Quishing: jak rozpoznać fałszywe kody QR i jak zapobiegać jako firma

Słowo quishing powstało z połączenia „QR” i „phishing”. Chodzi o oszustwo, w którym kod QR prowadzi na stronę, która nie należy do tego, kogo się spodziewasz. Znane są zaklejone kody na parkomatach i stacjach ładowania: ktoś przykleja własny kod na prawdziwy, a kto zeskanuje, trafia na podrobioną stronę płatności.

Sztuczka działa, bo po kodzie QR nie widać adresu. Właśnie tu zaczynają się środki zaradcze, dla czytelników i dla firm.

Jak rozpoznać prawdziwy adres

Aplikacja aparatu po skanowaniu pokazuje adres, zanim cokolwiek otworzy. Przeczytaj go, zamiast od razu dotykać. Decydująca jest część między „https://“ a pierwszym ukośnikiem, czyli domena.

• qr.deinefirma.at/speisekarte należy do deinefirma.at. To domena firmy.
• deinefirma.at.parkzahlen-jetzt.com należy za to do parkzahlen-jetzt.com, nawet jeśli nazwa firmy stoi z przodu. Liczy się zawsze koniec domeny.
• Zwracaj uwagę na literówki, zamienione litery i dodatkowe myślniki w nazwie.
• Skrócone linki od obcych usług ukrywają cel. Przy parkomacie albo rachunku to powód, by przyjrzeć się dokładniej.
• Jeśli strona po skanowaniu od razu żąda danych płatniczych, haseł albo pobrania pliku, ostrożność jest uzasadniona.

Sprawdź na miejscu, zanim zeskanujesz

• Przejedź palcem po naklejce. Jeśli wyczuwasz krawędź albo da się unieść róg, pod spodem może być przyklejony drugi kod.
• Jeśli kod wygląda inaczej niż reszta napisów, na przykład inny papier, inny druk, krzywe położenie, to podejrzane.
• Jeśli obok kodu jest adres zapisany otwartym tekstem, porównaj go z tym, co pokazuje aplikacja aparatu.
• W razie wątpliwości wpisz adres samodzielnie albo zapytaj obsługę. Zapłacić przy automacie często można też w inny sposób.

Co mogą zrobić firmy

Zaklejania nie da się całkiem zapobiec, bo każdy może przykleić naklejkę. Możesz jednak wiele rzeczy ułatwić w sprawdzaniu.

• Wydrukuj adres otwartym tekstem pod kodem, czytelnie i na tyle krótki, by dało się go przepisać. Kto go porówna, od razu zauważy różnicę.
• Używaj własnej subdomeny, takiej jak qr.deinefirma.at, zamiast obcej domeny. Goście uczą się, że prawdziwe kody twojej firmy zawsze zaczynają się od twojej nazwy.
• Kontroluj swoje kody regularnie, na przykład przy każdym obchodzie, i wpisz to do stałego planu.
• Umieszczaj kody tak, by zaklejenie rzucało się w oczy: wydrukowane bezpośrednio na materiale, pod folią ochronną albo w ramce, zamiast luźnej naklejki.
• Powiedz o tym gościom. Zdanie takie jak „Nasze prawdziwe kody zaczynają się od qr.deinefirma.at” na karcie albo na stole pomaga bardziej, niż myślisz.
• Miej na oku liczbę skanów. Jeśli kod, który zwykle jest często skanowany, nagle spada niemal do zera, warto zajrzeć na miejsce.

Co daje własna domena, a czego nie

Własna domena nie zapobiega temu, że ktoś przyklei na kod obcy kod. Pomaga jednak w rozpoznawaniu: twoi goście widzą w adresie twoją nazwę, więc fałszywy kod łatwiej rzuca się w oczy. Poza tym domena należy do ciebie, możesz w każdej chwili zabrać ją do innego dostawcy, a wydrukowane kody pozostają ważne.

W Same-QR ścieżkę wybierasz sam przy tworzeniu nowego kodu, na przykład qr.deinefirma.at/speisekarte. Jest krótka, łatwa do zapamiętania i dobrze nadaje się do wydrukowania pod kodem. Własna domena jest dostępna od Gastro Pro lub Marketing Starter, istniejące kody zachowują swój adres.

Najczęściej zadawane pytania