Kung naka-scan ka ng mapanganib na QR code, huwag mag-panic: sa karamihan ng kaso, walang masamang nagawa ang scan mismo. Ang tunay na panganib ay nasa sumunod na nangyari. Isara ang page, saka alamin kung nag-type ka ng password, naglagay ng detalye ng card, nagbayad, nag-install ng app o nagbigay ng permiso, at aksyunan agad ang bawat isa.
Una, alamin kung ano talaga ang nangyari
Paraan lang ng pag-iimbak ng text ang QR code, kadalasang web address. Kapag binasa ito ng camera mo, karaniwang ipinapakita ng phone ang link at hinihintay kang i-tap ito. Kaya ang mahalagang tanong ay hindi "Na-scan ko ba?" kundi "Ano ang ginawa ko pagkatapos mag-scan?"
Balikan at maging tapat sa sarili. Ikaw ba ay:
- Nakakita lang ng preview, tapos isinara nang walang binuksan?
- Nagbukas ng web page pero walang inilagay?
- Nag-type ng username, password o one-time code (OTP) sa login page?
- Naglagay ng detalye ng card, bangko o personal na impormasyon gaya ng ID number o address?
- Nagbayad, halimbawa sa payment QR o sa pekeng page ng parking o delivery?
- Nag-download at nag-install ng app o "profile", o pumayag sa notifications?
Iba-iba ang susunod na hakbang sa bawat sagot. Kung preview lang ang nakita mo, halos tiyak na ligtas ka. Kung nagbukas ka lang ng page at walang na-type, mababa ang panganib, pero sulit pa ring gumawa ng ilang mabilis na tseke.
Step-by-step: ano ang gagawin ngayon din
Sundan ang listahang ito mula sa itaas. Laktawan ang hakbang na hindi angkop sa iyo.
- Isara ang page at mag-disconnect kung may mali. Isara ang browser tab. Kung may nagsimulang mag-download o kakaiba ang kilos ng phone, i-on ang airplane mode habang nagsusuri ka.
- Palitan ang anumang password na nailagay mo. Gawin ito sa opisyal na app o sa pag-type mismo ng totoong address ng website, hindi kailanman mula sa link sa kahina-hinalang page. Kung ginagamit mo rin ang password na iyon sa ibang lugar, palitan din doon.
- I-on ang two-step verification. Magdagdag ng authenticator app sa account na kaka-secure mo lang, para hindi na sapat ang nanakaw na password. Ipinapaliwanag ng aming gabay sa two-factor authentication kung paano.
- Tawagan ang bangko o e-wallet kung nagbahagi ka ng financial details o nagbayad. Gamitin ang numero sa likod ng card mo o sa opisyal na app ng bangko, GCash o Maya. Hilingin na i-block ang card, bantayan ang kakaibang transaksyon, at sabihin kung puwedeng i-dispute o bawiin ang bayad. Mahalaga ang bilis dito.
- Tanggalin ang anumang na-install mo. Burahin ang hindi kilalang app, configuration profile o browser extension. Sa Android, tiyaking walang hindi kilalang app na may accessibility o device-admin access. Bawiin sa browser settings ang notification permission na ibinigay mo sa kakaibang website.
- Mag-sign out sa ibang session. Maraming serbisyo, kasama ang email at social media, ang nagpapakita ng active sessions at nagpapahintulot na i-log out ang lahat ng ibang device. Gawin ito pagkatapos palitan ang password.
- I-update ang phone at magsagawa ng security check. I-install ang naka-pending na system update. Sa Android, patakbuhin ang Google Play Protect; sa anumang phone, suriin ang mga bagong install na app.
- I-report ito. Sabihan ang bangko, ang serbisyong ginaya, at kung angkop, ang pulis o ang opisyal na channel para sa cybercrime, gaya ng PNP Anti-Cybercrime Group o CICC sa Pilipinas. Kung nasa pisikal na karatula o meter ang QR code, sabihan ang negosyo o awtoridad na may-ari nito para matanggal nila.
Kung naglagay ka ng password o one-time code
Karaniwang ginagaya ng mga phishing page sa likod ng QR code ang pamilyar na login screen, gaya ng email provider, delivery company o bangko. Madalas subukan agad ng attacker ang nanakaw na detalye, minsan sa loob lang ng ilang minuto.
Pagkatapos palitan ang password, suriin ang account para sa senyales ng pakikialam:
- Bagong forwarding rule o filter sa email mo
- Binagong recovery phone number o recovery email
- Hindi kilalang device o lokasyon sa security o login history
- Mga mensaheng ipinadala mula sa account mo na hindi ikaw ang sumulat
Kung nag-type ka ng OTP mula sa SMS o authenticator app sa pekeng page, ipagpalagay na maaaring ginamit ito ng attacker para mag-login. Palitan agad ang password, i-sign out ang lahat ng session at suriin ang recovery settings.
