Το quishing χρησιμοποιεί κυρίως QR generators

Αυτό το εύρημα μετατρέπει το επιχείρημα αυτού του άρθρου από άποψη σε τεκμηριωμένο συμπέρασμα. Το quishing — phishing μέσω κωδικού QR — λειτουργεί επειδή ένα τυπωμένο τετράγωνο δεν διαβάζεται με γυμνό μάτι. Όμως *κλιμακώνεται* επειδή οι νόμιμες επιχειρήσεις πέρασαν μια δεκαετία μαθαίνοντας στο κοινό ότι είναι φυσιολογικό να σαρώνει έναν άγνωστο σύντομο τομέα.

Τα δεδομένα τηλεμετρίας της Unit 42 για τον Φεβρουάριο του 2026 καταγράφουν κατά μέσο όρο πάνω από 11.000 ανιχνεύσεις κακόβουλων κωδικών QR την ημέρα, με την κίνηση μέσω υπηρεσιών συντόμευσης QR να αυξάνεται κατά 55% από το πρώτο εξάμηνο του 2023 στο πρώτο εξάμηνο του 2024 και κατά 44% επιπλέον έως το πρώτο εξάμηνο του 2025. Τόσο το FBI όσο και η FTC έχουν εκδώσει δημόσιες προειδοποιήσεις: το Internet Crime Complaint Center δημοσίευσε την PSA 220118 για εγκληματίες που παραποιούν κωδικούς για να κλέψουν χρήματα και διαπιστευτήρια και επανήλθε τον Ιούλιο του 2025 με προειδοποίηση για ανεπιθύμητα πακέτα που περιέχουν κωδικούς QR, ενώ η FTC προειδοποίησε ότι οι απατεώνες καλύπτουν νόμιμους κωδικούς με δικά τους αυτοκόλλητα, αναφέροντας ειδικά τα παρκόμετρα.

Γιατί δεν μπορεί να ελεγχθεί ένας κωδικός QR πριν από τη σάρωση;

Έχουμε μάθει, με κάποια επιτυχία, να ελέγχουμε έναν σύνδεσμο πριν κάνουμε κλικ: να περνάμε τον δείκτη από πάνω, να διαβάζουμε τον τομέα και να αναζητούμε ανορθογραφίες. Αυτή η άμυνα εξαρτάται από το να μπορούμε να δούμε τη διεύθυνση URL.

Ένας κωδικός QR την παρακάμπτει. Ο προορισμός είναι κωδικοποιημένος σε ένα μοτίβο που κανένας άνθρωπος δεν μπορεί να αποκωδικοποιήσει με γυμνό μάτι. Δεν υπάρχει πέρασμα του δείκτη. Στρέφεις την κάμερα σε ένα τετράγωνο και είτε ανοίγει κάτι είτε όχι. Η μόνη πιθανή στιγμή άμυνας είναι η προεπισκόπηση που εμφανίζουν πρώτα ορισμένοι σαρωτές — και σε μια μικρή οθόνη, όταν βιάζεσαι, αυτή η προεπισκόπηση είναι μια κομμένη συμβολοσειρά που οι περισσότεροι δεν διαβάζουν.

Πώς μοιάζουν οι βασικές επιθέσεις;

Το NCSC επισημαίνει ρητά το ζήτημα των email: δεν σαρώνονται όλες οι εικόνες από τα εργαλεία ασφάλειας, επομένως ένας κωδικός QR που οδηγεί σε κακόβουλο ιστότοπο μπορεί να περάσει από φίλτρα που θα εντόπιζαν τον ίδιο σύνδεσμο ως κείμενο — και οι χρήστες συνήθως σαρώνουν με προσωπικό τηλέφωνο που δεν διαθέτει τις προστασίες ενός υπολογιστή υπό διαχείριση εργοδότη. Η σελίδα μας για τον κωδικό QR Wi-Fi εξηγεί αυτή τη μορφή ωφέλιμου φορτίου· το να γνωρίζεις πώς μοιάζει είναι αυτό που σου επιτρέπει να τον ελέγξεις.

Πώς κατέστρεψαν οι ανακατευθύνσεις την τελευταία άμυνα;

Ας υποθέσουμε ότι κάθε νόμιμη επιχείρηση χρησιμοποιούσε στατικούς κωδικούς που κωδικοποιούν τον δικό της τομέα. Η προεπισκόπηση ενός σαρωτή θα έδειχνε restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Αναγνωρίσιμα. Μια προεπισκόπηση που έδειχνε x7q-cdn.click/8Hf2 θα ξεχώριζε ως προφανώς λανθασμένη, επειδή θα διέφερε από κάθε νόμιμο κωδικό που είχε σαρώσει ποτέ αυτό το άτομο.

