Prevare s kodami QR: kaj pravi raziskava

Na kratko

• Natisni kode, ki odprejo naslov, ki ga stranke poznajo, najbolje tvojo spletno stran.
• Kode natisni na površino, ne na nalepke, in na javnih kodah preveri, ali je čeznje nalepljena nalepka.
• Preden odpreš skenirano kodo, preberi naslov, ki ga pokaže kamera.

E-sporočila s kodo QR so ljudi preslepila enako pogosto kot povezave

Phishing ali lažno predstavljanje so lažna sporočila, ki ljudi pošljejo na lažno spletno stran. Phishing s kodo QR ali quishing naredi isto, le s kodo QR namesto povezave.

Leta 2025 je ekipa z Univerze v Lihtenštajnu pod vodstvom Marie Weinz preizkusila phishing v resničnih organizacijah, od malih podjetij do multinacionalke. Poslali so več kot 71 000 testnih e-sporočil. Nekatera so vsebovala navadno povezavo, druga kodo QR.

E-sporočila s kodo QR so ljudi na lažno stran pripeljala približno enako pogosto kot sporočila s povezavo. Avtorji opozarjajo, da e-poštni filtri sporočila s kodo QR tudi težje ujamejo, ker je naslov skrit v sliki. Članek je bil predstavljen na varnostni konferenci AsiaCCS 2025.

Dve starejši raziskavi kažeta v isto smer. Leta 2022 so Sharevski in sodelavci 173 ljudi prosili, naj skenirajo lažno kodo QR za covidno potrdilo. Kar 67 % se jih je bilo pripravljenih prijaviti z Google ali Facebook računom, kot razlog pa so najpogosteje navedli udobje. Leta 2024 so Geisler, Pöhn in Hommel na nemškem raziskovalnem kampusu izobesili lažne plakate za anketo. Bolj profesionalen plakat, ki je ponujal še nagrado, so skenirali skoraj trikrat pogosteje kot preprostega.

Če tiskaš kode QR

Ljudje lahko preverijo naslov, ki ga poznajo. Tvojo spletno stran je najlažje prepoznati.

• Kjer lahko, pokaži svoj naslov. Statična koda neposredno odpre tvoj spletni naslov. S QR Lasts Pro lahko tudi dinamične kode uporabljajo tvojo domeno.
• Tiskaj na površino. Kodo, natisnjeno na tablo, je težje prekriti kot nalepko.
• Preverjaj kode na javnih mestih. Na mizah, plakatih in vratih občasno poglej, ali je čez tvojo kodo nalepka.
• Napiši, kam koda vodi. Vrstica pod kodo, na primer "Odpre yourshop.com/menu", ljudem omogoči, da jo preverijo, preden jo odprejo.

Kako preveriš kodo, preden jo odpreš

1. Najprej preberi naslov. Večina aplikacij za kamero ga pokaže, preden ga odpre.
2. Poišči ime spletnega mesta. Naslov preberi do prve samostojne /, nato poglej zadnja dva dela. V parking-city.example.com.pay-now.ru/pay je spletno mesto pay-now.ru. Pri naslovih, ki se končajo na .co.uk in podobno, poglej zadnje tri dele.
3. Pazi pri kodah, ki zahtevajo prijavo ali plačilo. Pri parkiranju, bankah in dostavnih službah lahko navadno plačaš v njihovi aplikaciji ali na njihovi spletni strani, ki ju odpreš sam.
4. Otipaj, ali so nalepke na parkomatih in plakatih, preden skeniraš.
5. Ne skeniraj kod v e-sporočilih, ki jih nisi pričakoval. Raje pojdi neposredno na storitev.

Kako pomaga QR Lasts

Statične kode odprejo tvoj naslov, brez ničesar vmes. Vsaka koda, ustvarjena tukaj, brezplačna ali plačljiva, preusmerja naprej. Kodo ustavimo samo zaradi zlorabe, na primer cilja, ki ga Google Web Risk označi kot lažno predstavljanje (phishing) ali zlonamerno programsko opremo.

Viri

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Če smo raziskavo narobe razumeli, nam piši in napako bomo popravili.