קווישינג: מחוללי QR הם הדומיינים המנוצלים ביותר

הממצא הזה הופך את הטענה במאמר הזה מדעה לראיה. קווישינג — דיוג שמועבר באמצעות קוד QR — עובד כי אי אפשר לקרוא ריבוע מודפס בעין. אבל הוא *מתרחב* כי עסקים לגיטימיים השקיעו עשור בלימוד הציבור שסריקת דומיין קצר ולא מוכר היא דבר רגיל.

הנתונים של Unit 42 מפברואר 2026 מציגים בממוצע יותר מ־11,000 זיהויים של קודי QR זדוניים ביום, כאשר התעבורה דרך מקצרי QR עלתה ב־55% מהמחצית הראשונה של 2023 למחצית הראשונה של 2024, וב־44% נוספים עד המחצית הראשונה של 2025. גם ה־FBI וגם ה־FTC פרסמו אזהרות לציבור: המרכז לתלונות על פשיעת אינטרנט פרסם את PSA 220118 על פושעים שמשנים קודים כדי לגנוב כספים ופרטי התחברות, וביולי 2025 פרסם עדכון בנושא חבילות שלא הוזמנו המכילות קודי QR, בעוד ה־FTC הזהיר כי נוכלים מכסים קודים לגיטימיים במדבקות משלהם, וציין במיוחד מדחני חניה.

למה אי אפשר לבדוק קוד QR לפני הסריקה?

לימדו אנשים, בהצלחה מסוימת, לבדוק קישור לפני שלוחצים עליו: לרחף מעליו, לקרוא את הדומיין ולחפש שגיאת כתיב. ההגנה הזו תלויה ביכולת לראות את כתובת ה־URL.

קוד QR מבטל אותה. היעד מקודד בתבנית שאף אדם אינו יכול לפענח בעין. אין כאן ריחוף. מכוונים מצלמה אל ריבוע, ואז משהו נפתח או לא. רגע ההגנה היחיד האפשרי הוא התצוגה המקדימה שחלק מהסורקים מציגים קודם — ובמסך קטן, כשממהרים, זו מחרוזת קטועה שרוב האנשים אינם קוראים.

איך נראים ההתקפות העיקריות?

ה־NCSC מציין זאת במפורש לגבי דוא״ל: לא כל כלי האבטחה סורקים תמונות, ולכן קוד QR שמפנה לאתר זדוני יכול לעבור מסננים שהיו מזהים את אותו קישור כטקסט — ומשתמשים נוטים לסרוק באמצעות טלפון אישי שאין בו ההגנות של מחשב המנוהל בידי מעסיק. דף קוד QR ל־Wi‑Fi שלנו מסביר את פורמט המטען הזה; הידיעה איך הוא נראה מאפשרת לבדוק אותו.

איך ההפניות השמידו את ההגנה האחרונה?

נניח שכל עסק לגיטימי היה משתמש בקודים סטטיים שמקודדים את הדומיין שלו. תצוגה מקדימה של סורק הייתה מציגה restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. כתובות מוכרות. תצוגה של x7q-cdn.click/8Hf2 הייתה בולטת כשגויה בבירור, כי היא הייתה שונה מכל קוד לגיטימי שהאדם סרק אי־פעם.

זה לא העולם שבו אנו חיים. כמויות עצומות של קודים לגיטימיים — ממסעדות, קמעונאים, מוזיאונים, חברות תחבורה ואפילו גופים ממשלתיים — מופנות דרך דומיינים קצרים של צד שלישי שאינם אומרים דבר לאדם שסורק. התוצאה ישירה: דומיין לא מוכר בתצוגה מקדימה של QR כבר אינו מסמן דבר. אנשים אומנו לסרוק ולהמשיך הלאה, מאות פעמים, בלי שנגרם נזק.

Unit 42 מציינת את התוצאה בפשטות: ״אפילו אנשים מודעים לאבטחה שבודקים את תצוגת כתובת ה־URL לפני הסריקה אינם יכולים לקבוע את היעד הסופי כאשר מוצגים להם קישורים מקוצרים.״ תעשיית ההפניות לא המציאה את הקווישינג. היא הסירה את היוריסטיקה היחידה שהייתה לאנשים רגילים נגדו — המנגנון מתואר בדף חטיפת הפניות.

שלוש השפעות משניות

• הסוואה. הפניה יכולה להציג יעדים שונים למבקרים שונים — תוכן בטוח לחוקר, ואת המטען האמיתי לטלפון בעיר היעד. קוד סטטי אינו יכול לעשות זאת; המטען שלו קבוע וזהה לכולם.
• הפעלה מושהית. קוד יכול להפנות למקום תמים במשך שבועות, לעבור בדיקה, ואז להשתנות. זו אותה יכולת עריכה שהתעשייה מוכרת כתכונה.
• הלבנת מוניטין. דומיין מקצר מוכר מעניק לגיטימיות לכל דבר שאליו הוא מפנה.

