کوئیشینگ: کلاهبرداری با کد QR و لینک‌های پیامکی

کوئیشینگ: کلاهبرداری با کد QR و لینک‌های پیامکی

یک کد QR را اسکن می‌کنید و گوشی مستقیم یک سایت را باز می‌کند. هیچ نشانی‌ای نخوانده‌اید، چیزی تایپ نکرده‌اید و تصمیم نگرفته‌اید کجا بروید: کد QR به جای شما تصمیم گرفته است. همین راحتی دقیقاً چیزی است که کوئیشینگ (Quishing، ترکیب QR و فیشینگ) از آن سوءاستفاده می‌کند: کدهای QR و لینک‌های کوتاه‌شده‌ای که مقصدشان را پنهان می‌کنند تا شما را به سایت‌های جعلی ببرند و اطلاعات یا پولتان را بدزدند.

کوئیشینگ ترفندی جدا از اسمیشینگ (فیشینگ پیامکی) نیست. مثل پیامک جعلی جریمه رانندگی یا پیامک جعلی پست، همان فریب است با لینکی که بهتر پنهان شده (راهنمای پیامک جعلی پست را در بخش موقعیت‌ها ببینید). در پیامک جعلی، اگر دقت کنید هنوز می‌توانید دامنه مشکوک را ببینید؛ اما کد QR تا وقتی اسکنش نکرده‌اید هیچ چیزی نشان نمی‌دهد.

کدهای QR جعلی کجا پیدا می‌شوند

• پرداخت پارکینگ و پارکومترها. برچسبی با کد QR جعلی روی کد QR واقعی شهرداری یا اپلیکیشن پرداخت چسبانده می‌شود. اسکن می‌کنید، به سایتی می‌رسید که صفحه پرداخت پارکینگ را تقلید می‌کند و اطلاعات کارتتان را وارد می‌کنید.
• منوی رستوران‌ها و کافه‌ها. یک کد QR روی کد اصلی چسبانده شده است. اینجا هدف معمولاً نصب یک اپلیکیشن جعلی یا کشاندن شما به سایت فیشینگ با هر بهانه‌ای است.
• جریمه و اخطار روی شیشه خودرو. اخطاریه جعلی با کد QR «برای پرداخت فوری». همان قلاب پیامک جعلی جریمه، این بار روی کاغذ.
• مرسوله و تحویل. کد QR روی برچسب یا در پیامک («برای تعیین زمان جدید تحویل اسکن کنید»)، نسخه‌ای دیگر از کلاهبرداری مرسوله پستی.
• ایمیل و پیامک حاوی کد QR. پیام از شما می‌خواهد به جای زدن روی لینک، یک کد QR را اسکن کنید، گاهی به بهانه «تأیید دومرحله‌ای» یا «امنیت». این روش برای دور زدن فیلترهای ضدفیشینگ هم به کار می‌رود که لینک‌ها را بررسی می‌کنند، اما تصویرها را نه.
• رمزارز و پرداخت‌ها. کدهای QR که ظاهراً نشانی کیف پول برای دریافت پول یا یک «بازپرداخت» را در خود دارند. پولی که فرستاده شد، دیگر برنمی‌گردد.

قانون: پیش از ورود، مقصد را ببینید

با یک لینک معمولی می‌توانید پیش از زدن، نشانی را بخوانید. با کد QR نمی‌توانید، پس باید این قدم را خودتان اضافه کنید:

1. اسکن کنید، اما هنوز وارد نشوید. بیشتر گوشی‌ها پیش از باز کردن، نشانی کامل را نشان می‌دهند. لحظه تصمیم همین است: نشانی را کامل و بدون عجله بخوانید.
2. دامنه را بررسی کنید. باید دامنه رسمی همان سرویس باشد، بدون خط تیره‌های اضافه یا پسوندهای عجیب. اگر کد QR پارکینگ شما را به دامنه‌ای غیر از دامنه شهرداری یا اپلیکیشن رسمی می‌برد، جعلی است.
3. اگر چیزی جور درنمی‌آید، وارد نشوید و خودتان سراغ کانال رسمی بروید. اپلیکیشن رسمی پارکینگ، بانک یا فروشگاه را باز کنید و کار را همان‌جا انجام دهید. همان روشی که برای بررسی تماس یا پیامک بانک توصیه می‌کنیم. اگر شک دارید، نشانی را در ابزارهای ایمنی NoCall هم بررسی کنید تا نشانه‌های هشدار را ببینید.
4. به کدهای QR عجول اعتماد نکنید. «همین حالا اسکن کنید»، «آخرین اخطار»، «مرسوله شما امروز برگشت می‌خورد». عجله امضای کلاهبرداری است، چه در کد QR و چه در پیامک.