Αυτός δεν είναι ο κόσμος στον οποίο ζούμε. Τεράστιος αριθμός νόμιμων κωδικών — από εστιατόρια, καταστήματα, μουσεία, οργανισμούς συγκοινωνιών, ακόμη και κρατικούς φορείς — οδηγεί μέσω σύντομων τομέων τρίτων που δεν σημαίνουν τίποτα για το άτομο που σαρώνει. Η συνέπεια είναι άμεση: ένας άγνωστος τομέας σε προεπισκόπηση QR δεν σηματοδοτεί πλέον τίποτα. Οι άνθρωποι έχουν εκπαιδευτεί να τον προσπερνούν, εκατοντάδες φορές, χωρίς να πάθουν κάτι.

Η Unit 42 διατυπώνει ξεκάθαρα το αποτέλεσμα: «Ακόμη και άτομα που προσέχουν την ασφάλειά τους και ελέγχουν την προεπισκόπηση της URL πριν από τη σάρωση δεν μπορούν να προσδιορίσουν τον τελικό προορισμό όταν βλέπουν συντομευμένους συνδέσμους». Η βιομηχανία ανακατευθύνσεων δεν εφηύρε το quishing. Αφαίρεσε το μοναδικό ευρετικό κριτήριο που είχαν οι απλοί άνθρωποι εναντίον του — ο μηχανισμός περιγράφεται στην παραβίαση ανακατεύθυνσης.

Τρεις δευτερεύουσες επιπτώσεις

• Απόκρυψη προορισμού. Μια ανακατεύθυνση μπορεί να προβάλλει διαφορετικούς προορισμούς σε διαφορετικούς επισκέπτες — ασφαλές περιεχόμενο σε έναν ερευνητή, το πραγματικό ωφέλιμο φορτίο σε ένα τηλέφωνο στην πόλη-στόχο. Ένας στατικός κωδικός δεν μπορεί να το κάνει αυτό· το ωφέλιμο φορτίο του είναι σταθερό και ίδιο για όλους.
• Καθυστερημένη ενεργοποίηση. Ένας κωδικός μπορεί να οδηγεί κάπου ακίνδυνο για εβδομάδες, να περνά από έλεγχο και να αλλάζει αργότερα. Αυτή είναι η ίδια δυνατότητα επεξεργασίας που ο κλάδος πουλά ως χαρακτηριστικό.
• Ξέπλυμα φήμης. Ένας αναγνωρίσιμος τομέας συντόμευσης προσδίδει νομιμότητα σε οτιδήποτε προωθεί.

Πώς προστατεύεσαι όταν σαρώνεις;

1. Διάβασε τον τομέα στην προεπισκόπηση. Αν ο σαρωτής σου δεν εμφανίζει τομέα, χρησιμοποίησε κάποιον που εμφανίζει. Το NCSC συνιστά τον σαρωτή που είναι ενσωματωμένος στο τηλέφωνό σου αντί για εφαρμογή από κατάστημα.
2. Αντιμετώπισε κάθε κωδικό σε ανεπιθύμητη επιστολή ή email ως εχθρικό. Οι νόμιμοι οργανισμοί σπάνια χρειάζονται να σαρώσεις ένα τυπωμένο τετράγωνο για να επιλύσεις ένα επείγον πρόβλημα λογαριασμού — και οι δύο παραπάνω προειδοποιήσεις του FBI αφορούν ακριβώς αυτό.
3. Έλεγξε τα αυτοκόλλητα με το χέρι. Σήκωσε μια άκρη. Ένα αυτοκόλλητο πάνω από άλλο αυτοκόλλητο είναι η συνηθέστερη ρύθμιση quishing και εντοπίζεται με την αφή.
4. Μην εισάγεις ποτέ στοιχεία πληρωμής σε σελίδα που άνοιξες σαρώνοντας. Πήγαινε μόνος σου στην υπηρεσία, πληκτρολογώντας τη διεύθυνση ή ανοίγοντας την εφαρμογή.
5. Αποκωδικοποίησε αντί να σαρώσεις όταν δεν είσαι σίγουρος. Φωτογράφισε τον κωδικό και διάβασε το ωφέλιμο φορτίο του στη σελίδα αποκωδικοποίησής μας χωρίς να ανοίξεις τίποτα.

Τι γίνεται αν έχεις ήδη σαρώσει κακόβουλο κωδικό;

Η ίδια η σάρωση σχεδόν ποτέ δεν παραβιάζει ένα τηλέφωνο. Αυτό που έχει σημασία είναι τι έγινε μετά, οπότε κάνε διαλογή με βάση αυτό.

