Ang mga QR code ay naging pang-araw-araw na kagamitan para sa pagbabayad, pag-access sa mga menu, at pagkonekta sa mga digital na serbisyo. Ngunit ang pamilyar na ito ay sinamantala rin ng mga cybercriminal upang magbigay ng bagong tulong sa online fraud. Natukoy ng security company na ESET ang isang malaking pagtaas sa quishing, isang uri ng phishing na gumagamit ng mga tuldok-tuldok na code na ito upang idirekta ang mga user sa mga malisyosong website nang hindi nila nababasa ang destination URL.
Ang mga pinakabagong datos ay nagpapatunay na : ang ESET Threat Report H1 2026 ay nagpapahiwatig na ang mga malisyosong QR code ay lumilitaw sa 11% ng lahat ng phishing email, na may average na mahigit 100.000 na pagtuklas bawat buwan. Sa katunayan, ang Espanya ay pangalawa sa mundo sa bilang ng mga pag-atake ng ganitong uri, pangalawa lamang sa Estados Unidos.
Ano ang quishing at bakit ito umuusbong?
Ang quishing ay mahalagang isang uri ng klasikong phishing, ngunit may karagdagang elemento: ang malisyosong link ay nakatago sa loob ng isang QR code. Ini-scan ng user ang larawan at napupunta sa isang mapanlinlang na website na maaaring magnakaw ng kanilang mga password sa bangko, mga kredensyal sa pag-login, o kahit na mag-install ng malware sa kanilang device.
Isa sa mga dahilan ng tagumpay nito ay ang hindi agad nakikitang destinasyon ng link . Sa isang kahina-hinalang email, makikita mo ang iligal na domain; dito, lahat ay naka-compress sa isang parisukat na pixel. Bukod pa rito, ang mga code na ito ay naka-embed sa mga mensahe bilang isang naka-attach na larawan o PDF, na nilalampasan ang maraming filter ng seguridad ng email. At ang trick ay mas epektibo pa dahil inililipat nito ang komunikasyon mula sa computer sa trabaho patungo sa mobile phone, isang device na kadalasang walang parehong antas ng proteksyon.
Malaki rin ang ginagampanang papel ng social engineering. Ginagamit ng mga kriminal ang imahe ng mga kilalang brand, tulad ng DocuSign o Microsoft, at sinasamantala ang mga agarang sitwasyon, halimbawa, sa pamamagitan ng pagbabala na ang account ay masususpinde kung hindi ito maa-authenticate. Bilang resulta, ang mensahe ay dumarating sa inbox, at hindi makikita ng empleyado ang alinman sa mga karaniwang phishing indicator dahil walang tekstong mababasa sa link.
Pagsusulit sa Espanya, isang alerto na hindi humihinto
Ang Espanya ay naging pangunahing lugar para sa ganitong uri ng pandaraya. Tinatantya ng ESET na 17% ng mga pandaigdigang pagtuklas ng quishing ay nakapokus sa bansa, na nagpapatunay na ang pamamaraan ay nakahanap ng matabang lupa. Isa sa mga pinakarepresentatibong kaso ay nalutas salamat sa interbensyon ng National Cybersecurity Institute (INCIBE). Isang kostumer ng restawran ang nag-scan ng QR code sa menu, na binago, at hindi namamalayang nag-subscribe sa isang premium na serbisyo.
Binigyang-diin din ng OCU (Spanish Consumers' Organization) ang isyu ng mga pekeng QR code na ikinakabit sa mga sasakyan upang gayahin ang mga multa sa trapiko. Kapag ini-scan ng biktima ang code upang bayaran ang multa, ibinibigay nila ang mga detalye ng kanilang card sa isang mapanlinlang na website. Hindi lang doon natatapos ang mga panlolokong ito: nakita na rin ang mga sticker na may mga mapanlinlang na QR code na sumasaklaw sa mga tunay na code ng mga parking meter at mga bisikletang ginagamit sa iba't ibang lugar. Tinatakpan ng mga umaatake ang orihinal ng isang naka-print na code na nakaturo sa kanilang sariling domain.
