Kaip QR kodas gali nuvesti tiesiai į sukčių pinkles?

Kibernetinio saugumo specialistai tokias atakas vadina „quishingu“. Nuskenavus suklastotą kodą, galima būti nukreiptam į netikrą svetainę, kurioje bandoma išvilioti prisijungimo ar mokėjimo duomenis, arba paskatinti atsisiųsti kenkėjišką programėlę.

„Pats QR kodas nepasako, ar už jo slypi tikra, ar suklastota svetainė. Nuskenavus jį svarbu ne tik pažiūrėti, kas atsidarė, bet ir įvertinti, ar toks veiksmas apskritai buvo tikėtinas. Jei QR kodas netikėtai prašo prisijungti, įvesti mokėjimo kortelės duomenis ar atsisiųsti programėlę, tai turėtų būti signalas sustoti ir pasitikrinti informaciją kitu būdu“, – sako „Telia“ kibernetinio saugumo ekspertas Darius Povilaitis.

Vienas iš „quishingo“ privalumų sukčiams – QR kodas leidžia paslėpti tikrąją nuorodos paskirtį. Prieš spustelint įprastą nuorodą dažnai galima bent iš dalies įvertinti jos adresą, o QR kodo turinys plika akimi nėra matomas. Todėl žmogus gali nuskenuoti kodą beveik automatiškai, ypač jei jis pateikiamas gerai pažįstamoje ar oficialiai atrodančioje aplinkoje.

QR kodai gali būti naudojami ir el. laiškuose. Pvz., gavėjas gali sulaukti pranešimo apie esą pasibaigusį paskyros patvirtinimą, būtinybę iš naujo prisijungti ar kitą skubų veiksmą. Vietoje įprastos nuorodos laiške pateikiamas QR kodas, kurį raginama nuskenuoti telefonu. Tokiu būdu žmogus iš kompiuterio perkeliamas į telefoną, kuriame gali atsidaryti suklastotas prisijungimo puslapis.

2026 m. JAV Federalinis tyrimų biuras (FBI) taip pat įspėjo apie QR kodais vykdomas atakas, kai vartotojai nukreipiami į suklastotus prisijungimo puslapius ir bandoma iš jų išvilioti paskyrų duomenis.

QR kodų klastotės taip pat gali būti priklijuotos tiesiog viešoje vietoje. Pvz., sukčiai gali užklijuoti savo QR kodą ant automobilių stovėjimo automato, plakato ar kitoje vietoje, kur žmonės įpratę juos skenuoti. Nuskenavus tokį kodą galima papulti į netikrą mokėjimo puslapį, kuris vizualiai primena tikrą paslaugos svetainę.

„Fizinis kontekstas taip pat nėra patikimumo garantija. Jei QR kodas yra ant stovėjimo automato ar restorano stalo, natūralu manyti, kad jis priklauso konkrečiai paslaugai. Tačiau kodą galima pakeisti arba ant originalaus užklijuoti kitą. Todėl prieš atliekant mokėjimą verta įsitikinti ne tik tuo, kad puslapis atrodo tvarkingai, bet ir tuo, ar ant viršaus nesimato užklijuoto dar vieno lipduko“, – sako D. Povilaitis.

Pirmiausia – kodas turi būti tikėtinas. Jei jis gautas netikėtame laiške, žinutėje ar kartu su neužsakyta siunta, nereikėtų jo skenuoti vien iš smalsumo.

Antra – verta apžiūrėti patį kodą. Viešoje vietoje reikėtų atkreipti dėmesį, ar QR kodas neatrodo kaip papildomai priklijuotas lipdukas, uždengiantis originalų kodą.

Trečia – svarbu patikrinti nuorodą. Nuskenavus QR kodą, prieš atidarant svetainę savrbu įsitikinti, kad jos adresas priklauso tai įmonei ar paslaugai, kurios buvo tikimasi. Sukčiai gali naudoti adresus, kurie nuo tikrųjų skiriasi vos keliais simboliais.

Ketvirta – nereikėtų aklai įvesti prisijungimo duomenų. Jei QR kodas netikėtai nukreipia į puslapį, kuriame prašoma prisijungti prie el. pašto, banko ar kitos paskyros, saugiau uždaryti puslapį ir reikiamą paslaugą atsidaryti įprastu būdu.

Penkta – atsargiai vertinti programėlių atsisiuntimus. Jei nuskenavus kodą siūloma įsidiegti programėlę, ją geriau susirasti oficialioje programėlių parduotuvėje ir patikrinti jos kūrėją, pavadinimą bei kitą informaciją, o ne atsisiųsti iš QR kodo pateiktos nuorodos.

Papildomą apsaugos sluoksnį nuo tokių grėsmių suteikia ir tokie saugumo sprendimai kaip „Telia Safe“. Programėlė blokuoja pavojingas bei netikras svetaines, įspėja apie galimus sukčiavimo puslapius ir padeda atpažinti nesaugias elektronines parduotuves. Tai aktualu ir skenuojant QR kodus – jei žmogus nukreipiamas į pavojingą ar suklastotą svetainę, „Telia Safe“ gali apie tai įspėti ir neleisti jos atidaryti.

Vis dėlto techninės apsaugos priemonės nepakeičia budrumo – net ir gavus įspėjimą svarbu įvertinti, ko prašoma atsidariusiame puslapyje, ir jautrių duomenų nevesti vien todėl, kad to reikalauja nuskenavus QR kodą atsidariusi svetainė.

„Svarbiausia prisiminti, kad kažkur užklijuotas QR kodas pats savaime nėra patikimumo ženklas. Jis yra tik būdas perduoti informaciją, dažniausiai nuorodą. Todėl saugumo taisyklės čia išlieka tokios pačios kaip ir naršant internete: nepasitikėti netikėtais raginimais veikti skubiai, tikrinti svetainės adresą ir jautrių duomenų nevesti vien todėl, kad to paprašė po QR kodo nuskenavimo atsidaręs puslapis“, – sako D. Povilaitis.

Audrius Stasiulaitis 

I WILL TELL YOU TELIA