1. Αν απλώς είδες μια σελίδα και την έκλεισες, είναι πολύ πιθανό να είσαι εντάξει. Σημείωσε τον τομέα σε περίπτωση που χρειαστεί να τον αναφέρεις και προχώρα.
2. Αν εισήγαγες κωδικό πρόσβασης, άλλαξέ τον αμέσως στον πραγματικό ιστότοπο και άλλαξέ τον παντού όπου τον επαναχρησιμοποίησες. Ενεργοποίησε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όσο βρίσκεσαι εκεί.
3. Αν εισήγαγες στοιχεία κάρτας, κάλεσε τώρα την τράπεζά σου ή πάγωσε την κάρτα από την εφαρμογή τραπεζικής, πριν ελέγξεις οτιδήποτε άλλο. Ανέφερέ το ως δόλια σελίδα, όχι ως αμφισβητούμενη αγορά.
4. Αν εγκατέστησες κάτι, απεγκατάστησέ το και μετά έλεγξε τα δικαιώματα εφαρμογών, καθώς και τυχόν δικαιώματα διαχειριστή συσκευής ή προσβασιμότητας που μπορεί να ζήτησε. Αυτά τα δικαιώματα είναι το ωφέλιμο φορτίο στις περισσότερες περιπτώσεις σε κινητά.
5. Αν συνδέθηκες σε δίκτυο Wi-Fi μέσω κωδικού, διέγραψε το δίκτυο και θεώρησε ότι οτιδήποτε στάλθηκε μέσω αυτού όσο ήσουν συνδεδεμένος ήταν ορατό.
6. Ανέφερέ το. Στις ΗΠΑ, το IC3 του FBI δέχεται αναφορές και η FTC καταγγελίες καταναλωτών· στο Ηνωμένο Βασίλειο, το Action Fraud. Αν ο κωδικός ήταν αυτοκόλλητο σε δημόσια υποδομή, ενημέρωσε και τον ιδιοκτήτη της επιφάνειας — μια αρχή στάθμευσης δεν μπορεί να αφαιρέσει μια επικάλυψη που δεν γνωρίζει.

Ένα πράγμα που δεν πρέπει να κάνεις: να θεωρήσεις ότι έφταιγες επειδή έκανες τη σάρωση. Τόσο το FBI όσο και η FTC έχουν εκδώσει δημόσιες προειδοποιήσεις ακριβώς επειδή αυτοί οι κωδικοί είναι σχεδιασμένοι να μην ξεχωρίζουν από τους νόμιμους.

Πώς προστατεύεις τους πελάτες σου ως επιχείρηση;

Αν τυπώνεις κωδικούς QR, οι επιλογές σου καθορίζουν αν οι πελάτες σου μπορούν überhaupt να αμυνθούν.

1. Χρησιμοποίησε στατικούς κωδικούς που κωδικοποιούν τον δικό σου τομέα. Η προεπισκόπηση θα εμφανίζει τότε το όνομά σου, το μόνο σήμα επαλήθευσης που είναι διαθέσιμο τη στιγμή της σάρωσης. Αυτή είναι η αλλαγή με τον μεγαλύτερο αντίκτυπο που μπορείς να κάνεις.
2. Τύπωσε τη URL με ευανάγνωστο κείμενο δίπλα στον κωδικό. Δίνει στους ανθρώπους έναν τρόπο που δεν απαιτεί σάρωση και κάτι για σύγκριση.
3. Έλεγχε τακτικά τους φυσικούς κωδικούς σου. Τα αυτοκόλλητα επικάλυψης λειτουργούν μόνο όσο κανείς δεν ελέγχει.
4. Μην κατευθύνεις ποτέ πελάτες μέσω τομέα που δεν φέρει το όνομά σου. Τους μαθαίνει ότι οι αδιαφανείς προορισμοί είναι αποδεκτοί και σε αφήνει ανίκανο να περιγράψεις πώς μοιάζει ένας νόμιμος δικός σου κωδικός.

Υπάρχει μια χρήσιμη σύγκλιση εδώ: η επιλογή που σε προστατεύει από την ομηρία μέσω συνδρομής είναι η ίδια που προστατεύει τους πελάτες σου από το phishing.

Δημιούργησε έναν στατικό κωδικό που εμφανίζει τον δικό σου τομέα στην προεπισκόπηση: κωδικός QR για URL. Για περισσότερα: η αλήθεια για τις απάτες με κωδικούς QR.