Kvīšings: visvairāk ļaunprātīgi izmantotie QR domēni

Šis atklājums pārvērš šī emuāra argumentu no viedokļa par pierādījumu. Kvīšings — pikšķerēšana, kas tiek piegādāta ar QR kodu, — darbojas tāpēc, ka drukātu kvadrātu ar aci nevar izlasīt. Taču tas *vairojas*, jo likumīgi uzņēmumi desmit gadus ir mācījuši sabiedrībai, ka nepazīstama īsa domēna skenēšana ir normāla.

Unit 42 2026. gada februāra telemetrijas dati uzrāda vidēji vairāk nekā 11 000 ļaunprātīgu QR kodu noteikšanas gadījumu dienā, turklāt datplūsma caur QR saīsināšanas pakalpojumiem pieauga par 55% no 2023. gada pirmā pusgada līdz 2024. gada pirmajam pusgadam un vēl par 44% līdz 2025. gada pirmajam pusgadam. Gan FIB, gan FTC ir izplatījuši publiskus brīdinājumus: Interneta noziegumu sūdzību centrs publicēja PSA 220118 par noziedzniekiem, kuri pārveido kodus, lai nozagtu līdzekļus un piekļuves datus, bet 2025. gada jūlijā turpināja ar brīdinājumu par nevēlamām pakām, kurās ir QR kodi, savukārt FTC brīdināja, ka krāpnieki aizlīmē likumīgus kodus ar savām uzlīmēm, īpaši minot autostāvvietu skaitītājus.

Kāpēc QR kodu nevar pārbaudīt pirms skenēšanas?

Cilvēkiem ar zināmiem panākumiem ir iemācīts pārbaudīt saiti pirms noklikšķināšanas: novietot kursoru virs tās, izlasīt domēnu, meklēt drukas kļūdas. Šī aizsardzība ir atkarīga no iespējas redzēt URL.

QR kods to novērš. Galamērķis ir iekodēts rakstā, ko cilvēks ar aci nevar atšifrēt. Kursoru virs tā novietot nevar. Jūs pavēršat kameru pret kvadrātu, un vai nu kaut kas atveras, vai neatveras. Vienīgais iespējamais aizsardzības brīdis ir priekšskatījums, ko daži skeneri parāda vispirms, — taču mazā ekrānā un steigā tas ir saīsināts teksts, ko lielākā daļa cilvēku neizlasa.

Kā izskatās galvenie uzbrukumi?

NCSC šo jautājumu par e-pastu uzsver tieši: ne visi drošības rīki skenē attēlus, tāpēc QR kods, kas ved uz ļaunprātīgu vietni, var izkļūt cauri filtriem, kuri to pašu saiti būtu uztvēruši kā tekstu, — turklāt lietotāji parasti skenē ar personīgo tālruni, kuram nav darba devēja pārvaldīta datora aizsardzības. Mūsu Wi-Fi QR koda lapa izskaidro šo lietderīgās slodzes formātu; zinot, kā tas izskatās, varat kodu pārbaudīt.

Kā novirzīšanas iznīcināja pēdējo aizsardzību?

Pieņemsim, ka ikviens likumīgs uzņēmums izmantotu statiskus kodus, kuros iekodēts tā paša domēns. Skenera priekšskatījumā būtu redzams restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Atpazīstami. Priekšskatījums x7q-cdn.click/8Hf2 tad izceltos kā acīmredzami nepareizs, jo atšķirtos no katra likumīgā koda, ko šis cilvēks jebkad būtu skenējis.

Tā nav mūsu realitāte. Milzīgs skaits likumīgu kodu — no restorāniem, mazumtirgotājiem, muzejiem, sabiedriskā transporta aģentūrām un pat valsts iestādēm — tiek novirzīti caur trešo pušu īsajiem domēniem, kas skenētājam neko neizsaka. Sekas ir tiešas: nepazīstams domēns QR priekšskatījumā vairs neko neliecina. Cilvēki ir iemācīti tam paiet garām simtiem reižu, nenodarot sev ļaunumu.

Unit 42 rezultātu formulē skaidri: “Pat drošībā piesardzīgi cilvēki, kuri pirms skenēšanas pārbauda URL priekšskatījumu, nevar noteikt galīgo galamērķi, ja tiek parādītas saīsinātas saites.” Novirzīšanas nozare neizgudroja kvīšingu. Tā likvidēja vienīgo heuristiku, kas parastiem cilvēkiem bija pret to, — mehānisms aprakstīts sadaļā par novirzīšanas pārņemšanu.

Trīs sekundāras sekas

• Maskēšana. Novirzīšana dažādiem apmeklētājiem var parādīt atšķirīgus galamērķus — drošu saturu pētniekam, bet īsto lietderīgo slodzi tālrunim mērķa pilsētā. Statisks kods to nevar izdarīt; tā lietderīgā slodze ir nemainīga un visiem vienāda.
• Aktivizēšana ar aizkavi. Kods vairākas nedēļas var vest uz nekaitīgu vietu, izturēt pārbaudi un pēc tam tikt pārslēgts. Tā ir tā pati rediģējamība, ko nozare pārdod kā funkciju.
• Reputācijas legalizēšana. Atpazīstams saīsinātāja domēns piešķir leģitimitāti jebkam, uz ko tas pārsūta.

