QR کوڈ فشنگ ای میل آپ سے ایک کوڈ اسکین کرنے کو کہتی ہے، عموماً اکاؤنٹ "دوبارہ تصدیق" کرنے، کسی دستاویز پر دستخط کرنے یا پاس ورڈ ری سیٹ کرنے کے لیے۔ حملہ آور QR کوڈ اس لیے استعمال کرتے ہیں کہ ای میل فلٹرز کے لیے تصویر کے اندر چھپا لنک پڑھنا مشکل ہو سکتا ہے، اور اسکین کرنے سے آپ فون پر آ جاتے ہیں جہاں جعلی لاگ اِن صفحات پہچاننا مشکل ہوتا ہے۔
فشنگ اتنی ہی پرانی ہے جتنی ای میل، لیکن اس کی QR کوڈ والی شکل، جسے اکثر کوئشنگ (quishing) کہا جاتا ہے، ایک نیا موڑ ہے۔ نیلے لنک کے بجائے، جس پر ماؤس رکھ کر آپ ایڈریس دیکھ سکتے ہیں، یہاں ایک چوکور تصویر ہوتی ہے۔ یہ گائیڈ بتاتی ہے کہ حملہ آور یہ طریقہ کیوں پسند کرتے ہیں، ایسی ای میلز عموماً کیسی ہوتی ہیں، اور ملازمین اور کمپنیاں دونوں اپنی حفاظت کیسے کر سکتے ہیں۔
حملہ آور ای میلز میں QR کوڈ کیوں ڈالتے ہیں
مجرم کے نقطۂ نظر سے QR کوڈ ایک ساتھ کئی مسائل حل کر دیتا ہے۔
- یہ لنک چھپا دیتا ہے۔ لوگ QR کوڈ پڑھ نہیں سکتے، اس لیے ایک نظر میں مشکوک ویب ایڈریس نہیں پکڑ پاتے۔
- یہ فلٹرز سے بچ کر نکل سکتا ہے۔ بہت سے ای میل سیکیورٹی ٹولز متن والے لنکس کو معلوم خطرناک سائٹس کی فہرستوں سے ملاتے ہیں۔ تصویر کے اندر لنک جانچنا زیادہ مشکل ہے، اگرچہ جدید ٹولز اب تصاویر بھی زیادہ اسکین کرنے لگے ہیں۔
- یہ آپ کو دوسرے ڈیوائس پر لے جاتا ہے۔ آپ ای میل کمپنی کی سیکیورٹی والے دفتری لیپ ٹاپ پر پڑھتے ہیں، لیکن اسکین ذاتی فون سے کرتے ہیں جس میں شاید کم حفاظت ہو۔
- چھوٹی اسکرین تفصیلات چھپا دیتی ہے۔ فون پر ایڈریس بار چھوٹی ہوتی ہے، اور جعلی لاگ اِن صفحہ بالکل اصلی جیسا لگتا ہے۔
- یہ جدید اور سرکاری محسوس ہوتا ہے۔ بینک، ایئرلائنز اور آجر QR کوڈ استعمال کرتے ہیں، اس لیے ای میل میں کوڈ دیکھ کر خود بخود شک نہیں ہوتا۔
QR فشنگ ای میل کیسی دکھتی ہے
یہ ای میلز مختلف ہوتی ہیں، مگر عموماً جانے پہچانے انداز اپناتی ہیں۔ عام موضوعات:
- "آپ کا پاس ورڈ آج ختم ہو رہا ہے۔ موجودہ پاس ورڈ برقرار رکھنے کے لیے اسکین کریں۔"
- "ملٹی فیکٹر تصدیق دوبارہ فعال کرنا ضروری ہے۔ اپنے فون سے اسکین کریں۔"
- "آپ کے لیے ایک شیئر کی گئی دستاویز موجود ہے۔ دیکھنے کے لیے اسکین کریں۔"
- "آپ کی تنخواہ یا بونس کی تفصیلات اپڈیٹ ہو گئی ہیں۔"
- "ایک پارسل یا انوائس کو آپ کی تصدیق درکار ہے۔"
خطرے کی عام علامات:
- جلد بازی: مختصر ڈیڈ لائن یا اکاؤنٹ بند ہونے کی دھمکی۔
- عجیب بھیجنے والا: نام میں "IT Support" یا کسی مشہور برانڈ کا نام، مگر ای میل ایڈریس میل نہیں کھاتا۔