איך תתגוננו כשאתם סורקים?

1. קראו את הדומיין בתצוגה המקדימה. אם הסורק שלכם אינו מציג אותו, השתמשו בסורק שכן מציג. ה־NCSC ממליץ על הסורק המובנה בטלפון ולא על אפליקציה מחנות.
2. התייחסו לכל קוד בדואר או בדוא״ל שלא ביקשתם כאל עוין. ארגונים לגיטימיים כמעט אף פעם אינם צריכים שתסרקו ריבוע מודפס כדי לפתור בעיית חשבון דחופה — שתי אזהרות ה־FBI שלמעלה עוסקות בדיוק בכך.
3. בדקו מדבקות פיזית. קלפו קצה. מדבקה על מדבקה היא ההתקנה הנפוצה ביותר של קווישינג, ואפשר לזהות אותה במגע.
4. לעולם אל תזינו פרטי תשלום בדף שאליו הגעתם בסריקה. היכנסו לשירות בעצמכם, באמצעות הקלדת הכתובת או פתיחת האפליקציה.
5. פענחו במקום לסרוק כשאינכם בטוחים. צלמו את הקוד וקראו את המטען שלו בדף הפענוח שלנו בלי לפתוח דבר.

מה אם כבר סרקתם קוד זדוני?

סריקה כשלעצמה כמעט אף פעם אינה מסכנת טלפון. מה שחשוב הוא מה קרה אחר כך, ולכן פעלו לפי זה.

1. אם רק צפיתם בדף וסגרתם אותו, סביר מאוד שהכול בסדר. שימו לב לדומיין למקרה שתצטרכו לדווח עליו, והמשיכו הלאה.
2. אם הזנתם סיסמה, החליפו אותה מיד באתר האמיתי, והחליפו אותה בכל מקום שבו השתמשתם בה שוב. הפעילו אימות רב־שלבי בזמן שאתם שם.
3. אם הזנתם פרטי כרטיס, התקשרו לבנק או הקפיאו את הכרטיס באפליקציית הבנק עכשיו, לפני שתבדקו משהו אחר. דווחו עליו כדף הונאה, לא כעסקה שבמחלוקת.
4. אם התקנתם משהו, הסירו אותו, ואז בדקו את הרשאות האפליקציה ואת כל ההרשאות לניהול המכשיר או לנגישות שהוא ביקש. הרשאות אלה הן המטען ברוב המקרים הניידים.
5. אם התחברתם לרשת Wi‑Fi באמצעות קוד, שכחו את הרשת והניחו שכל דבר שנשלח דרכה בזמן החיבור היה חשוף לצפייה.
6. דווחו על כך. בארה״ב, ה־IC3 של ה־FBI מקבל דיווחים וה־FTC מקבל תלונות צרכניות; בבריטניה פנו ל־Action Fraud. אם הקוד היה מדבקה על תשתית ציבורית, ספרו גם לבעלים של המשטח — רשות חניה אינה יכולה להסיר מדבקה שאינה יודעת עליה.

דבר אחד שלא כדאי לעשות: להניח שזו אשמתכם כי סרקתם. גם ה־FBI וגם ה־FTC פרסמו אזהרות לציבור בדיוק משום שקודים אלה מתוכננים כך שלא ניתן להבדיל ביניהם לבין קודים לגיטימיים.

איך מגינים על הלקוחות שלכם כעסק?

אם אתם מדפיסים קודי QR, הבחירות שלכם קובעות אם הלקוחות שלכם יוכלו להתגונן בכלל.

1. השתמשו בקודים סטטיים שמקודדים את הדומיין שלכם. התצוגה המקדימה תציג אז את שמכם, וזהו אות האימות היחיד שזמין בזמן הסריקה. זהו השינוי בעל ההשפעה הגדולה ביותר שתוכלו לבצע.
2. הדפיסו את ה־URL בטקסט קריא לצד הקוד. כך תיתנו לאנשים דרך שאינה דורשת סריקה, וגם דבר שאפשר להשוות אליו.
3. בדקו את הקודים הפיזיים לפי לוח זמנים. מדבקות כיסוי פועלות רק כל עוד איש אינו בודק.
4. לעולם אל תפנו לקוחות דרך דומיין שאינו נושא את שמכם. כך אתם מלמדים אותם שכתובות יעד אטומות הן דבר תקין, ומשאירים את עצמכם בלי יכולת להסביר איך נראה קוד לגיטימי שלכם.

יש כאן התאמה מועילה: הבחירה שמגינה עליכם מפני השתלטות על מנוי היא אותה בחירה שמגינה על הלקוחות שלכם מפני דיוג.

צרו קוד סטטי שמציג את הדומיין שלכם בתצוגה המקדימה: קוד QR ל־URL. לקריאה נוספת: האמת על הונאות קוד QR.