Nie skanuj żadnych kodów QR, dopóki nie nauczysz się rozpoznawać tego niebezpiecznego oszustwa

Kody QR zyskują popularność, ale również przyciągają oszustów. Ważne jest, aby zachować ostrożność przy ich skanowaniu, aby uniknąć zagrożeń.

Kody QR się rozpanoszyły. Pojawiają się wszędzie: na stołach w restauracjach, parkometrach, witrynach sklepów. Zostały stworzone w latach 90. przez spółkę zależną Toyoty, aby monitorować części samochodowe. Zwykłe kody kreskowe były niewystarczające – mogły przechowywać tylko około dwudziestu znaków, a skanowanie ich bywało uciążliwe. W odpowiedzi wymyślono dwuwymiarowy układ, który zmieścił ponad sto razy więcej danych i mógł być skanowany z każdego kąta.

Muśnięte przez czas, kody QR przeszły z linii produkcyjnej do codziennego użytku. Smartfony wprowadziły je do mainstreamu, a pandemia nadała im nowy impuls. Firmy zaczęły korzystać z tych kodów, by umożliwić interakcję z klientami bez bezpośredniego kontaktu. Menu restauracyjne, aplikacje do płatności, bilety – wszystko nastało w łatwej, cyfrowej formie. Zrobiło to swoje; kody QR sprawiały wrażenie bezpieczniejszych niż były. Problem polega na tym, że nie odsłonią ci drogi, dokąd cię zaprowadzą, dopóki ich nie zeskanujesz.

Oszustów przyciągają kody QR, bo nie można ich odczytać oczami

Fałszywe naklejki i linki przekierowujące ułatwiają oszukiwanie ludzi

Quishing to zjawisko, w którym kody QR łączą się z phishingiem. Oszuści wykorzystują naszą bezmyślność. Owszem, możesz najechać na link, ale kodu QR nie odczytasz wizualnie.

Nie wiesz, dokąd cię zaprowadzi, dopóki nie klikniesz. Oszuści kierują cię do szybkiego działania, eliminując chwile na zastanowienie. To jak link w wiadomości e-mail, w której informują, że twoja autoryzacja dwuetapowa wkrótce wygasa, albo konieczność potwierdzenia, by odebrać „premię”. Celem jest sprawić, byś działał bez namysłu.

To za łatwe. Fałszywe naklejki bynajmniej nie są tylko teoretycznym zagrożeniem. Przestępcy przyklejają kod QR na legalne miejsca: parkometry, stacje ładowania, stoliki w restauracjach, plakaty transportowe. Skanujesz, bo wygląda legitnie, ale w praktyce spędzasz potem czas na poszukiwaniach. Dobrze, że wiesz już, na co zwracać uwagę.

Oto, co trzeba wiedzieć o kodach QR. Fałszywe kody pojawiają się na dnie e-maili, często ukryte w PDF ach przypominających powiadomienia HR lub faktury. Używają obrazów zamiast linków, bo filtry e-mailowe skanują tekst, a nie grafiki. Tak, czasem te kody umykają całkowicie.

To, co widać, to zazwyczaj łańcuch przekierowań, zaczynający się od zaufanej usługi jak Google, AWS czy Cloudflare. Bo jeśli pierwszy przystanek wygląda wiarygodnie, narzędzia zabezpieczające często nie wstrzymują ruchu.

Podczas tej podróży atakujący mogą dodać fałszywe CAPTCHA lub drobne opóźnienia, wystarczające, by zmylić automatyczne systemy skanowania. Na końcu czeka fałszywa strona logowania, identyczna z oryginałem. Może imitować Microsoft 365, twój bank lub ulubioną usługę dostawczą. Dzięki sztucznej inteligencji te podróbki są coraz łatwiejsze do zrobienia, a zauważenie różnicy na małym ekranie to wyzwanie.

Kilka szybkich kontroli ochroni Cię przed fałszywymi kodami

Możesz uniknąć oszustwa

Przyjrzyj się kodowi zanim go zeskanujesz. Zwróć uwagę na krawędzie, krzywe wyrównanie, inną fakturę papieru albo naklejkę zakrywającą tekst. Jeśli coś budzi wątpliwości, po prostu to zignoruj i skorzystaj z oficjalnej aplikacji lub fizycznego czytnika kart.

Kiedy już sprawdzisz wygląd, twój smartfon pomoże ci w drugiej partii pracy. Nowoczesne aparaty pokazują podgląd URL, zanim cokolwiek otworzysz – koniecznie to sprawdź. Szukaj czerwonych flag: adres HTTP zamiast HTTPS, błędnie napisany brand, dziwne rozszerzenie domeny czy skrócony link, który ukrywa swój cel.

Jeżeli coś cię niepokoi, zamknij aparat i wejdź na stronę ręcznie przez przeglądarkę. Zwróć uwagę na to, co dzieje się po skanowaniu. Jeśli strona nagle próbuje wymusić pobranie aplikacji, podnieś alarm. A jeżeli prosi o dane logowania bez wyraźnego powodu, zrób krok w tył.

Po wszystkim, i tak mogą się zdarzyć wpadki. Dlatego dobrze mieć dodatkową warstwę ochrony. Włącz uwierzytelnianie wieloskładnikowe na ważnych kontach, aby nawet przy zdobytym haśle atakujący miał zamknięte drzwi bez drugiego kroku weryfikacji.

Po prostu bądź ostrożny, nie unikający

Nie oznacza to, że kody QR to zło. Są przydatne, powszechne i w większości przypadków całkowicie bezpieczne. Poświęć chwilę na sprawdzenie naklejki lub przeczytanie podglądu linku, nim naciśniesz „enter”. To naprawdę wszystko, co potrzebujesz.

Jeśli ciekawią Cię artykuły podobne do Nie skanuj żadnych kodów QR, dopóki nie nauczysz się rozpoznawać tego niebezpiecznego oszustwa, zajrzyj do kategorii Tutoriale i odkryj jeszcze więcej interesujących treści.