کویشنگ: QR جنریٹرز کے ڈومین سب سے زیادہ غلط استعمال

یہ دریافت اس بلاگ میں پیش کی گئی دلیل کو رائے کے بجائے ثبوت بنا دیتی ہے۔ کوئشنگ — یعنی QR کوڈ کے ذریعے پہنچائی جانے والی فشنگ — اس لیے کام کرتی ہے کہ مطبوعہ مربع کو آنکھ سے پڑھا نہیں جا سکتا۔ لیکن یہ *بڑے پیمانے پر پھیلتی* اس لیے ہے کہ جائز کاروباروں نے ایک دہائی تک لوگوں کو یہ سکھایا ہے کہ کسی نامانوس مختصر ڈومین کو اسکین کرنا معمول کی بات ہے۔

فروری 2026 کے Unit 42 ٹیلی میٹری میں روزانہ اوسطاً 11,000 سے زیادہ نقصان دہ QR کوڈز کی نشاندہی ہوئی۔ QR شارٹنرز سے گزرنے والی ٹریفک 2023 کی پہلی ششماہی سے 2024 کی پہلی ششماہی تک 55% بڑھی، اور 2025 کی پہلی ششماہی تک مزید 44% اضافہ ہوا۔ FBI اور FTC دونوں نے عوامی انتباہات جاری کیے ہیں: Internet Crime Complaint Center نے کوڈز میں چھیڑ چھاڑ کے ذریعے رقم اور اسناد چوری کرنے والے مجرموں پر PSA 220118 شائع کیا، اور جولائی 2025 میں QR کوڈ والے غیر مطلوب پیکجز کے بارے میں مزید انتباہ دیا، جبکہ FTC نے خبردار کیا کہ دھوکے باز جائز کوڈز پر اپنے اسٹیکر لگا دیتے ہیں، خاص طور پر پارکنگ میٹرز کا نام لیتے ہوئے۔

اسکین کرنے سے پہلے QR کوڈ کیوں نہیں جانچا جا سکتا؟

لوگوں کو کچھ حد تک کامیابی کے ساتھ یہ سکھایا گیا ہے کہ کلک کرنے سے پہلے لنک کا جائزہ لیں: کرسر لے جائیں، ڈومین پڑھیں، ہجے کی غلطی تلاش کریں۔ یہ دفاع اس بات پر منحصر ہے کہ آپ URL دیکھ سکیں۔

QR کوڈ اس دفاع کو ناکام بنا دیتا ہے۔ منزل ایک ایسے نمونے میں کوڈ کی جاتی ہے جسے کوئی انسان آنکھ سے نہیں پڑھ سکتا۔ کرسر لے جانے کا سوال ہی نہیں۔ آپ کیمرہ ایک مربع کی طرف کرتے ہیں اور یا تو کچھ کھل جاتا ہے یا نہیں کھلتا۔ دفاع کا واحد ممکنہ لمحہ وہ پیش نظارہ ہے جو کچھ اسکینرز پہلے دکھاتے ہیں — اور چھوٹی اسکرین پر، جلدی میں، یہ پیش نظارہ ایک کٹی ہوئی عبارت ہوتی ہے جسے زیادہ تر لوگ نہیں پڑھتے۔

اہم حملے کیسے کیے جاتے ہیں؟

NCSC ای میل کے معاملے کو واضح طور پر بیان کرتا ہے: تمام سکیورٹی ٹولز تصاویر اسکین نہیں کرتے، اس لیے نقصان دہ سائٹ کی طرف لے جانے والا QR کوڈ ان فلٹرز سے گزر سکتا ہے جو اسی لنک کو متن کی صورت میں پکڑ لیتے — اور صارفین عموماً ذاتی فون سے اسکین کرتے ہیں جس میں ادارے کے زیرِ انتظام کمپیوٹر جیسی حفاظت نہیں ہوتی۔ ہمارا Wi-Fi QR کوڈ صفحہ اس پے لوڈ فارمیٹ کی وضاحت کرتا ہے؛ یہ جاننا کہ وہ کیسا دکھتا ہے، آپ کو اسے جانچنے کے قابل بناتا ہے۔

ری ڈائریکٹس نے آخری دفاع کیسے ختم کر دیا؟

فرض کریں ہر جائز کاروبار اپنے ڈومین پر مشتمل جامد کوڈ استعمال کرتا۔ اسکینر کا پیش نظارہ restaurant-name.com/menu، cityparking.gov/pay یا yourbank.com/verify دکھاتا۔ یہ قابلِ شناخت ہوتے۔ اگر پیش نظارہ x7q-cdn.click/8Hf2 دکھاتا تو وہ واضح طور پر غلط معلوم ہوتا، کیونکہ اس شخص کے پہلے اسکین کیے گئے ہر جائز کوڈ سے مختلف ہوتا۔