Kā pasargāt sevi skenēšanas laikā?

1. Izlasiet domēnu priekšskatījumā. Ja jūsu skeneris to nerāda, izmantojiet tādu, kas to dara. NCSC iesaka izmantot tālrunī iebūvēto skeneri, nevis veikalā lejupielādētu lietotni.
2. Izturieties pret jebkuru kodu nevēlamā pastā vai e-pastā kā pret draudu. Likumīgām organizācijām reti ir vajadzīgs, lai jūs skenētu drukātu kvadrātu steidzamas konta problēmas risināšanai — abi iepriekš minētie FIB paziņojumi attiecas tieši uz to.
3. Fiziski pārbaudiet uzlīmes. Paceliet tās malu. Uzlīme virs uzlīmes ir visbiežākā kvīšinga shēma, un to var pamanīt ar pirkstiem.
4. Nekad neievadiet maksājuma datus lapā, kuru sasniedzāt, skenējot kodu. Dodieties uz pakalpojumu paši, ierakstot adresi vai atverot lietotni.
5. Ja šaubāties, atšifrējiet kodu, nevis skenējiet. Nofotografējiet kodu un izlasiet tā lietderīgo slodzi mūsu atšifrēšanas lapā, neko neatverot.

Ko darīt, ja jau esat skenējis ļaunprātīgu kodu?

Skenēšana pati par sevi gandrīz nekad neapdraud tālruni. Svarīgi ir tas, kas notika pēc tam, tāpēc rīkojieties atbilstoši notikušajam.

1. Ja tikai apskatījāt lapu un to aizvērāt, visticamāk, viss ir kārtībā. Ievērojiet domēnu, ja par to būs jāziņo, un turpiniet savas gaitas.
2. Ja ievadījāt paroli, nekavējoties nomainiet to īstajā vietnē un visur, kur to atkārtoti izmantojāt. Izmantojiet daudzfaktoru autentifikāciju.
3. Ja ievadījāt kartes datus, nekavējoties piezvaniet bankai vai iesaldējiet karti bankas lietotnē, pirms pārbaudāt vēl kaut ko. Ziņojiet par krāpniecisku lapu, nevis apstrīdiet pirkumu.
4. Ja kaut ko instalējāt, atinstalējiet to, pēc tam pārskatiet lietotņu atļaujas un visas ierīces administratora vai pieejamības tiesības, ko lietotne varēja pieprasīt. Vairumā mobilo gadījumu tieši šīs atļaujas ir lietderīgā slodze.
5. Ja no koda pievienojāties Wi-Fi tīklam, aizmirstiet šo tīklu un pieņemiet, ka viss, kas savienojuma laikā tika nosūtīts, varēja būt novērojams.
6. Ziņojiet par notikušo. ASV FIB IC3 pieņem ziņojumus, bet FTC — patērētāju sūdzības; Apvienotajā Karalistē — Action Fraud. Ja kods bija uzlīme uz publiskas infrastruktūras, informējiet arī tās īpašnieku — autostāvvietu pārvalde nevar noņemt uzlīmi, par kuru tā nezina.

Viena lieta, ko nevajag darīt: uzskatīt, ka tā bija jūsu vaina, jo skenējāt kodu. Gan FIB, gan FTC ir izplatījuši publiskus brīdinājumus tieši tāpēc, ka šie kodi pēc konstrukcijas nav atšķirami no likumīgiem kodiem.

Kā uzņēmumam pasargāt savus klientus?

Ja drukājat QR kodus, jūsu izvēle nosaka, vai klienti vispār varēs sevi aizsargāt.

1. Izmantojiet statiskus kodus ar savu domēnu. Priekšskatījumā tad būs redzams jūsu nosaukums — vienīgais pārbaudes signāls, kas pieejams skenēšanas brīdī. Šīs ir visietekmīgākās izmaiņas, ko varat veikt.
2. Blakus kodam drukājiet URL salasāmā tekstā. Tas cilvēkiem dod iespēju rīkoties bez skenēšanas un kaut ko salīdzināt.
3. Regulāri pārbaudiet fiziskos kodus. Pārklājošās uzlīmes darbojas tikai tik ilgi, kamēr neviens tās nepārbauda.
4. Nekad nenovirziet klientus caur domēnu, kurā nav jūsu nosaukuma. Tas māca, ka neskaidri galamērķi ir pieņemami, un liedz jums izskaidrot, kā izskatās jūsu likumīgais kods.

Šeit ir noderīga sakritība: izvēle, kas pasargā jūs no abonementa ķīlnieku turēšanas, ir tā pati, kas pasargā jūsu klientus no pikšķerēšanas.

Ģenerējiet statisku kodu, kura priekšskatījumā redzams jūsu domēns: URL QR kods. Papildu lasāmviela: patiesība par QR kodu krāpniecību.