Kebenaran tentang penipuan kod QR: Bagaimana penjana "percuma" mengambil wang daripada pengguna

Suatu masa antara 2015 dan hari ini, kod QR beralih daripada keingintahuan Jepun kepada infrastruktur global. Ia dicetak pada meja restoran, dinding muzium, pembungkusan produk dan borang cukai. Hampir setiap telefon di Bumi boleh membacanya.

Dan industri yang senyap membina dirinya di sekeliling satu andaian tidak jujur: bahawa kod QR sepatutnya mempunyai perantara.

Artikel ini menerangkan mekanik skim pemerasan kod QR, mengapa ia berfungsi, siapa yang mendapat keuntungan dan cara untuk mengelakkan menjadi salah satu daripada berjuta-juta mangsanya.

Coraknya

Anda menaip ke Google "penjana kod QR percuma". Hasil teratas mempunyai antara muka yang menarik. Anda menampal URL, menyesuaikan warna, melihat kod QR cantik muncul. Anda klik "muat turun".

Sekarang salah satu daripada tiga perkara berlaku:

1. Anda diminta untuk membuat akaun — "hanya untuk memuat turun"
2. Anda diberitahu bahawa peringkat percuma menghasilkan versi resolusi rendah atau bertanda air, dan muat turun "premium" adalah di sebalik dinding bayaran
3. Anda mendapat muat turun yang bersih — dan tiada apa yang memberi amaran bahawa kod QR yang anda baru simpan dialihkan melalui pelayan penjana

Kes 3 adalah yang paling licik. Pengguna meninggalkan tapak dengan percaya mereka mempunyai kod QR yang berfungsi. Mereka mencetaknya pada kad perniagaan, menu restoran, papan tanda acara, pelekat produk. Beribu-ribu salinan masuk ke dalam edaran. Dan selama berminggu-minggu, berbulan-bulan, kadangkala bertahun-tahun, kod-kod itu berfungsi dengan baik.

Kemudian — secara senyap, suatu hari — ia berhenti. Kerana syarikat memutuskan sudah tiba masanya untuk memonetasikan.

Apa yang sebenarnya tinggal di dalam kod QR

Kod QR ialah corak kuasa dua hitam dan putih yang mengekod data binari. Pengimbas menyahkod corak dan memulangkan hasilnya kepada sistem pengendalian, yang mentafsirkannya sebagai URL, rentetan teks, bukti kelayakan Wi-Fi atau format lain.

Ini penting: kod QR ialah data itu sendiri. Tiada pelayan yang terlibat. Tiada carian. Setelah kod QR dicetak, tiada sesiapa boleh menukar apa yang ada di dalamnya.

Kod QR URL statik https://example.com/menu mengandungi, secara literal, bait ASCII URL tersebut. Apabila seseorang mengimbasnya, di mana-mana di dunia, selama-lamanya, mereka akan dialihkan ke URL tersebut. Tiada sesiapa boleh mengalih keluarnya. Tiada sesiapa boleh mengubahnya. Tiada sesiapa boleh menjejak siapa yang mengimbas.

Beginilah kod QR direka bentuk dan sebab itulah ia menjadi infrastruktur universal.

Jalan pintasan

Kod QR dinamik merosakkan reka bentuk ini. Bukannya mengekod URL sebenar, ia mengekod URL pengalihan pendek ke pelayan penyedia QR: sesuatu seperti https://short.qr-co/abc123.

Apabila diimbas, pengimbas meminta short.qr-co/abc123. Pelayan penyedia mencari abc123 dalam pangkalan data, menemui destinasi sebenar dan mengeluarkan pengalihan HTTP. Pengimbas mengikutinya dan sampai ke halaman sebenar.

Dari perspektif pengguna, ia berfungsi secara serupa. Dari perspektif penyedia QR, ini adalah lombong emas:

• Setiap imbasan menjana log pelayan: cap masa, IP, ejen pengguna, kadangkala geolokasi
• URL destinasi boleh diubah pada bila-bila masa, tanpa mencetak semula
• Penyedia kod boleh melumpuhkan, memadamkan atau menahan sebagai tebusan
• Data imbasan boleh dijual semula
• Yang paling penting: penyedia boleh mengenakan sewa

Kami mengkaji mekanik dengan lebih terperinci dalam artikel rampasan pengalihan kod QR.