ہماری دنیا ایسی نہیں ہے۔ جائز کوڈز کی بہت بڑی تعداد — ریستورانوں، خوردہ فروشوں، عجائب گھروں، ٹرانزٹ اداروں اور حتیٰ کہ سرکاری محکموں کے — تیسرے فریق کے مختصر ڈومینز کے ذریعے منزل تک پہنچتی ہے، جن کا اسکین کرنے والے کے لیے کوئی مطلب نہیں ہوتا۔ نتیجہ بالکل واضح ہے: QR پیش نظارہ میں نامانوس ڈومین اب کوئی اشارہ نہیں دیتا۔ لوگوں کو اسے نظرانداز کرتے ہوئے اسکین کرنے کی تربیت مل چکی ہے، اور وہ یہ کام سینکڑوں بار بغیر نقصان کے کر چکے ہیں۔

Unit 42 نتیجہ صاف الفاظ میں بیان کرتا ہے: "حتیٰ کہ وہ لوگ بھی جو سکیورٹی کا خیال رکھتے ہیں اور اسکین کرنے سے پہلے URL کا پیش نظارہ دیکھتے ہیں، مختصر لنک پیش کیے جانے پر آخری منزل کا تعین نہیں کر سکتے۔" ری ڈائریکٹ صنعت نے کوئشنگ ایجاد نہیں کی۔ اس نے عام لوگوں کے پاس موجود واحد حفاظتی اندازہ ختم کر دیا — اس طریقۂ کار کی وضاحت ری ڈائریکٹ ہائی جیکنگ میں کی گئی ہے۔

تین ثانوی اثرات

• پردہ پوشی۔ ری ڈائریکٹ مختلف زائرین کو مختلف منزلیں دکھا سکتا ہے — محقق کو محفوظ مواد، جبکہ ہدف والے شہر کے فون کو اصل پے لوڈ۔ جامد کوڈ ایسا نہیں کر سکتا؛ اس کا پے لوڈ سب کے لیے مقرر اور یکساں ہوتا ہے۔
• تاخیر سے فعال ہونا۔ کوئی کوڈ کئی ہفتوں تک بے ضرر جگہ کی طرف اشارہ کر سکتا ہے، جائزہ پاس کر سکتا ہے، اور بعد میں تبدیل کیا جا سکتا ہے۔ یہی ترمیم کی سہولت صنعت بطور فیچر فروخت کرتی ہے۔
• ساکھ کو جائز بنانا۔ معروف شارٹنر ڈومین جس چیز کی طرف ری ڈائریکٹ کرتا ہے، اسے بھی قابلِ اعتماد ظاہر کرتا ہے۔

اسکین کرتے وقت آپ خود کو کیسے محفوظ رکھ سکتے ہیں؟

1. پیش نظارہ میں ڈومین پڑھیں۔ اگر آپ کا اسکینر یہ نہیں دکھاتا تو ایسا اسکینر استعمال کریں جو دکھاتا ہو۔ NCSC اسٹور سے حاصل کردہ ایپ کے بجائے فون میں پہلے سے موجود اسکینر استعمال کرنے کی تجویز دیتا ہے۔
2. غیر مطلوب ڈاک یا ای میل میں موجود ہر کوڈ کو خطرناک سمجھیں۔ جائز اداروں کو فوری اکاؤنٹ مسئلہ حل کرنے کے لیے عموماً آپ سے مطبوعہ مربع اسکین کروانے کی ضرورت نہیں ہوتی — اوپر دیے گئے دونوں FBI انتباہات بالکل اسی معاملے سے متعلق ہیں۔
3. اسٹیکرز کو جسمانی طور پر جانچیں۔ ایک کنارہ اکھاڑ کر دیکھیں۔ اسٹیکر کے اوپر اسٹیکر کوئشنگ کا سب سے عام طریقہ ہے، اور اسے انگلی سے محسوس کیا جا سکتا ہے۔
4. اسکین کر کے کھلنے والے صفحے پر کبھی ادائیگی کی تفصیلات درج نہ کریں۔ خود ایڈریس ٹائپ کر کے یا ایپ کھول کر سروس تک پہنچیں۔
5. شک ہو تو اسکین کرنے کے بجائے ڈی کوڈ کریں۔ کوڈ کی تصویر لیں اور کچھ کھولے بغیر ہمارے ڈی کوڈر صفحے پر اس کا پے لوڈ پڑھیں۔

اگر آپ پہلے ہی نقصان دہ کوڈ اسکین کر چکے ہیں تو کیا کریں؟

صرف اسکین کرنے سے تقریباً کبھی فون متاثر نہیں ہوتا۔ اہم بات یہ ہے کہ اس کے بعد کیا ہوا، اس لیے اسی بنیاد پر فوری جائزہ لیں۔

