- A QR-kódok gyors és kényelmes hozzáférést biztosítanak a különféle weboldalakhoz, fizetési felületekhez és online szolgáltatásokhoz.
- Csakhogy – ahogyan az lenni szokott – az egyszerű és praktikus megoldást a csalók is felfedezték maguknak.
- Hogyan védekezzünk, mire figyeljünk QR-kód beolvasása előtt?
A QR-kód – teljes nevén quick response, azaz gyors válasz – olyan kétdimenziós vonalkód, amelyben különféle adatok; szöveg, elérhetőség vagy webcím tárolható. A telefon kamerája felismeri a fekete-fehér négyzetek mintázatát, majd felkínálja a hozzájuk rendelt műveletet: megnyithatunk egy weboldalt (például egy étlapot) vagy fizetési felületet, és alkalmazásokat is letölthetünk általa.
A technológiát 1994-ben mutatta be a japán Denso Wave mérnöke, Masahiro Hara. A kód kezdetleges formája nagyobb adatmennyiséget tudott tárolni, és gyorsabban lehetett leolvasni, mint a hagyományos vonalkódokat.
A módszer végül az okoskütyük terjedésével lépett ki az ipari felhasználás keretei közül. A kamerával és internetkapcsolattal rendelkező telefonok révén a QR-kódok leolvasásához többé nem volt szükség különleges eszközökre, ami különösen a koronavírus-járvány idején, az érintésmentes megoldások térnyerésével gyorsította fel a technológia széles körű terjedését. Csakhogy bármennyire is praktikusak az igazi QR-kódok, fontos, hogy éberek maradjunk.
A hamis QR-kódok térnyerése
A visszaélés alapja a technológia kényelmében keresendő. Míg egy hagyományos hivatkozásnál kattintás előtt látható a cím, addig a QR-kód mintázatából nem feltétlenül derül ki, milyen oldalra vezet – ezt használják ki a kiberbűnözők is.
Quishing néven emlegetik a jelenséget, melynek során a mit sem sejtő érintett egy hitelesnek látszó, valójában hamis weboldalra jut, ahol bejelentkezési, személyes vagy bankkártyaadatait próbálják megszerezni. (Forrás: Getty Images)
A csalók saját kódjukat egy valódi fölé ragaszthatják, illetve e-mailben is elküldhetik, egy rendszerint sürgető, hihetőnek tűnő történettel körítve. Az amerikai Szövetségi Kereskedelmi Bizottság, az FTC figyelmeztetése szerint az üzenet szólhat sikertelen csomagkézbesítésről, fiókproblémáról vagy állítólagos gyanús tevékenységről. A cél minden esetben az, hogy az érintett gondolkodás nélkül olvassa be a kódot.
Kapcsolódó: 102 ezer forintot ígér a NAV nevében érkező SMS – itt az újabb átverés
Gyakori módszer a parkolóautomatán elhelyezett hamis matrica is. Az azon keresztül megnyitott fizetési oldal a valódi szolgáltatás felületét utánozhatja, így a bankkártya megadott adatai közvetlenül a bűnözőkhöz kerülnek. Hasonló veszélyt rejthetnek a „rendkívüli”, „elképesztő”, „soha vissza nem térő” kedvezményt ígérő QR-kuponok, valamint az ismeretlen feladótól érkező csomagok, amelyek címzettjét a kód beolvasásával próbálják rávenni az „ajándék” feladójának azonosítására vagy a küldemény visszaküldésére.
Az FBI internetes bűnözéssel foglalkozó központja arra is felhívja a figyelmet, hogy a manipulált kód adathalász webhelyre terelhet, megtévesztő fizetést indíthat el, illetve kártékony program letöltésére is ösztönözhet.
Mire figyeljünk QR-kód beolvasása előtt?
A Nemzeti Kiberbiztonsági Intézet összegyűjtötte azokat az alapvető óvintézkedéseket, amelyekkel csökkenthető a QR-kódos visszaélések kockázata. A legfontosabb szabály, hogy a beolvasást ne tekintsük biztonságos műveletnek: mielőtt megnyitnánk a kód mögött rejlő tartalmat, érdemes meggyőződni annak eredetéről és hitelességéről.
