کلاهبرداری با کیو آر کد که معمولاً به آن کیشینگ (Quishing) می‌گویند، از یک کیو آر کد برای فرستادن شما به یک سایت جعلی استفاده می‌کند تا رمز عبور، اطلاعات کارت یا پولتان را بدزدد. چون کیو آر کد با چشم خوانده نمی‌شود، کلاهبرداران لینک‌های مخرب را داخل آن پنهان می‌کنند. بهترین دفاع ساده است: همیشه قبل از باز کردن لینک یا پرداخت، پیش‌نمایش آن را بررسی کنید.
کیو آر کدها راحت‌اند و دقیقاً به همین دلیل مجرمان آن‌ها را دوست دارند. در ادامه می‌خوانید کیشینگ چطور کار می‌کند و چطور آن را تشخیص دهید.
کیشینگ چیست؟
کیشینگ ترکیبی از «QR» و «فیشینگ» است. فیشینگ به هر ترفندی گفته می‌شود که خودش را جای یک سازمان معتبر مثل بانک، شرکت پست یا یک اداره دولتی جا می‌زند تا شما اطلاعات حساس را تحویل دهید. کیشینگ همین کار را می‌کند، اما لینک جعلی را به جای یک لینک قابل کلیک، از طریق کیو آر کد به دست شما می‌رساند.
این روش به چند دلیل برای کلاهبرداران جواب می‌دهد:
- لینک را نمی‌بینید. یک کیو آر کد چه به بانک شما برود و چه به نسخه جعلی آن، ظاهرش یکی است.
- شما را به سمت گوشی می‌برد. روی صفحه کوچک گوشی، بررسی نوار آدرس یا متوجه شدن یک دامنه با غلط املایی جزئی سخت‌تر است.
- ممکن است از فیلترها رد شود. فیلترهای ایمیل و پیام در تشخیص لینک‌های مشکوک داخل متن خوب عمل می‌کنند، اما شناسایی لینکی که داخل یک تصویر پنهان شده می‌تواند سخت‌تر باشد.
- مردم به کیو آر کد اعتماد دارند. هر روز در رستوران و فروشگاه کیو آر کد اسکن می‌کنیم، پس کمتر مکث می‌کنیم و فکر می‌کنیم.
نهادهای حمایت از مصرف‌کننده و بانک‌ها در کشورهای زیادی درباره کلاهبرداری با کیو آر کد به مردم هشدار داده‌اند؛ به‌خصوص درباره کدهای جعلی روی پارکومترها، تابلوهای پرداخت و داخل ایمیل‌ها.
کلاهبرداری با کیو آر کد کجا دیده می‌شود؟
کیشینگ تقریباً هر جایی که انتظار کیو آر کد می‌رود ممکن است سر برسد. رایج‌ترین جاها عبارت‌اند از:
- برچسب روی وسایل عمومی. یک کد جعلی که روی کد اصلی پارکومتر، شارژر خودروی برقی، ایستگاه دوچرخه اجاره‌ای یا ایستگاه اتوبوس چسبانده شده است.
- پیشخوان پرداخت. کیو آر کد پرداختی که در یک مغازه یا غرفه بازار عوض شده و پول را به جای فروشنده به حساب کلاهبردار می‌فرستد.
- ایمیل‌ها. پیام‌هایی که ادعا می‌کنند رمز عبور شما در حال منقضی شدن است، سندی باید امضا شود یا حسابتان قفل شده، همراه با یک کیو آر کد برای «حل مشکل».
- نامه‌ها و اعلان‌های مرسوله. کارت‌های جعلی «مرسوله تحویل نشد» یا نامه‌هایی با ظاهر رسمی که می‌خواهند اسکن کنید و یک مبلغ کوچک بپردازید.
- تراکت و پوستر. پیشنهادهایی که بیش از حد خوب به نظر می‌رسند، مثل هدیه رایگان یا تخفیف‌های عجیب، که به یک فروشگاه جعلی یا فرم جمع‌آوری اطلاعات می‌روند.
- شبکه‌های اجتماعی و پیام‌رسان‌ها. کدهایی که در گروه‌ها یا پیام خصوصی فرستاده می‌شوند، اغلب همراه با حس فوریت.
