פענחו, אל תסרקו: קראו קודם את תוכן קוד ה-QR המלא

יש שתי situaciones שבהן כדאי לעשות זאת: אתם עומדים לסרוק קוד שאינכם נותנים בו אמון מלא, או עומדים להדפיס קוד שנוצר במקום אחר. אותה שיטה עונה על שני המצבים.

שלב 1 — קראו את התוכן במקום לפתוח אותו

קוד QR מכיל טקסט. סורק מפענח את הטקסט ופועל עליו מיד — פותח את כתובת ה-URL, מצטרף לרשת ה-Wi-Fi או מתחיל את השיחה. מפענח מפענח את אותו טקסט ופשוט מציג אותו בפניכם. ההבדל הזה הוא כל מרווח הבטיחות.

צלמו את הקוד או שמרו צילום מסך שלו, ופענחו את התמונה באמצעות קורא ה-QR שלנו. הוא פועל כולו בדפדפן: התמונה לעולם אינה מועלה, ושום דבר אינו נפתח. תקבלו את התוכן הגולמי כטקסט.

שלב 2 — בררו איזה סוג תוכן יש בקוד

תכני QR משתמשים בתבניות מוכרות. קריאת הקידומת מגלה מה סורק היה עושה.

דפי הסוגים שלנו מסבירים את הפורמטים השונים, אם תרצו לראות כיצד פורמט לגיטימי בנוי: Wi-Fi, vCard, דוא״ל, טלפון, טקסט רגיל.

שלב 3 — בדקו את הדומיין

בתוכן מסוג URL, הדומיין הוא מה שחשוב — קראו אותו מימין לשמאל, מהלוכסן הבודד הראשון. ב-https://pay.cityparking.gov/meter/44, הדומיין הוא cityparking.gov. ב-https://cityparking.gov.pay-now.click/meter/44, הדומיין הוא pay-now.click, והחלק המוכר הוא רק קישוט.

אזהרה אחת לגבי מקצרים: זיהוי השירות אינו מגלה לכם מהו היעד. Unit 42 מנסחים זאת ישירות — "Even security-conscious people who check the URL preview before scanning cannot determine the final destination when presented with shortened links" — ושלושת השירותים שהם מזהים כמנוצלים לרעה ביותר הם דומייני הפניה של מחוללי QR רגילים. מקצר מוכר אינו סיבה להירגע.

שלב 4 — עקבו אחר שרשרת ההפניות

אם התוכן הוא קישור מקוצר ואתם צריכים לדעת היכן הוא מסתיים בפועל, פענחו אותו בלי לטעון את הדף. מהמסוף:

הריצו curl -sIL "https://short.example/abc" | grep -i "^location:" — הפקודה מדפיסה את כותרת Location של כל מעבר, בלי להפעיל תוכן של דף. שימו לב לכמות המעברים: מעבר יחיד ליעד הצפוי הוא רגיל, ואילו כמה מעברים דרך מארחים שאינם קשורים בדרך כלל מצביעים על גורמי ביניים של ניתוח או פרסום, שכל אחד מהם רואה את הבקשה. מה מתעד פרוקסי QR מסביר מה המעברים האלה אוספים.

שתי הסתייגויות. הפניה יכולה להציג לכם יעד אחד ולאדם אחר יעד אחר, לפי כתובת IP, סוכן משתמש או זמן — לכן תוצאה נקייה מוכיחה מה קרה עבורכם, באותו רגע, ולא מה יקבל לקוח במדינה אחרת. בנוסף, אפשר לשנות את היעד של קוד דינמי בכל רגע לאחר מכן, וזו בדיוק התכונה שבגללה מוכרים אותו.

איך בודקים קוד שהגיע בדוא״ל?