1. Vizsgáljuk meg a kód környezetét!
Nem mindegy, hogy a QR-kód ellenőrzött helyen, például egy üzlet belső terében, vagy bárki által hozzáférhető nyilvános felületen, például egy plakáton található. Utóbbi esetben könnyebb az eredeti kódot egy másik matricával elfedni, ezért beolvasás előtt nézzük meg, látunk-e ragasztásra vagy utólagos módosításra utaló jeleket.
2. Figyeljünk az árulkodó részletekre!
A feltűnő helyesírási hibák, a szokatlan megfogalmazás, a lerövidített URL és a gyenge minőségű grafika egyaránt gyanúra adhatnak okot. Bár önmagukban nem bizonyítják a csalást, mindenképpen fokozott óvatosságra intenek.
3. Megnyitás előtt ellenőrizzük a webcímet!
A legtöbb okostelefon kijelzőjén már a továbblépés előtt látni, milyen hivatkozást rejt a kód. Vizsgáljuk meg alaposan a domain nevet: az elírások, a felcserélt betűk és a felesleges karakterek hamis weboldalra utalhatnak. Ha kétségünk támad, keressük fel a szolgáltató hivatalos oldalát a cím kézi beírásával.
4. Vigyázzunk az adatainkra!
Gyanúra adhat okot, ha egy QR-kód rögtön bejelentkezési adatokat kér. A megnyitott felületeken továbbá csak akkor írjunk be jelszót, bankkártyaadatot vagy más személyes információt, ha teljes bizonyossággal meggyőződtünk az oldal hitelességéről. Egy biztonsági ellenőrzést végző kódolvasó jelezheti a gyanús hivatkozásokat, de fontos, hogy az elővigyázatosságot nem helyettesíti.
5. Fizetés előtt ellenőrizzük az utalás minden adatát!
QR-kód beolvasásával a legtöbb bank mobilalkalmazásában fizetést is indíthatunk, illetve saját kódot is generálhatunk. Az azonnali fizetéshez tartozó QR-kód beolvasása után az átutalási űrlapon automatikusan megjelenik a kedvezményezett neve és bankszámlaszáma, valamint a forintban megadott összeg. Fontos tudni, hogy az átutalás teljesítésekor a banki rendszer nem feltétlenül ellenőrzi, hogy a megadott kedvezményezett neve és a bankszámlaszáma ugyanahhoz a személyhez vagy szervezethez tartozik-e.
Hiába jelenik meg tehát egy ismert szolgáltató neve, a QR-kódba akár a csaló számlaszáma is bekerülhet. Jóváhagyás előtt ezért valamennyi adatot, különösen a bankszámlaszámot érdemes ellenőrizni. Ha pedig ismerőstől kapunk QR-kódot, mindenképp vegyük fel vele a kapcsolatot, és kérdezzük meg, valóban ő küldte-e!
Fő a biztonság
A QR-kódos visszaélésekkel szemben nagyrészt ugyanazok a biztonsági óvintézkedések nyújtanak védelmet, mint az adathalászat más formáinál. Érdemes bekapcsolni továbbá a kétfaktoros hitelesítést, a jelszó mellett egy további azonosítási mód – például egyszer használatos kód vagy biometrikus azonosítás – akkor is megnehezítheti a fiókhoz való illetéktelen hozzáférést, ha a belépési adataink csalók kezébe kerülnek.
A naprakész biztonsági szoftver felismerheti és blokkolhatja a kártékony webhelyeket, fájlokat vagy alkalmazásokat, ezért az operációs rendszer és a telepített programok frissítéseit sem érdemes halogatni – ezek gyakran olyan biztonsági javításokat is tartalmaznak, amelyek megszüntetik az időközben feltárt rizikókat.
Ez is érdekelhet: Lett egy új eszköz a Google-ben, amit a biztonsági szakértő szerint azonnal ki kell kapcsolni
Kiemelt kép: Getty Images
Kövesd a NőkLapja.hu-t a Google hírekben!