- کم متن، بڑا کوڈ: پیغام زیادہ تر ایک تصویر ہے جس میں QR کوڈ اور ایک مختصر ہدایت ہے۔
- آپ کے نام کے بجائے عمومی سلام۔
- اسکین کے بعد لاگ اِن صفحہ: کوڈ ایسے صفحے پر لے جاتا ہے جو آپ کا دفتری ای میل اور پاس ورڈ، یا ایک بار کا کوڈ (OTP) مانگتا ہے۔
آخری نکتہ سب سے اہم ہے۔ اصلی IT ڈیپارٹمنٹ کو شاذ ہی ضرورت پڑتی ہے کہ آپ ای میل میں بھیجے گئے QR کوڈ کے ذریعے سائن اِن کریں۔
اگر آپ کو ایسی ای میل ملے تو کیا کریں
اگر آپ ملازم ہیں اور مشکوک QR کوڈ والی ای میل آئے:
- اسے اپنے فون سے اسکین نہ کریں۔
- ساتھیوں کو یہ پوچھنے کے لیے فارورڈ نہ کریں کہ کیا یہ اصلی ہے، کیونکہ کوئی اسے اسکین کر سکتا ہے۔
- کمپنی کے فشنگ رپورٹ بٹن سے یا کسی معلوم ذریعے سے IT سے رابطہ کر کے رپورٹ کریں۔
- اکاؤنٹ خود چیک کریں۔ اگر ای میل پاس ورڈ یا دستاویز کا ذکر کرتی ہے تو سروس پر اس کے معمول کے ایڈریس یا ایپ سے براہِ راست جائیں۔
- رپورٹ کرنے کے بعد، اگر کمپنی کا طریقۂ کار یہی کہے تو، اسے حذف کر دیں۔
اگر آپ کوڈ اسکین کر کے اپنی تفصیلات درج کر چکے ہیں تو فوراً قدم اٹھائیں۔ پاس ورڈ بدلیں، IT کو فوراً بتائیں، اور ہماری گائیڈ نقصان دہ QR کوڈ اسکین کر لیا؟ کے مراحل پر عمل کریں۔
دفتر کے باہر بھی یہی عادتیں کام آتی ہیں۔ اگر آپ کھولے بغیر جاننا چاہتے ہیں کہ کوڈ کہاں لے جاتا ہے تو ایسا اسکینر جو پہلے منزل دکھائے، جیسے QR-TH کا آن لائن QR اسکینر، آپ کو کلک سے پہلے دیکھنے کا موقع دیتا ہے۔
کمپنیاں اپنے عملے کو کیسے محفوظ رکھیں
کوئی ایک ٹول ہر QR فشنگ کوشش کو نہیں روکتا۔ اچھی حفاظت ٹیکنالوجی، طریقۂ کار اور لوگوں کو ملا کر بنتی ہے۔
ای میل اور سیکیورٹی ٹولز
- ایسی ای میل سیکیورٹی استعمال کریں جو تصاویر اور اٹیچمنٹس میں QR کوڈ پہچان کر ان کے لنکس چیک کر سکے
- کمپنی کے ڈیوائسز پر اور جہاں مناسب ہو، منظم (managed) فونز پر لنک چیکنگ اور سیف براؤزنگ تحفظ فعال رکھیں
- ادارے کے باہر سے آنے والی ای میلز کو واضح طور پر نشان زد کریں، خاص طور پر وہ جو اندرونی لگنے والے نام استعمال کریں
مضبوط سائن اِن تحفظ
- تمام ملازمین کے اکاؤنٹس کے لیے ملٹی فیکٹر تصدیق لازمی کریں
- جہاں ممکن ہو فشنگ سے محفوظ طریقے، جیسے پاس کیز یا سیکیورٹی کیز، ترجیح دیں، کیونکہ جعلی صفحے پر لوگوں سے ایک بار کے کوڈ بھی نکلوائے جا سکتے ہیں
- ٹیکسٹ میسج کے بجائے آتھنٹیکیٹر ایپس کی حوصلہ افزائی کریں۔ ہماری ٹو فیکٹر تصدیق گائیڈ اختیارات سمجھاتی ہے۔
- غیر معمولی سائن اِنز پر نظر رکھیں، جیسے نئے ممالک یا ڈیوائسز سے لاگ اِن
واضح طریقۂ کار