1. اگر آپ نے صرف صفحہ دیکھا اور بند کر دیا تو غالب امکان ہے کہ آپ بالکل محفوظ ہیں۔ اگر رپورٹ کرنے کی ضرورت پڑے تو ڈومین نوٹ کر لیں، پھر آگے بڑھیں۔
2. اگر آپ نے پاس ورڈ درج کیا تو اسے فوراً اصل سائٹ پر تبدیل کریں، اور جہاں کہیں وہی پاس ورڈ دوبارہ استعمال کیا ہو وہاں بھی بدلیں۔ اسی وقت کثیر مرحلہ تصدیق فعال کر دیں۔
3. اگر آپ نے کارڈ کی تفصیلات درج کیں تو کسی اور چیز کی جانچ سے پہلے ابھی اپنے بینک کو فون کریں یا بینکنگ ایپ میں کارڈ منجمد کریں۔ اسے متنازع خریداری نہیں بلکہ جعلی صفحے کے طور پر رپورٹ کریں۔
4. اگر آپ نے کوئی چیز انسٹال کی تو اسے اَن انسٹال کریں، پھر ایپ کی اجازتوں اور کسی بھی ڈیوائس ایڈمنسٹریٹر یا ایکسیسبیلٹی اجازت کا جائزہ لیں جو اس نے مانگی ہو۔ زیادہ تر موبائل حملوں میں پے لوڈ یہی اجازتیں ہوتی ہیں۔
5. اگر آپ کسی کوڈ سے Wi-Fi نیٹ ورک میں شامل ہوئے تو نیٹ ورک کو بھول جائیں اور فرض کریں کہ جڑنے کے دوران بھیجی گئی ہر چیز دیکھی جا سکتی تھی۔
6. رپورٹ کریں۔ امریکا میں FBI کا IC3 رپورٹس لیتا ہے اور FTC صارفین کی شکایات وصول کرتا ہے؛ برطانیہ میں Action Fraud سے رابطہ کریں۔ اگر کوڈ عوامی تنصیب پر لگا اسٹیکر تھا تو سطح کے مالک کو بھی بتائیں — پارکنگ اتھارٹی ایسا اسٹیکر نہیں ہٹا سکتی جس کے بارے میں اسے علم ہی نہ ہو۔

ایک کام نہ کریں: یہ نہ سمجھیں کہ اسکین کرنے کی غلطی آپ کی تھی۔ FBI اور FTC دونوں نے عوامی انتباہات اسی لیے جاری کیے ہیں کہ یہ کوڈ جان بوجھ کر جائز کوڈز سے الگ پہچانے نہیں جا سکتے۔

کاروبار کی حیثیت سے آپ اپنے صارفین کو کیسے محفوظ رکھ سکتے ہیں؟

اگر آپ QR کوڈز چھاپتے ہیں تو آپ کے فیصلے طے کرتے ہیں کہ آپ کے صارفین اپنا دفاع کر بھی سکتے ہیں یا نہیں۔

1. اپنے ڈومین پر مشتمل جامد کوڈ استعمال کریں۔ اس صورت میں پیش نظارہ آپ کا نام دکھاتا ہے، جو اسکین کے وقت دستیاب واحد تصدیقی اشارہ ہے۔ یہ آپ کے لیے دستیاب سب سے زیادہ اثر رکھنے والی واحد تبدیلی ہے۔
2. کوڈ کے ساتھ URL واضح متن میں چھاپیں۔ اس سے لوگوں کو اسکین کے بغیر راستہ ملتا ہے، اور موازنہ کرنے کے لیے ایک چیز بھی دستیاب رہتی ہے۔
3. اپنے جسمانی کوڈز کو مقررہ وقفوں سے جانچیں۔ اوپر چڑھے اسٹیکرز اسی وقت کام کرتے ہیں جب کوئی انہیں چیک نہ کرے۔
4. صارفین کو کبھی ایسے ڈومین سے نہ گزاریں جس میں آپ کا نام شامل نہ ہو۔ اس سے انہیں سکھایا جاتا ہے کہ غیر واضح منزلیں قابلِ قبول ہیں، اور آپ یہ بتانے سے بھی قاصر رہتے ہیں کہ آپ کا جائز کوڈ کیسا دکھتا ہے۔

یہاں ایک مفید مطابقت موجود ہے: جو انتخاب آپ کو سبسکرپشن یرغمال بنانے سے محفوظ رکھتا ہے، وہی آپ کے صارفین کو فشنگ سے بھی محفوظ رکھتا ہے۔

ایسا جامد کوڈ بنائیں جو پیش نظارہ میں آپ کا اپنا ڈومین دکھائے: URL QR کوڈ۔ مزید مطالعہ: QR کوڈ اسکیمز کی حقیقت。