Ang dating teknikal na mapagkukunan na nakalaan para sa mga kapaligirang pang-logistik ay naging pang-araw-araw na elemento sa Espanya. Pinag-uusapan natin ang QR code , ang parisukat na may itim at puting mga pattern na ini-scan natin araw-araw upang tingnan ang isang menu, magbayad para sa paradahan, ma-access ang isang kaganapan, o kumonekta sa Wi-Fi ng bar. Ngunit ang kaginhawahan nito ay may downside: ang mismong kadalian ng paglikha at paggamit nito ay nagbukas ng pinto sa mga bagong scam na umuunlad sa kasikatan nito.
Bumilis ang lahat noong 2020. Sa pagdating ng pandemya ng coronavirus, kinailangang mabilis na umangkop ng mga negosyo at nakahanap sa mga QR code ng mabilis na daan patungo sa pag-aalok ng mga paperless at contactless na menu. Ang pagbabagong ito sa mga gawi ay mananatili, at ngayon ang code ay hindi lamang naroroon pa rin sa industriya ng hospitality, kundi ginagamit din para sa mga pagbabayad, digital ticket, mga pamamaraang administratibo, o kahit na para ma-access ang mga Wi-Fi network nang hindi nagta-type ng mahahabang password. Gayunpaman, sa paglipas ng panahon, ito rin ay naging isang kaakit-akit na target para sa mga cybercriminal, na tinawag ang kanilang bagong paraan ng pag-atake na QRishing . At sa kuwentong ito, ang pinakamahinang link ay karaniwang ang pagmamadali ng gumagamit.
Ano ang isang QR code at paano ito gumagana?
Ang QR code (Quick Response code) ay isang optical tag na nag-iimbak ng impormasyon nang dalawang-dimensyon. Hindi tulad ng tradisyonal na barcode, na nag-iimbak lamang ng data sa isang direksyon, ipinamamahagi ito ng QR code nang pahalang at patayo sa loob ng isang grid. Ang istrukturang ito ay nagbibigay-daan para sa mas maraming nilalaman na maisama sa parehong espasyo at isinasama rin ang mga sistema ng pagwawasto ng error na nagbibigay-daan upang mabasa ito kahit na may bahagyang pinsala o kaunting mantsa.
Simple lang ang proseso ng paggawa: binabago ng isang generator ang ninanais na nilalaman (URL, text, numero ng telepono, o data ng koneksyon sa Wi-Fi) sa mga piraso, inilalagay ang mga ito sa grid, at nagdaragdag ng tatlong parisukat sa sulok na tumutulong sa camera na i-orient ang sarili nito. Ang kadalian ng paggawa na ito ay nagparami ng gamit nito, ngunit nagbukas din ito ng pinto para sa sinuman na lumikha ng QR code para sa mga malisyosong layunin nang hindi nangangailangan ng teknikal na kaalaman.
Kabilang sa mga pinakakaraniwang uri ng QR code ay ang mga static at dynamic. Ang mga static na QR code ay nag-iimbak ng impormasyon sa isang nakapirming format, kaya kung kailangan mong baguhin ang nilalaman, dapat kang bumuo ng isang bagong code at muling ipamahagi ito. Ito ay kapaki-pakinabang para sa data na hindi nagbabago, tulad ng serial number o isang beses na pagpaparehistro. Sa kabilang banda, ang mga dynamic na QR code ay gumagana sa pamamagitan ng isang maikling pag-redirect: ang QR code ay tumuturo sa isang intermediate address na maaaring baguhin, kaya kung babaguhin mo ang destinasyon pagkatapos itong i-print, hindi mo na kailangang mag-print muli ng anuman. Ito ang opsyong pinipili ng mga restaurant at tindahan dahil pinapayagan sila nitong i-update ang mga menu o alok nang hindi bumubuo ng bagong code bawat linggo.