برای سناریوهای واقعی‌تر، راهنمای ما درباره رایج‌ترین کلاهبرداری‌های کیو آر کد را ببینید.
نشانه‌های کیو آر کد جعلی
برای تشخیص بیشتر کلاهبرداری‌های کیو آر کد به مهارت فنی نیاز ندارید. به این علامت‌های هشدار دقت کنید:
- برچسبی روی یک کد دیگر. انگشتتان را روی کد بکشید. اگر برجسته است، لبه‌هایش ور آمده یا از تابلوی اطرافش نوتر به نظر می‌رسد، مشکوک شوید.
- لینکی که جور درنمی‌آید. پیش‌نمایش دامنه‌ای را نشان می‌دهد که دامنه واقعی آن سازمان نیست، غلط املایی عجیبی دارد یا رشته‌ای طولانی از حروف تصادفی است.
- فوریت یا تهدید. «حساب شما امروز بسته می‌شود» یا «ظرف یک ساعت پرداخت کنید» یک تاکتیک کلاسیک برای تحت فشار گذاشتن است.
- درخواست اطلاعات ورود یا کارت. پارکومتر، منو یا اعلان مرسوله به ندرت به رمز بانکی شما نیاز دارد.
- دانلود برنامه‌ای که انتظارش را نداشتید. اگر کیو آر کدی از شما خواست برنامه‌ای نصب کنید، به‌خصوص خارج از فروشگاه رسمی اپلیکیشن، بسیار محتاط باشید.
- کیو آر کدی در ایمیل که می‌خواهد وارد حساب شوید. سرویس‌های معتبر معمولاً اجازه می‌دهند با رفتن مستقیم به سایت یا اپلیکیشنشان وارد شوید.
- نام گیرنده اشتباه هنگام پرداخت. اگر نامی که اپلیکیشن بانکی نشان می‌دهد نام مغازه‌ای نیست که به آن پرداخت می‌کنید، دست نگه دارید.
چطور از خودمان در برابر کلاهبرداری با کیو آر کد محافظت کنیم؟
عادت‌های خوب، کیشینگ را خیلی کم‌اثرتر می‌کنند. این یک چک‌لیست کاربردی است:
- اول پیش‌نمایش را بخوانید. دوربین شما لینک را قبل از باز کردن نشان می‌دهد. دو ثانیه وقت بگذارید و دامنه را بخوانید.
- در صورت شک، مستقیم بروید. به جای اسکن، آدرس سایت شرکت را خودتان تایپ کنید یا اپلیکیشن رسمی آن را باز کنید.
- قبل از پرداخت گیرنده را بررسی کنید. اپلیکیشن‌های بانکی نشان می‌دهند پول به چه کسی می‌رسد. مطمئن شوید با کسب‌وکار مورد نظر یکی است. راهنمای ما درباره امنیت پرداخت با کیو آر کد این موضوع را با جزئیات توضیح می‌دهد.
- هرگز بعد از اسکن یک کد ناشناس رمز عبور وارد نکنید. اگر صفحه‌ای از شما خواست وارد شوید، آن را ببندید و از طریق اپلیکیشن رسمی وارد شوید.
- ورود دو مرحله‌ای را فعال کنید. حتی اگر رمز عبوری دزدیده شود، یک برنامه احراز هویت (Authenticator) مانع دوم را ایجاد می‌کند.
- گوشی‌تان را به‌روز نگه دارید. به‌روزرسانی‌های امنیتی ضعف‌هایی را برطرف می‌کنند که صفحات مخرب ممکن است از آن‌ها سوءاستفاده کنند.
- از اسکنری استفاده کنید که پیش‌نمایش امن نشان می‌دهد. وقتی مطمئن نیستید، کد را با ابزاری اسکن کنید که قبل از باز کردن هر چیزی مقصد را نشان دهد.
در QR-TH هر لینک کوتاه هنگام ساخت با Google Safe Browsing بررسی می‌شود و هر شب دوباره بررسی می‌شود. بازدیدکنندگان همچنین می‌توانند یک صفحه بارگذاری ببینند که قبل از باز شدن لینک نشان می‌دهد به کجا می‌رود. چنین ابزارهایی کمک می‌کنند، اما در کنار قضاوت خودتان بهترین نتیجه را می‌دهند.