Kung nagbayad ka o nagbahagi ng detalye ng card
Kontakin ang bangko o e-wallet provider mo sa opisyal na channel sa lalong madaling panahon. Ipaliwanag na nalinlang ka sa pamamagitan ng QR code, ibigay ang oras at halaga, at sundin ang kanilang tagubilin. Mag-ingat ng screenshot ng payment confirmation, ng pangalan ng tatanggap na ipinakita, at ng page na napuntahan mo.
Bantayan din ang mga statement mo sa mga susunod na linggo. Minsan sinusubukan muna ng manloloko ang card sa maliit na singil bago gumawa ng mas malaki. Kung naibahagi mo ang ID number o address mo, mag-ingat lalo sa tawag, text o email na parang "kilala" ka, dahil puwedeng gawing mas kapani-paniwala ng impormasyong iyon ang susunod na scam.
Para sa payment QR code, basahin ang paano magbayad nang ligtas gamit ang QR code, na tumatalakay sa pagtingin sa pangalan ng tatanggap bago kumpirmahin.
Kung nag-install ka ng app o profile
Puwedeng gamitin ang mga app na na-install sa labas ng opisyal na app store, at ang configuration profile sa iPhone, para magmanman o magnakaw ng data. Tanggalin muna ang mga ito, saka suriin ang:
- Settings para sa device management o profiles, at burahin ang anumang hindi mo kilala
- Accessibility at device-admin permissions sa Android, na madalas hingin ng mapanganib na app
- Notification permissions ng browser, na ginagamit ng scam site para magpakita ng pekeng babala
Kung may hindi mo matanggal, o patuloy na may pop-up ang phone, i-back up ang mga larawan at mahalagang data at isaalang-alang ang factory reset. Pagkatapos, mag-restore lang ng app mula sa opisyal na store.
Paano ito maiiwasan sa susunod
Gumagana ang QR scam dahil itinatago ng code ang destinasyon. May ilang gawi na nagsasara sa puwang na iyon:
- Basahin ang preview link bago mag-tap. Suriing mabuti ang domain para sa maling baybay o dagdag na salita.
- Magduda sa QR code na nakadikit sa ibabaw ng ibang code, lalo na sa parking meter, poster at payment stand.
- Huwag kailanman mag-login o magbayad sa page na narating mo mula sa QR code na hindi mo inaasahan. Buksan na lang ang opisyal na app.
- Ituring na babala ang pagmamadali. Klasikong panggigipit ang "Magbayad ngayon para iwas-multa" o "Ibabalik ang parcel mo".
Kung hindi ka sigurado sa isang code, puwede mo munang i-scan ang QR code online gamit ang QR-TH. Binabasa nito ang code sa browser mo at ipinapakita ang destinasyon bago may mabuksan, para mahinahon kang makapagpasya. Para sa iba pang babala, tingnan ang aming gabay sa QR code scam at quishing.
FAQ
Kaya bang i-hack ng QR code ang phone ko sa pag-scan lang?
Napakaliit ng posibilidad. Sa updated na phone, karaniwang text o link lang ang ipinapakita ng pag-scan. Kadalasang nagmumula ang pinsala sa pagbukas ng mapanganib na page at saka paglalagay ng impormasyon, pagbabayad o pag-install ng kung ano.
Binuksan ko ang link pero walang na-type. Ligtas ba ako?
Mababa ang panganib. Isara ang page, burahin ang anumang permisong ibinigay mo sa site na iyon, at panatilihing updated ang phone at browser. Kung may na-download, burahin ito nang hindi binubuksan.
Kailangan ko bang i-factory reset ang phone ko?
Kung may na-install ka lang na hindi matanggal o abnormal ang kilos ng phone pagkatapos maglinis. Para sa nanakaw na password o detalye ng card, walang naitutulong ang reset; ang pagpapalit ng password at pagkontak sa bangko ang mahalaga.
Kanino ko dapat i-report ang QR code scam?
Sa bangko o e-wallet mo kung may perang sangkot, sa kumpanyang ginaya, at sa lokal na pulis o opisyal na serbisyo para sa pag-report ng panloloko. Kung nasa pampublikong karatula ang code, sabihan ang may-ari ng karatulang iyon.
Nakaka-stress ang kahina-hinalang scan, pero halos palaging nalilimitahan ng mabilis na aksyon ang pinsala. Sa susunod na mukhang kakaiba ang isang code, suriin muna ito bago buksan: subukan ang libreng online scanner ng QR-TH para makita muna kung saan eksaktong papunta ang QR code.