התייחסו לזה כמקרה נפרד ומסוכן יותר. ה-NCSC מציין שמשתמשים בקודי QR בדוא״ל פישינג דווקא משום ש-לא כל כלי האבטחה סורקים תמונות, ולכן קוד יכול להעביר קישור זדוני דרך מסננים שהיו מזהים את אותו קישור כטקסט — והסריקה מעבירה אתכם לטלפון אישי עם הגנה חלשה יותר מזו של מחשב העבודה.

הבדיקה פשוטה. שמרו את התמונה מתוך הדוא״ל במקום לסרוק אותה מהמסך, פענחו את הקובץ וקראו את הדומיין. עשו זאת במחשב, לא בטלפון, כדי שלא תעזבו את המכשיר המוגן. אם הדומיין אינו תואם בדיוק לארגון שהדוא״ל מתיימר להגיע ממנו, עצרו — וצרו קשר עם הארגון בדרך הרגילה שלכם, לא דרך שום דבר שבהודעה.

הסימן שכדאי לחפש הוא דחיפות יחד עם קוד: בעיית משלוח, הודעת מס, תיבת דואר מלאה, או חשבון שצריך אימות עוד היום. ארגונים לגיטימיים כמעט לעולם אינם צריכים שתסרקו ריבוע מודפס כדי לפתור בעיית חשבון דחופה. Quishing מסביר את דפוסי התקיפה במלואם.

מה מפענח אינו יכול לגלות לכם?

הבנה ברורה של המגבלות שומרת על הבדיקה אמינה.

• אם היעד בטוח. מפענח מציג את הכתובת, לא את התוכן. גם דומיין מוכר יכול לארח דף שנפרץ.
• מה אנשים אחרים יקבלו. הפניה יכולה להציג יעדים שונים לפי כתובת IP, סוכן משתמש או השעה ביום. התוצאה הנקייה שלכם מתארת את הבקשה שלכם, באותו רגע.
• מה יקרה מחר. אפשר לשנות את היעד של קוד דינמי בכל שלב לאחר שבדקתם אותו. זו התכונה שבגללה מוכרים אותו, ולכן «בדקתי אותו פעם אחת» אינו משפט שנשאר נכון לאורך זמן לגבי קוד דינמי.
• אם העותק המודפס תואם לקובץ. מדבקות שמונחות מעל הקוד גורמות לכך שהעיצוב שאישרתם והאובייקט שעל הקיר יהיו שונים. רק פענוח של עותק פיזי מגלה לכם מה יש בעותק הפיזי.

שתי המגבלות הראשונות והאחרונה הן הסיבה לכך שההמלצה העסקית בבלוג הזה חוזרת תמיד לאותה נקודה: קוד סטטי בדומיין שלכם הוא הסידור היחיד שבו בדיקה חד-פעמית נשארת נכונה.

שלב 5 — בדקו את העיצוב שלכם לפני ההדפסה

זה נמשך דקה ומונע סוג שלם של בעיות יקרות.

1. ייצאו את העיצוב הסופי בדיוק כפי שיודפס.
2. פענחו את הקובץ הזה — לא את הקובץ שבתצוגה המקדימה של המחולל.
3. ודאו שהתוכן הוא כתובת ה-URL שהתכוונתם אליה, בדומיין שבבעלותכם.
4. אם זהו קישור מקוצר בדומיין של מישהו אחר, אל תדפיסו אותו. צרו מחדש קוד סטטי.
5. סרקו את ההגהה המודפסת כשהיא מגיעה, ואשרו שהיא עדיין מובילה למקום הנכון.

אם קוד כבר הודפס והבדיקה הזו מגיעה מאוחר מדי, המדריך לשחזור קוד שנחטף מסביר אילו אפשרויות נותרו. אם הוא הפסיק לעבוד ועדיין אינכם יודעים מדוע, התחילו ב-למה קוד ה-QR שלכם הפסיק לעבוד.

קודים שאתם יוצרים כאן תמיד יפוענחו בדיוק למה שהקלדתם: קוד QR לכתובת URL. הקשר נוסף ב-האמת על הונאות בקודי QR.