اگر یک کیو آر کد جعلی را اسکن کردید چه کنید؟
اگر متوجه شدید یک صفحه مشکوک را باز کرده‌اید، سریع اما آرام عمل کنید:
- صفحه را ببندید و چیز دیگری وارد نکنید.
- اگر رمز عبوری تایپ کرده‌اید، فوراً آن را در سایت واقعی عوض کنید، و همین‌طور هر جای دیگری که از همان رمز استفاده کرده‌اید.
- اگر اطلاعات کارت یا حساب بانکی وارد کرده‌اید، بلافاصله با شماره پشت کارت یا از طریق اپلیکیشن رسمی با بانک تماس بگیرید.
- اگر برنامه‌ای نصب کرده‌اید، آن را حذف کنید و بررسی امنیتی گوشی را اجرا کنید.
- کد را به کسب‌وکار یا محل مربوطه گزارش دهید تا آن را بردارند، و اگر پولی از دست رفته، به مراجع مربوطه هم گزارش کنید.
راهنمای گام‌به‌گام ما درباره کارهایی که بعد از اسکن یک کیو آر کد مخرب باید انجام دهید جزئیات بیشتری دارد.
نکاتی برای کسب‌وکارها
اگر کیو آر کد نمایش می‌دهید، می‌توانید کار را برای کلاهبرداران سخت‌تر کنید. کدهای چاپی را مرتب از نظر برچسب‌های اضافه بررسی کنید، به کارکنان یاد بدهید دستکاری را تشخیص دهند، و از کیو آر کد داینامیک روی دامنه‌ای که در اختیار دارید استفاده کنید تا آمار اسکن را ببینید و لینک‌ها را سریع به‌روز کنید. چاپ نام کسب‌وکار کنار کدهای پرداخت هم به مشتری کمک می‌کند مطمئن شود به شخص درست پرداخت می‌کند.
سوالات متداول
آیا اسکن کیو آر کد می‌تواند گوشی را هک کند؟
صرفاً اسکن کردن کیو آر کد گوشی شما را هک نمی‌کند. خطر از کاری است که بعد از آن انجام می‌دهید: بازدید از یک سایت جعلی، وارد کردن اطلاعات یا نصب یک برنامه. همیشه لینک را قبل از باز کردن بررسی کنید.
از کجا بفهمم یک کیو آر کد جعلی است؟
دنبال برچسب‌هایی بگردید که روی کدهای دیگر چسبانده شده‌اند، پیش‌نمایش لینک را با دقت بخوانید و به هر صفحه‌ای که رمز عبور، اطلاعات کارت یا پرداخت فوری می‌خواهد مشکوک باشید. اگر مطمئن نیستید، مستقیم به سایت رسمی بروید.
آیا کیو آر کدهای داخل ایمیل امن هستند؟
با احتیاط بیشتری با آن‌ها برخورد کنید. کیو آر کدی در ایمیل که از شما می‌خواهد وارد شوید، حسابتان را تأیید کنید یا هزینه‌ای بپردازید، یک ترفند فیشینگ رایج است. به جای اسکن، مستقیم به سرویس مراجعه کنید.
کلاهبرداری با کیو آر کد را به چه کسی گزارش دهم؟
به کسب‌وکار یا محلی که کد را در آن پیدا کردید اطلاع دهید، اگر پول یا اطلاعات کارت در میان است با بانکتان تماس بگیرید، و موضوع را به پلیس یا نهاد حمایت از مصرف‌کننده محل زندگی‌تان گزارش کنید.
کیشینگ روی این حساب می‌کند که مردم بدون فکر اسکن کنند. یک مکث دوثانیه‌ای برای خواندن لینک اغلب تمام چیزی است که برای در امان ماندن لازم است. دفعه بعد که به کدی مطمئن نبودید، از اسکنر آنلاین کیو آر کد در QR-TH استفاده کنید تا قبل از باز کردن ببینید واقعاً به کجا می‌رود.