Cara caj berfungsi

Model QR dinamik membolehkan empat strategi pengekstrakan yang berbeza:

Langganan

Kod QR berfungsi selagi anda membayar yuran bulanan. Berhenti membayar, dan penyedia anda akan melumpuhkan pengalihan — setiap salinan bercetak kod QR anda menjadi berat mati. Ini dipasarkan secara terbuka sebagai ciri ("jejak imbasan! sunting kod QR anda pada bila-bila masa!"), tetapi kesan terkuncinya adalah perniagaan. Lihat perangkap langganan QR untuk analisis terperinci.

Percubaan dan perangkap

Pengguna percuma mendapat kod QR dinamik "percubaan". Ia berfungsi selama 14 hari, 30 hari, kadangkala lebih lama. Apabila ia tamat tempoh, ia sudah dalam edaran. Untuk memastikannya tetap hidup, pengguna kini mesti membayar. Secara senyap, alat percuma menjadi perbelanjaan berterusan.

Muat turun di sebalik dinding bayaran

Jana kod secara percuma. Bayar untuk memuat turun dalam resolusi tinggi. Bayar lebih untuk mengalih keluar tanda air. Bayar lebih untuk SVG. Bayar lebih untuk corak "premium". Tiada satu pun daripada ini mencerminkan kos sebenar — kod QR ialah pengiraan 100 bait — tetapi setiap titik geseran menukar sebahagian pengguna menjadi pelanggan yang membayar.

Pendaftaran paksa

Kod QR adalah percuma dan statik, tetapi untuk memuat turun anda mesti membuat akaun. Kini mereka mempunyai e-mel anda dan produk beralih kepada e-mel jualan, pemerolehan pembeli dan perkhidmatan sampingan.

Keempat-empat strategi bergantung pada satu penipuan: pengguna tidak tahu bahawa kod QR hampir percuma untuk dihasilkan. Kebanyakan orang menganggap bayaran mesti mempunyai sebab. Ia tidak.

Kemudaratan sebenar

Ini bukan hipotetikal. Corak mempunyai akibat yang boleh dilihat:

• Restoran yang QR menu cetaknya tiba-tiba berhenti berfungsi selepas perubahan polisi
• Penganjur acara yang tertinggal dengan timbunan bahan promosi yang menunjuk ke pengalihan mati
• Perniagaan kecil yang kad perniagaan mereka menjadi tidak berguna di tengah-tengah kempen
• Organisasi bukan untung dengan kod QR derma yang rosak apabila langganan mereka tamat tempoh
• Gereja, muzium, sekolah — sesiapa sahaja tanpa pasukan IT khusus — tertinggal dengan bahan bercetak yang tidak boleh digunakan

Dalam kebanyakan kes, mangsa tidak pernah memahami apa yang berlaku. Mereka menganggap kod QR sentiasa rapuh atau mereka melakukan sesuatu yang salah. Model perniagaan penyedia bergantung pada kekeliruan ini. Jika kod anda berhenti berfungsi, baca mengapa kod QR berhenti berfungsi.

Mengapa ia terus berfungsi

Beberapa faktor menjadikan pemerasan kod QR sangat berkesan:

Perkataan "QR" adalah legap bagi kebanyakan orang. Bagi pengguna purata, kod QR ialah kotak hitam dan putih yang secara ajaib membuka pautan. Mereka tidak tahu ada perbezaan antara kod statik dan dinamik — antara muka penjana tidak pernah memberitahu mereka. Kami menulis perbandingan lengkap untuk membetulkan ini.

Kemudaratan ditangguhkan. Apabila kod QR dinamik rosak, mangsa biasanya telah lupa perkhidmatan mana yang mewujudkannya. Mereka tidak boleh memuat turun semula, mencetak semula atau memulihkan dengan mudah.

Kemudaratan adalah senyap. Kod QR yang rosak tidak mengalami kerosakan. Ia hanya tidak berfungsi — kelihatan seperti mana-mana masalah imbasan lain. Kebanyakan pengguna akan menyalahkan telefon mereka.

Hasil carian memihak kepada pemangsa. Syarikat yang mempunyai pendapatan membelanjakannya untuk SEO, iklan dan ladang kandungan. Alat QR statik yang jujur jarang mendahului mereka. Hasilnya: carian "penjana kod QR percuma" kebanyakannya membawa kepada produk dynamic-first.