یک توصیه فیزیکی هم برای کدهای QR چسبانده‌شده در خیابان: ببینید برچسبی روی برچسب دیگر چسبانده نشده باشد. اگر کد QR پارکینگ روی برچسبی است که به نظر بعداً اضافه شده یا کد دیگری را زیرش پوشانده، از آن استفاده نکنید. با اپلیکیشن رسمی‌ای که نصب کرده‌اید پرداخت کنید.

اگر اسکن کرده‌اید و اطلاعات داده‌اید چه کنید

• اطلاعات کارت را در سایت مقصد وارد کرده‌اید: همین حالا با بانک تماس بگیرید، کارت را مسدود کنید و کارت جدید بخواهید. تراکنش‌های هفته‌های بعد را زیر نظر بگیرید.
• از طریق کد QR اپلیکیشنی دانلود کرده‌اید: آن را حذف کنید، آنتی‌ویروس گوشی را اجرا کنید و دسترسی‌هایی را که به آن داده‌اید بازبینی کنید (پیامک، دسترسی‌پذیری و اعلان‌ها خطرناک‌ترین‌ها هستند).
• فقط اسکن کرده و بسته‌اید: تقریباً به‌طور قطع اتفاقی نیفتاده است. اسکن به‌تنهایی چیزی نصب نمی‌کند و اطلاعاتی نمی‌دهد؛ خطر از وقتی شروع می‌شود که با سایت کار می‌کنید.
• به بخش جرایم سایبری پلیس گزارش دهید و عکس کد QR (اگر در خیابان بود، عکس برچسب و محل آن) و اسکرین‌شات سایت را همراه داشته باشید.
• اگر کد QR از طریق پیامک یا تماس به دستتان رسیده، شماره را در فهرست شماره‌های مزاحم گزارش دهید.

پرسش‌های کوتاه

آیا اسکن یک کد QR می‌تواند گوشی‌ام را هک کند؟ اسکن به‌تنهایی نه: کد QR فقط متن دارد (معمولاً یک نشانی اینترنتی). خطر در سایتی است که شما را به آن می‌برد و کاری که آنجا می‌کنید: وارد کردن اطلاعات، دانلود فایل یا دادن دسترسی. به همین دلیل دفاع شما بررسی مقصد پیش از ورود است.

لینک‌های کوتاه‌شده (مثل bit.ly) هم همین‌طورند؟ بله، همان مشکل را دارند: مقصد را پنهان می‌کنند. کوتاه‌کننده‌های معتبر امکان پیش‌نمایش می‌دهند (بسیاری با گذاشتن «+» در انتهای نشانی)، اما قانون عملی یکی است: اگر نمی‌دانید به کجا می‌رود و برای زدن تحت فشارتان می‌گذارد، نزنید و خودتان سراغ کانال رسمی بروید.

ممکن است بانکم کد QR معتبر بفرستد؟ بله، مثلاً برای اتصال اپلیکیشن یا تأیید تراکنش‌ها، اما در فرایندهایی که خودتان شروع کرده‌اید. کد QR بانکی که بی‌آنکه چیزی خواسته باشید می‌رسد، تابع همان قانون کلی است: از آن استفاده نکنید و خودتان وارد اپلیکیشن رسمی شوید.

چطور از یک فرد مسن در برابر این ترفند محافظت کنم؟ با یک جمله: «با اسکن کدهای QR توی خیابان هیچ پولی نده؛ از اپلیکیشنی استفاده کن که از قبل داری.» کدهای QR روی پارکینگ‌ها و تابلوهای عمومی بیشترین احتیاط را لازم دارند. توصیه‌های بیشتر را در وبلاگ NoCall پیدا می‌کنید.

خلاصه در یک خط جا می‌شود: کد QR لینکی است که نمی‌توانید بخوانید، پس پیش از ورود آن را بخوانید. اسکن کنید، نشانی را ببینید و اگر دامنه رسمی نیست، ببندید و خودتان سراغ کانال رسمی بروید. همین یک ثانیه مکث، کل کوئیشینگ را بی‌اثر می‌کند.