Penipuan kod QR: apa kata kajian

Ringkasnya

• Cetak kod yang membuka alamat yang dikenali pelanggan anda, sebaik-baiknya laman web anda sendiri.
• Cetak kod terus pada permukaan, bukan pada pelekat, dan semak kod di tempat awam jika ada pelekat di atasnya.
• Sebelum membuka kod yang diimbas, baca alamat yang dipaparkan oleh kamera anda.

E-mel kod QR memperdaya orang sekerap pautan

Pancingan data (phishing) bermaksud mesej palsu yang menghantar orang ke laman web palsu. Pancingan data kod QR, atau quishing, melakukan perkara yang sama dengan kod QR dan bukannya pautan.

Pada 2025, satu pasukan University of Liechtenstein yang diketuai Marie Weinz menguji pancingan data dalam organisasi sebenar, daripada perniagaan kecil hingga syarikat multinasional. Mereka menghantar lebih daripada 71,000 e-mel ujian. Sebahagiannya mengandungi pautan biasa, sebahagian lagi kod QR.

E-mel kod QR membawa orang ke halaman palsu lebih kurang sekerap e-mel pautan. Penulis kajian menyatakan bahawa e-mel QR juga lebih sukar dikesan oleh penapis e-mel, kerana alamatnya berada di dalam gambar. Kertas kajian ini dibentangkan di persidangan keselamatan AsiaCCS 2025.

Dua kajian terdahulu menunjukkan arah yang sama. Pada 2022, Sharevski dan rakan-rakan meminta 173 orang mengimbas kod QR palsu untuk pas COVID-19. 67% sanggup mendaftar dengan akaun Google atau Facebook mereka, dan kemudahan ialah sebab yang paling kerap mereka berikan. Pada 2024, Geisler, Pöhn dan Hommel memasang poster tinjauan palsu di sebuah kampus penyelidikan di Jerman. Poster yang lebih profesional dan turut menawarkan hadiah diimbas hampir tiga kali lebih kerap daripada poster biasa.

Jika anda mencetak kod QR

Orang boleh menyemak alamat yang mereka kenali. Laman web anda sendiri ialah alamat yang paling mudah dikenali.

• Paparkan alamat anda sendiri jika boleh. Kod statik membuka alamat web anda secara terus. Dengan QR Lasts Pro, kod dinamik juga boleh menggunakan domain anda sendiri.
• Cetak terus pada permukaan. Kod yang dicetak pada papan tanda lebih sukar ditutup berbanding pelekat.
• Semak kod di tempat awam. Pada meja, poster dan pintu, sesekali lihat jika ada pelekat di atas kod anda.
• Nyatakan ke mana kod itu pergi. Satu baris di bawah kod seperti "Membuka kedaianda.com/menu" membolehkan orang menyemak sebelum membukanya.

Cara menyemak kod sebelum membukanya

1. Baca alamat dahulu. Kebanyakan aplikasi kamera memaparkannya sebelum membukanya.
2. Cari nama laman. Baca alamat sehingga tanda / tunggal yang pertama, kemudian lihat dua bahagian terakhir. Dalam parking-city.example.com.pay-now.ru/pay, lamannya ialah pay-now.ru. Untuk alamat yang berakhir dengan .co.uk dan seumpamanya, lihat tiga bahagian terakhir.
3. Berhati-hati dengan kod yang meminta anda log masuk atau membayar. Perkhidmatan letak kereta, bank dan penghantaran biasanya membenarkan anda membayar dalam aplikasi atau laman web mereka sendiri. Anda boleh membukanya sendiri.
4. Raba untuk mengesan pelekat pada meter letak kereta dan poster sebelum mengimbas.
5. Jangan imbas kod dalam e-mel yang tidak anda jangka. Pergi terus ke perkhidmatan itu.

Bagaimana QR Lasts membantu

Kod statik membuka alamat anda sendiri, tanpa apa-apa di tengah. Setiap kod yang dicipta di sini, percuma atau berbayar, terus mengubah hala. Satu-satunya sebab kami menghentikan kod ialah penyalahgunaan, seperti destinasi yang ditandakan oleh Google Web Risk sebagai pancingan data atau perisian hasad.

Sumber

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Jika kami tersalah membaca sesuatu kajian, beritahu kami dan kami akan membetulkannya.