Cara mengenal pasti perkhidmatan QR pemangsa

Sebelum menggunakan sebarang penjana QR, semak isyarat-isyarat ini:

1. Adakah ia memerlukan akaun? Tiada penjana QR statik memerlukannya — mengekod URL ke dalam corak adalah matematik sebelah pelanggan semata-mata. Sebarang keperluan pendaftaran adalah skim pengekstrakan.
2. Adakah ia menawarkan "penjejakan" atau "analitik"? Ciri yang mengira imbasan membuktikan kod itu dinamik. Kod QR statik tidak boleh menjejak apa-apa.
3. Adakah terdapat "pelan" atau "langganan"? Pengekodan QR hampir tidak menelan kos. Harga langganan hanya masuk akal jika perkhidmatan menahan kod anda sebagai tebusan.
4. Adakah halaman harga menyebut "tarikh tamat tempoh", "had imbasan" atau "kod QR boleh disunting"? Semua ini menunjukkan kod dinamik yang berjalan pada pelayan penyedia.
5. Adakah URL pratonton kelihatan seperti `qrco.de/xyz`? Itu URL pengalihan — anda sedang mencipta kod dinamik.
6. Adakah tapak mempunyai iklan berat atau skrip penjejakan? Perkhidmatan percuma dengan pengawasan memperoleh nilai dengan cara lain.

Kami mengumpulkan senarai penuh dalam artikel 5 bendera merah bahawa penjana QR anda adalah perangkap.

Apakah rupa kod QR statik

Penjana kod QR statik mengambil kandungan anda, mengekodnya terus ke dalam corak QR dan menyerahkan fail kepada anda. Itu sahaja. Tiada pengalihan, tiada penjejakan, tiada akaun, tiada langganan, tiada tarikh tamat tempoh.

Tapak ini adalah salah satunya. Semuanya berlaku dalam pelayar anda — pelayan kami tidak pernah mendapat apa yang anda kodkan. Anda boleh mengesahkannya dalam tab rangkaian pelayar anda: apabila anda menjana kod QR di sini, tiada data meninggalkan peranti anda.

Anda juga boleh menyemak apa yang ada dalam kod QR. Imbas mana-mana QR yang anda jana dengan pengimbas kami dan sahkan bahawa kandungan yang dinyahkod adalah tepat apa yang anda masukkan — tiada URL pembungkus, tiada pautan pendek, tiada pengalihan.

Mengapa kami membinanya

Kami bosan melihat orang yang berniat baik — pemilik perniagaan kecil, sukarelawan, artis, guru — terperangkap dalam penipuan QR. Alat yang mendakwa membantu mereka secara senyap mengumpul data mereka, bajet cetakan dan bayaran langganan masa hadapan.

Jadi kami membina sebaliknya.

Penjana ini percuma kerana menjana kod QR adalah percuma. Kami tidak mengenakan bayaran kerana tiada apa yang patut dicaj. Kami tidak mengumpul data kerana tiada data untuk dikumpul — kandungan QR anda tidak pernah meninggalkan pelayar anda. Kami tidak menawarkan penjejakan kerana penjejakan memerlukan menukar kod QR anda menjadi harta orang lain.

Kod QR kami adalah statik. Ia milik anda. Ia tidak pernah tamat tempoh. Ia tidak boleh dilumpuhkan. Jika tapak kami hilang esok, setiap kod QR yang pernah anda jana di sini masih akan berfungsi.

Apa yang anda boleh lakukan

1. Jangan sekali-kali gunakan kod QR dinamik untuk bahan bercetak. Jika anda tidak boleh mencetak semula dengan murah, statik adalah satu-satunya pilihan yang selamat.
2. Jika anda telah mencetak kod dinamik, anggaplah ia sebagai jangka pendek. Rancang ia untuk rosak. Simpan destinasi asal di tangan untuk memulihkan secara statik kemudian.
3. Beritahu orang lain. Kebanyakan pengguna bukan teknikal tidak tahu penipuan ini wujud. Penjelasan ringkas tentang statik vs dinamik menjimatkan mereka bertahun-tahun yuran langganan.
4. Jana kod QR anda yang seterusnya secara statik. Mulakan dengan penjana URL, WiFi, vCard, e-mel, telefon atau teks kami.

Kod QR ialah infrastruktur asas. Ia sepatutnya berkelakuan seperti infrastruktur asas — boleh diramal, kekal dan dimiliki oleh sesiapa yang membuatnya.

Kami membina tapak ini supaya sekurang-kurangnya di suatu tempat di internet ia masih melakukannya.