Decodifică, nu scana: citește întâi conținutul QR

Există două situații în care trebuie să faci asta: urmează să scanezi un cod în care nu ai deplină încredere sau urmează să tipărești un cod generat în altă parte. Aceeași tehnică le rezolvă pe ambele.

Pasul 1 — Citește încărcătura în loc să o deschizi

Un cod QR conține text. Un scaner decodifică textul și acționează imediat — deschide URL-ul, conectează dispozitivul la rețeaua Wi-Fi, inițiază apelul. Un decodor decodifică același text și pur și simplu ți-l afișează. Această diferență reprezintă întreaga marjă de siguranță.

Fotografiază sau capturează ecranul cu acel cod și decodifică imaginea în cititorul nostru de coduri QR. Acesta rulează integral în browser: imaginea nu este încărcată nicăieri și nimic nu este deschis. Primești încărcătura brută sub formă de text.

Pasul 2 — Află ce tip de încărcătură este

Încărcăturile QR respectă formate recognoscibile. Citirea prefixului îți spune ce ar fi făcut un scaner.

Paginile noastre despre tipuri documentează fiecare format dacă vrei să vezi cum este construit unul legitim: Wi-Fi, vCard, e-mail, telefon, text simplu.

Pasul 3 — Evaluează domeniul

Pentru o încărcătură URL, domeniul este ceea ce contează — citește-l de la dreapta la stânga, pornind de la prima bară oblică simplă. În https://pay.cityparking.gov/meter/44, domeniul este cityparking.gov. În https://cityparking.gov.pay-now.click/meter/44, este pay-now.click, iar partea recognoscibilă este doar decor.

O precizare despre serviciile de scurtare: faptul că recunoști serviciul nu îți spune care este destinația. Unitatea 42 o spune direct — „Chiar și persoanele atente la securitate, care verifică previzualizarea URL-ului înainte de scanare, nu pot determina destinația finală când primesc linkuri scurtate” — iar cele trei servicii identificate de ei ca fiind cel mai frecvent abuzate sunt domenii obișnuite de redirecționare ale generatoarelor de coduri QR. Un serviciu de scurtare familiar nu este un motiv de încredere.

Pasul 4 — Urmărește lanțul de redirecționări

Dacă încărcătura este un link scurt și trebuie să știi unde ajunge în realitate, rezolvă-l fără să încarci pagina. Dintr-un terminal:

Rulează curl -sIL "https://short.example/abc" | grep -i "^location:" — aceasta afișează fiecare salt din lanț în antetul Location, fără să execute conținutul paginii. Observă câte salturi apar: un singur salt către destinația așteptată este obișnuit, în timp ce mai multe salturi prin gazde fără legătură indică de obicei intermediari de analiză sau publicitate, fiecare dintre aceștia văzând solicitarea. Ce înregistrează un proxy QR explică ce colectează aceste salturi.

Două precizări. O redirecționare îți poate afișa o destinație ție și alta unei alte persoane, în funcție de IP, agentul utilizatorului sau momentul — prin urmare, un rezultat curat dovedește ce s-a întâmplat pentru tine, atunci, nu ce va primi un client din altă țară. Iar destinația unui cod dinamic poate fi schimbată în orice moment ulterior, exact pentru această funcție fiind vândut.

Cum verifici un cod primit prin e-mail?

Tratează aceasta ca pe o situație separată și mai periculoasă. NCSC observă că codurile QR sunt folosite în mod special în e-mailurile de phishing deoarece nu toate instrumentele de securitate scanează imaginile, așa că un cod poate transporta un link rău intenționat pe lângă filtrele care ar fi detectat același link în format text — iar scanarea te mută pe un telefon personal, cu protecție mai slabă decât cea a computerului de serviciu.

Verificarea este simplă. Salvează imaginea din e-mail în loc să o scanezi de pe ecran, decodifică fișierul și citește domeniul. Fă asta pe computer, nu pe telefon, ca să nu părăsești niciodată dispozitivul protejat. Dacă domeniul nu corespunde exact organizației de la care pretinde e-mailul că provine, oprește-te — și contactează organizația prin metoda pe care o folosești în mod normal, nu prin nimic din mesaj.

Semnalul de urmărit este urgența asociată cu un cod: o problemă la livrare, o notificare fiscală, o căsuță poștală aproape plină, un cont care trebuie verificat astăzi. Organizațiile legitime rareori au nevoie să scanezi un pătrat tipărit pentru a rezolva o problemă urgentă de cont. Quishing prezintă în detaliu tiparele acestor atacuri.

Ce nu îți poate spune un decodor?

Claritatea cu privire la limite face ca verificarea să rămână corectă.

• Dacă destinația este sigură. Un decodor îți arată adresa, nu conținutul. Un domeniu recognoscibil poate găzdui în continuare o pagină compromisă.
• Ce primesc alte persoane. O redirecționare poate oferi destinații diferite în funcție de IP, agentul utilizatorului sau momentul zilei. Rezultatul tău curat descrie solicitarea ta, în acel moment.
• Ce se va întâmpla mâine. Destinația unui cod dinamic poate fi schimbată oricând după verificare. Pentru asta este vândut și de aceea „l-am verificat o dată” nu este o afirmație durabilă despre un cod dinamic.
• Dacă exemplarul tipărit corespunde fișierului. Autocolantele aplicate peste cod înseamnă că grafica aprobată de tine și obiectul de pe perete pot fi diferite. Doar decodificarea unui exemplar fizic îți spune ceva despre acel exemplar fizic.

Primele și ultimele limite explică de ce recomandările pentru companii din acest blog revin mereu la același punct: un cod static pe propriul tău domeniu este singura situație în care o verificare făcută o singură dată rămâne valabilă.

Pasul 5 — Verifică grafica înainte să ajungă la tipar

Durează un minut și previne o întreagă categorie de probleme costisitoare.

1. Exportă grafica finală exact în forma în care va fi tipărită.
2. Decodifică acel fișier — nu fișierul din previzualizarea generatorului.
3. Confirmă că încărcătura este URL-ul dorit, pe un domeniu pe care îl deții.
4. Dacă este un link scurt pe domeniul altcuiva, nu îl tipări. Regenerează-l ca pe un cod static.
5. Scanează exemplarul tipărit imediat ce ajunge și confirmă că duce în continuare unde trebuie.

Dacă un cod este deja tipărit și verificarea vine prea târziu, ghidul pentru recuperarea controlului asupra codului prezintă opțiunile rămase. Dacă a încetat să funcționeze și încă nu știi de ce, începe cu motivele pentru care codul tău QR a încetat să funcționeze.

Codurile generate aici se decodifică întotdeauna exact în ceea ce ai introdus: cod QR pentru URL. Mai multe informații în adevărul despre escrocheriile cu coduri QR.