- یہ اصول سب کو معلوم ہو کہ IT کبھی بھی ای میل میں QR کوڈ کے ذریعے سائن اِن کرنے کو نہیں کہے گا
- مشکوک پیغامات رپورٹ کرنے کا ایک سادہ طریقہ رکھیں، اور استعمال کرنے والوں کا شکریہ ادا کریں
- جب کوئی غلطی رپورٹ کرے تو پاس ورڈ فوراً ری سیٹ کرنے اور سیشنز ختم کرنے کا منصوبہ تیار رکھیں
یاد رہنے والی تربیت
- تربیت میں QR فشنگ ای میلز کی حقیقت سے قریب مثالیں دکھائیں
- ایک سادہ سوال سکھائیں: "اس کام کے لیے QR کوڈ کی ضرورت کیوں ہے؟"
- QR کوڈ والی فشنگ مشقیں کروائیں، اور بعد میں الزام کے بجائے دوستانہ رائے دیں
جو ملازمین غلطی رپورٹ کرنے میں محفوظ محسوس کرتے ہیں وہ جلدی رپورٹ کرتے ہیں، جس سے نقصان محدود رہتا ہے۔
ای میلز میں جائز QR کوڈ
ای میل میں ہر QR کوڈ نقصان دہ نہیں ہوتا۔ ایونٹ ٹکٹ، بورڈنگ پاس اور کچھ لاگ اِن پیئرنگ جائز طور پر QR کوڈ استعمال کرتے ہیں۔ فرق عموماً سیاق و سباق کا ہوتا ہے: آپ کو ای میل کی توقع تھی، یہ آپ کے کسی کیے ہوئے کام سے متعلق ہے، اور کوڈ کوئی ایسی چیز ہے جو آپ دکھاتے ہیں یا کسی معلوم ایپ میں استعمال کرتے ہیں، نہ کہ کسی انجان صفحے پر پاس ورڈ ٹائپ کرنے کی وجہ۔
اصلی QR کوڈ بھیجنے والے کاروبار مدد کر سکتے ہیں: بتائیں کہ کوڈ کیا کرتا ہے، متبادل کے طور پر ساتھ ہی ایک پہچانا جانے والا لنک رکھیں، اور قابلِ بھروسا ڈومینز استعمال کریں۔
FAQ
فشنگ ای میلز لنک کے بجائے QR کوڈ کیوں استعمال کرتی ہیں؟
کیونکہ لنک لوگوں اور کچھ فلٹرز دونوں سے چھپ جاتا ہے، اور اسکین کرنے سے شکار فون پر آ جاتا ہے جہاں سیکیورٹی کنٹرولز اور بصری اشارے اکثر کمزور ہوتے ہیں۔
کیا میرا ای میل فراہم کنندہ QR کوڈ فشنگ روک سکتا ہے؟
بہت سی ای میل سیکیورٹی سروسز اب تصاویر میں QR کوڈ اسکین کر کے لنکس چیک کرتی ہیں، مگر کوئی بھی سب کچھ نہیں پکڑتی۔ آپ کی اپنی احتیاط اب بھی حفاظت کی ایک اہم تہہ ہے۔
کیا بینک کی ای میل میں آئے QR کوڈ کو اسکین کرنا محفوظ ہے؟
احتیاط کریں۔ بینک شاذ ہی ای میل میں QR کوڈ کے ذریعے سائن اِن کرنے کو کہتے ہیں۔ اس کے بجائے بینک کی سرکاری ایپ کھولیں یا اس کا ایڈریس خود ٹائپ کریں۔
اگر اسکین کے بعد میں نے دفتری پاس ورڈ درج کر دیا تو کیا کروں؟
فوراً پاس ورڈ بدلیں، اپنی IT یا سیکیورٹی ٹیم کو بتائیں، اور انہیں مشکوک سائن اِنز چیک کرنے دیں۔ رفتار سے واقعی فرق پڑتا ہے۔
کھولنے سے پہلے دیکھیں
QR فشنگ تب کامیاب ہوتی ہے جب لوگ بغیر سوچے اسکین کرتے ہیں۔ چیک کرنے کو عادت بنائیں: جب کوئی غیر متوقع کوڈ آئے تو QR-TH کا آن لائن QR کوڈ اسکین ٹول استعمال کریں اور کچھ بھی کھولنے سے پہلے دیکھ لیں کہ وہ کہاں جاتا ہے۔