Ενα τετράγωνο QR πάνω σε πινακίδα ή μέσα σε μήνυμα δεν εγγυάται ότι η σελίδα που θα ανοίξει είναι η σωστή. Μπορεί να μεταφέρει τη διεύθυνση ενός απατεώνα με την ίδια ευκολία που μεταφέρει τον κατάλογο ενός εστιατορίου. Η παγίδα αρχίζει όταν το γρήγορο σκανάρισμα αντικαθιστά τον έλεγχο του προορισμού.
Η τεχνική είναι γνωστή ως ηλεκτρονικό ψάρεμα μέσω QR. Αντί να ζητά από τον παραλήπτη να πατήσει έναν ορατό σύνδεσμο, τον καλεί να σαρώσει έναν κώδικα. Η διεύθυνση γίνεται αναγνώσιμη όταν τη μεταφράσει η κάμερα ή η εφαρμογή του κινητού.
Ενα αυτοκόλλητο αρκεί
Οι αμερικανικές αρχές προστασίας καταναλωτή και κυβερνοασφάλειας έχουν προειδοποιήσει για αντικατάσταση πραγματικών κωδίκων με κακόβουλα αυτοκόλλητα. Ενα υποθετικό παράδειγμα είναι μια πινακίδα πληρωμής στάθμευσης: ο οδηγός μπορεί να εμπιστευτεί το σημείο όπου βρίσκεται ο κώδικας, χωρίς να προσέξει ότι ανοίγει διαφορετικό ιστότοπο.
Η ψεύτικη σελίδα μπορεί να αντιγράφει χρώματα, λογότυπα και πεδία μιας πραγματικής υπηρεσίας. Ζητεί στοιχεία κάρτας ή κωδικούς σύνδεσης και τα παραδίδει στον δράστη. Αλλες απόπειρες προσπαθούν να πείσουν τον χρήστη να κατεβάσει εφαρμογή ή αρχείο.
Ο κώδικας δεν αποκτά ειδική εξουσία πάνω στο κινητό επειδή σαρώθηκε. Το συνηθισμένο πρόβλημα είναι πού οδηγεί και τι ζητεί στη συνέχεια. Αυτό εξηγεί γιατί έχει σημασία η προεπισκόπηση της διεύθυνσης πριν ανοίξει ο φυλλομετρητής.
Ενα επιπλέον προειδοποιητικό σημάδι είναι η απαίτηση να εγκατασταθεί ειδικός σαρωτής για μια απλή ενέργεια. Πολλά κινητά διαβάζουν QR με την ενσωματωμένη κάμερα, χωρίς νέα εφαρμογή. Αν ένας κώδικας οδηγεί σε εγκατάσταση άγνωστου λογισμικού αντί για την αναμενόμενη υπηρεσία, η απόκλιση αυτή χρειάζεται έλεγχο πριν δοθούν δικαιώματα ή προσωπικές πληροφορίες.
Η βιασύνη είναι μέρος της απάτης
Μηνύματα για δήθεν αποτυχημένη παράδοση, πρόβλημα λογαριασμού ή επείγουσα πληρωμή προσπαθούν να μειώσουν τον χρόνο ελέγχου. Το FBI έχει προειδοποιήσει επίσης για ανεπιθύμητα δέματα που περιέχουν QR και οδηγούν σε αιτήματα προσωπικών ή οικονομικών στοιχείων.
Ο ασφαλέστερος τρόπος να ελεγχθεί ένα τέτοιο αίτημα είναι να ανοίξει κανείς την ήδη γνωστή εφαρμογή της υπηρεσίας ή να πληκτρολογήσει ο ίδιος τη σωστή διεύθυνση. Το λουκέτο ασφαλείας στον φυλλομετρητή δείχνει κρυπτογραφημένη σύνδεση· δεν αποδεικνύει ότι ο ιστότοπος ανήκει στην εταιρεία που υποδύεται.
Αν έχουν ήδη δοθεί στοιχεία κάρτας, χρειάζεται άμεση επικοινωνία με την τράπεζα. Αν έχουν καταχωριστεί κωδικοί, η αλλαγή τους γίνεται από την πραγματική υπηρεσία, μαζί με έλεγχο των ενεργών συνδέσεων. Η επόμενη κίνηση αφορά την πληροφορία που παραδόθηκε, όχι απλώς τη διαγραφή της φωτογραφίας του QR.
Της Ολοίβιας
