur galite, rodykite savo adresą. Statinis kodas tiesiogiai atidaro jūsų interneto adresą. Su QR Lasts Pro ir dinaminiai kodai gali naudoti jūsų pačių domeną.
• Spausdinkite ant paviršiaus. Ant iškabos atspausdintą kodą sunkiau uždengti nei lipduką.
• Tikrinkite kodus viešose vietose. Ant stalų, plakatų ir durų retkarčiais patikrinkite, ar ant jūsų kodo nėra lipduko.
• Nurodykite, kur kodas veda. Eilutė po kodu, pavyzdžiui, „Atidaro yourshop.com/menu“, leidžia žmonėms patikrinti prieš atidarant.

Kaip patikrinti kodą prieš jį atidarant

1. Pirmiausia perskaitykite adresą. Dauguma kameros programėlių jį parodo prieš atidarydamos.
2. Raskite svetainės pavadinimą. Skaitykite adresą iki pirmojo pavienio /, tada pažiūrėkite į paskutines dvi dalis. Adrese parking-city.example.com.pay-now.ru/pay svetainė yra pay-now.ru. Adresuose, kurie baigiasi .co.uk ir panašiai, žiūrėkite į paskutines tris dalis.
3. Būkite atsargūs su kodais, kurie prašo prisijungti ar mokėti. Stovėjimo, banko ir pristatymo paslaugos paprastai leidžia mokėti jų programėlėje ar svetainėje, kurią galite atidaryti patys.
4. Apčiuopkite, ar nėra lipdukų ant stovėjimo automatų ir plakatų, prieš nuskaitydami.
5. Nenuskaitykite kodų iš laiškų, kurių nelaukėte. Vietoj to eikite tiesiai į paslaugos svetainę.

Kaip padeda QR Lasts

Statiniai kodai atidaro jūsų pačių adresą, be jokio tarpininko. Kiekvienas čia sukurtas kodas, nemokamas ar mokamas, toliau nukreipia. Kodą sustabdome tik dėl piktnaudžiavimo, pavyzdžiui, kai Google Web Risk paskirties adresą pažymi kaip sukčiavimą ar kenkėjiškas programas.

Šaltiniai

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Jei kurį nors tyrimą supratome klaidingai, praneškite mums ir mes tai ištaisysime.