Quishing: QR generator ang pangunahing inaabuso

Ang natuklasang ito ang nagbabago sa argumento ng blog na ito mula opinyon tungo sa ebidensya. Ang quishing—phishing na ipinapadala sa pamamagitan ng QR code—ay gumagana dahil hindi mabasa ng mata ang nakaimprentang parisukat. Ngunit *lumalawak* ito dahil isang dekada nang tinuturuan ng mga lehitimong negosyo ang publiko na normal lang mag-scan ng hindi pamilyar na maikling domain.

Sa telemetry ng Unit 42 noong Pebrero 2026, may average na mahigit 11,000 nakahahamak na QR code detection bawat araw, at tumaas nang 55% ang trapikong dumaraan sa QR shortener mula unang kalahati ng 2023 hanggang unang kalahati ng 2024, at sumunod pang tumaas nang 44% hanggang unang kalahati ng 2025. Naglabas ng pampublikong babala ang FBI at FTC: inilathala ng Internet Crime Complaint Center ang PSA 220118 tungkol sa pakikialam ng mga kriminal sa mga code upang magnakaw ng pera at kredensyal, at noong Hulyo 2025 ay naglabas ito ng dagdag na babala tungkol sa mga kusang ipinadalang package na may QR code, habang nagbabala ang FTC na tinatakpan ng mga scammer ang lehitimong code gamit ang sarili nilang sticker, partikular na binanggit ang mga parking meter.

Bakit hindi masusuri ang QR code bago ito i-scan?

Itinuro sa mga tao, at may ilang tagumpay naman, na suriin ang link bago ito i-click: i-hover ang pointer, basahin ang domain, at hanapin ang maling baybay. Nakadepende ang depensang ito sa kakayahang makita ang URL.

Nabibigo ito ng QR code. Naka-encode ang destinasyon sa isang pattern na hindi kayang i-decode ng tao gamit ang mata. Walang pag-hover. Itinutok mo ang camera sa isang parisukat at maaaring may bumukas o wala. Ang tanging posibleng sandali ng depensa ay ang preview na ipinapakita muna ng ilang scanner—at sa maliit na screen, habang nagmamadali, ang preview na iyon ay pinaikling string na hindi binabasa ng karamihan.

Ano ang hitsura ng mga pangunahing pag-atake?

Malinaw na binabanggit ng NCSC ang punto tungkol sa email: hindi lahat ng security tool ay nagsa-scan ng mga larawan, kaya maaaring makalusot sa mga filter ang QR code na tumuturo sa isang nakahahamak na site—samantalang mahuhuli sana ang parehong link kung teksto ito. Karaniwan ding nag-i-scan ang mga user gamit ang personal na teleponong walang proteksyong mayroon ang computer na pinamamahalaan ng employer. Ipinaliliwanag ng aming pahina tungkol sa Wi-Fi QR code ang format ng payload na iyon; ang pagkilala sa itsura nito ang nagbibigay-daan upang masuri mo ito.

Paano winasak ng mga redirect ang huling depensa?

Ipagpalagay na gumagamit ang bawat lehitimong negosyo ng mga static code na nag-e-encode ng sarili nitong domain. Ipapakita ng preview ng scanner ang restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Makikilala ang mga ito. Kaya ang preview na nagpapakita ng x7q-cdn.click/8Hf2 ay agad magmumukhang mali, dahil iba ito sa bawat lehitimong code na dati nang na-scan ng taong iyon.

Hindi iyon ang mundong kinalalagyan natin. Napakaraming lehitimong code—mula sa mga restaurant, retailer, museo, ahensiya ng transportasyon, pati mga sangay ng gobyerno—ang dumaraan sa third-party short domain na walang kahulugan sa taong nag-i-scan. Direkta ang resulta: wala nang ipinahihiwatig ang hindi pamilyar na domain sa QR preview. Sinanay ang mga tao na lampasan ito sa pag-scan, daan-daang beses, nang walang masamang nangyayari.

Diretsahang sinabi ng Unit 42 ang resulta: "Kahit ang mga taong maingat sa seguridad at nagsusuri ng URL preview bago mag-scan ay hindi matukoy ang huling destinasyon kapag pinaikling link ang ipinakita." Hindi ang industriya ng redirect ang lumikha ng quishing. Inalis nito ang tanging heuristic na mayroon ang karaniwang tao laban dito—inilalarawan ang mekanismo sa redirect hijacking.

Tatlong karagdagang epekto

• Pagtatago ng destinasyon. Maaaring maghatid ang redirect ng magkakaibang destinasyon sa iba't ibang bisita—ligtas na content sa researcher, at ang tunay na payload sa teleponong nasa target na lungsod. Hindi ito magagawa ng static code; nakapirmi at pareho sa lahat ang payload nito.
• Naantalang pag-activate. Maaaring tumuro muna ang code sa isang ligtas na lugar nang ilang linggo, makalusot sa pagsusuri, at saka palitan. Ito rin ang kakayahang mag-edit na ibinebenta ng industriya bilang feature.
• Pagpapahiram ng reputasyon. Nagbibigay ng lehitimong dating ang kilalang shortener domain sa anumang destinasyong ipinapasa nito.