Ipinapahiwatig ng mga ESET lab na Abril 2026 ang pinakamataas na bilang ng mga natukoy na kaso, bagama't nagsimula nang magpakita ng patuloy na pagtaas ang mga time series. Ang seguridad sa mobile at corporate email ang pangunahing panangga, ngunit ang mga hindi gaanong nakagawiang gawi ng mga gumagamit ang gumagawa ng iba pa.
Ang iba pang mga panig ng pandaraya sa QR
Hindi lang ito tungkol sa malawakang pandaraya laban sa mga kostumer ng restawran. Natukoy din ng U.S. Internal Revenue Service (IRS) ang mga kampanyang kinasasangkutan ng mga pisikal na letra na nagbabalatkayo bilang mga abiso sa buwis, na naglalaman ng QR code na nangangako ng mga beripikasyon ng account o dokumentasyon para sa mga may-ari ng cryptocurrency. Ang pag-scan ng code ay magdadala sa biktima sa isang website na humihiling ng mga seed phrase o private key—ang elementong nagbibigay ng kontrol sa mga digital na pondo.
Ang papel ng mga estado ay nasa likod din ng mga patibong na ito . Isang advisory ng FBI noong Enero 2026 ang nagbanggit sa grupong Kimsuky, na umano'y may kaugnayan sa Hilagang Korea, bilang responsable sa mga pag-atake sa cyberespionage ng QR code kung saan gumamit sila ng mga dahilan tulad ng mga dokumento o porma ng gobyerno upang makakuha ng access sa mga organisasyon ng pananaliksik. Sa madaling salita, ang pamamaraan ay nakapasok din sa arsenal ng mga grupo ng APT, na may layuning ikompromiso ang mga high-value network.
Paano protektahan ang iyong sarili laban sa panghihimasok
Ang pangunahing depensa laban sa pandaraya na ito ay isang bagay na kasingsimple ng pagiging mapagduda. Inirerekomenda ng INCIBE na huminto muna bago i-scan ang anumang QR code na naka-post sa isang pampublikong lugar. Kung ang sticker ay tila nababalat, nagpapakita ng mga senyales ng pakikialam, o direktang nasa ibabaw ng ibang code, hindi ito dapat gamitin. Sa kaso ng mga email, mag-ingat sa anumang hindi hinihinging mensahe na humihimok sa iyong i-scan ang isang QR code, lalo na kung naglalaman ito ng labis na pressure sa oras.
Mainam ding tingnan ang URL na pinapapunta ng code. Kung ang iyong telepono ay may preview ng link, hanapin ang mga typo, pinaikling domain, o kakaibang mga variation ng mga pamilyar na website. Ang pag-disable sa awtomatikong pagbubukas ng link kapag nag-scan ng QR code ay isa pang kapaki-pakinabang na layer ng proteksyon, sa parehong iOS at Android system. At huwag kailanman magbigay ng impormasyon sa pagbabayad, mga kredensyal, o mga detalye ng wallet nang hindi bine-verify sa pamamagitan ng ibang channel na lehitimo ang kahilingan.
Para sa mga negosyo, inirerekomenda ng mga eksperto sa ESET ang pagsasama ng quishing sa mga programa ng kamalayan at mga simulation ng phishing. Ang teknolohiya ay isa pang mahalagang elemento: mga filter ng email na may kakayahang kumuha at mag-analisa ng mga QR code sa mga file, proteksyon para sa mga mobile device ng korporasyon, at phishing-resistant authentication para sa mga high-privilege account. Ang paglalapat ng prinsipyo ng least privilege at pagpapanatiling updated ng software ay mga karagdagang hakbang na pumipigil sa isang malisyosong scan na maging isang kritikal na kompromiso sa network.
Hindi na bago ang popularidad ng mga QR code, ngunit hindi rin bago ang banta na dulot ng mga ito. Ang quishing ay naging matatag na bilang isang banta na naglilipat ng data sa isang screen at isang binary code, at ang mga hakbang na gumagana para sa text-based phishing ay gumagana rin dito kung ilalapat nang may sentido komun. Nasa gitna na ng panganib ang Espanya, at ang pagkakaiba sa pagitan ng pagiging biktima at pag-iwas sa takot ay nakasalalay sa simpleng ugali ng pagsuri, bago mag-scan, na ang destinasyon ay hindi isang scam.