Paano mo mapoprotektahan ang sarili kapag nag-i-scan?

1. Basahin ang domain sa preview. Kung hindi nagpapakita ng domain ang scanner mo, gumamit ng scanner na nagpapakita nito. Inirerekomenda ng NCSC ang scanner na kasama sa telepono mo kaysa app mula sa store.
2. Ituring na mapanganib ang anumang code sa kusang ipinadalang sulat o email. Bihirang kailanganin ng mga lehitimong organisasyon na mag-scan ka ng nakaimprentang parisukat para lutasin ang agarang problema sa account—parehong tungkol dito ang dalawang babala ng FBI sa itaas.
3. Suriin nang pisikal ang mga sticker. Balatan ang gilid. Ang sticker na nakapatong sa isa pang sticker ang pinakakaraniwang setup ng quishing, at matutukoy ito sa paghipo.
4. Huwag kailanman maglagay ng detalye ng bayad sa pahinang narating mo sa pamamagitan ng pag-scan. Ikaw mismo ang pumunta sa serbisyo sa pamamagitan ng pag-type ng address o pagbukas ng app.
5. I-decode sa halip na i-scan kapag hindi sigurado. Kuhanan ng larawan ang code at basahin ang payload nito sa aming decoder page nang walang binubuksan.

Paano kung nakapag-scan ka na ng nakahahamak na code?

Ang pag-scan mismo ay halos hindi kailanman nakokompromiso ang telepono. Ang mahalaga ay kung ano ang nangyari pagkatapos, kaya doon ibatay ang pag-triage.

1. Kung tumingin ka lang sa isang pahina at isinara ito, malamang ay ligtas ka. Itala ang domain kung kailangan mo itong i-report, at magpatuloy.
2. Kung naglagay ka ng password, palitan ito agad sa tunay na site, at palitan din ito saanman mo ito ginamit muli. I-enable ang multi-factor authentication habang naroon ka.
3. Kung naglagay ka ng detalye ng card, tawagan ngayon ang bangko mo o i-freeze ang card sa banking app, bago gumawa ng iba pa. I-report ito bilang mapanlinlang na pahina, hindi bilang pinagtatalunang pagbili.
4. Kung may na-install ka, i-uninstall ito, saka suriin ang mga pahintulot ng app at anumang device-administrator o accessibility grant na maaaring hiningi nito. Ang mga pahintulot na iyon ang payload sa karamihan ng mobile case.
5. Kung sumali ka sa Wi-Fi network mula sa isang code, kalimutan ang network at ipagpalagay na maaaring nakita ang anumang ipinadala mo habang nakakonekta.
6. I-report ito. Sa US, tumatanggap ng report ang IC3 ng FBI at tumatanggap ng reklamo ng consumer ang FTC; sa UK, Action Fraud. Kung sticker ang code sa pampublikong imprastraktura, sabihin din ito sa may-ari ng ibabaw—hindi maaalis ng awtoridad sa paradahan ang overlay na hindi nito alam.

Isang bagay na huwag gawin: isipin na kasalanan mo ang pag-scan. Naglabas ng pampublikong babala ang FBI at FTC dahil sadyang hindi makilala ang mga code na ito sa lehitimong code.

Paano mo mapoprotektahan ang mga customer mo bilang negosyo?

Kung nag-iimprenta ka ng QR code, ang mga pagpili mo ang magpapasya kung may paraan ngang maipagtanggol ng mga customer mo ang sarili nila.

1. Gumamit ng static code na nag-e-encode ng sarili mong domain. Ipapakita ng preview ang pangalan mo, na siyang tanging signal ng pag-verify na available sa oras ng pag-scan. Ito ang pinakamalaking pagbabagong maaari mong gawin.
2. I-imprenta ang URL sa nababasang teksto sa tabi ng code. Nagbibigay ito sa mga tao ng paraang hindi nangangailangan ng pag-scan, at ng bagay na maikukumpara.
3. Regular na siyasatin ang mga pisikal na code. Gumagana lang ang overlay sticker habang walang nagsusuri.
4. Huwag kailanman dumaan ang mga customer sa domain na hindi naglalaman ng pangalan mo. Itinuturo nito sa kanila na ayos lang ang malabong destinasyon, at hindi mo maipapakita kung ano ang hitsura ng lehitimong code mo.

May kapaki-pakinabang na pagkakatugma rito: ang pagpiling nagpoprotekta sa iyo laban sa subscription hostage-taking ay siya ring nagpoprotekta sa mga customer mo laban sa phishing.

Bumuo ng static code na nagpapakita ng sarili mong domain sa preview: URL QR code. Karagdagang babasahin: ang katotohanan tungkol sa mga QR code scam.