Ang madilim na bahagi: ganito gumagana ang QRishing
Ang problema ay lumitaw nang ang mga cybercriminal ay nagsimulang makita ang mga QR code bilang isang perpektong paraan para sa panlilinlang. Ang QRishing ay isang uri ng tradisyonal na phishing kung saan ang attacker ay nagpi-print ng pekeng code at idinidikit ito sa isang lehitimong code o inilalagay ito sa mga pampublikong lokasyon tulad ng mga parking meter, mga karatula sa paradahan, mga dingding, o mga bulletin board. Kapag ini-scan ito ng biktima, dinadala sila sa isang mapanlinlang na website na nagpapanggap na isang kumpanya, bangko, o opisyal na serbisyo, na may layuning magnakaw ng mga password, personal na data, o impormasyon sa pagbabangko.
Isa sa mga pinakakaraniwang panlilinlang ay ang paglalagay ng sticker sa ibabaw ng orihinal na QR code , halimbawa, sa mesa ng restaurant o karatula ng bayad sa paradahan. Kung ang code ay mukhang hindi nabasag, hindi nakahanay, o may ibang kalidad ng pag-print kumpara sa ibang bahagi ng karatula, mas mainam na huwag itong i-scan. Mayroon ding mga kaso ng mga hindi hinihinging pakete na dumarating sa mga bahay na may QR code para "kumpirmahin ang paghahatid" o "subaybayan ang kargamento," na talagang humahantong sa isang mapanlinlang na website. Ang mga mensahe sa WhatsApp na nag-aanyaya sa mga user na i-scan ang isang code para i-link ang isang device, gayong sa katotohanan ay nagbibigay sila ng third-party access sa account, ay isa pang madalas na ginagamit na scam sa Spain at sa iba pang bahagi ng Europe.
Malaki ang naitutulong ng panahon ng kapaskuhan para mapalaki ang panganib. Noong Agosto, kasabay ng mga pamamaraan ng pagsasara ng trabaho sa katapusan ng taon at pana-panahong pagkuha ng empleyado, nagbabala ang mga eksperto na pinalalawak ng mga cybercriminal ang kanilang mga kampanya upang saklawin ang buong kapaligiran ng paglalakbay: mga tiket sa eroplano na dumarating sa pamamagitan ng "urgent" na koreo, panggagaya sa mga platform ng pag-book, at mga mapanlinlang na refund para sa mga pagkaantala o mga natitirang bayarin. Bukod pa rito, ang vishing (panggagaya sa boses) ay umunlad sa paggamit ng AI-powered voice cloning upang linlangin ang mga empleyado at makakuha ng mga transfer o pagbabago sa bank account. Sa mga kasong ito, malinaw ang rekomendasyon ng mga eksperto: kapag nahaharap sa isang apurahang tawag o mensahe, maging mapaghinala at beripikahin ang pinagmulan nito sa pamamagitan ng ibang channel bago gumawa ng anumang aksyon.
Paano matukoy ang pekeng QR code bago ito i-scan
Matagal nang naglalabas ng mga babala ang Spanish National Cybersecurity Institute (INCIBE) tungkol dito. Ang pangunahing rekomendasyon ay i-preview ang URL bago ito buksan . Sa parehong Android at iPhone, lumalabas ang destination address pagkatapos i-scan ang code, kaya maglaan ng ilang segundo para suriin ito. Kung ang domain ay hindi tumutugma sa opisyal na pangalan ng kumpanya, kung mayroon itong mga typo o kakaibang karakter, o kung ito ay isang pinaikling link, pinakamahusay na umalis nang hindi nagki-click.
Isa pang babala ay kung hihilingin sa iyo ng iyong telepono na mag-download ng APK file, na lubhang mapanganib sa mga Android device dahil maaari itong mag-install ng malware. Dapat ka ring mag-ingat kung hihilingin nito sa iyo na maglagay ng mga password o detalye ng bangko pagkatapos mong buksan ang pahina. Bihirang humiling ang mga lehitimong website ng ganitong uri ng impormasyon sa unang pagbisita sa pamamagitan ng QR code.
Kabilang sa mga praktikal na payo na paulit-ulit na binibigyang-diin ng mga eksperto ay:
- I-scan lamang ang mga code mula sa mga mapagkakatiwalaang mapagkukunan, mas mabuti kung nasa mga nakapirming suporta at hindi sa mga idinagdag na sticker.
- I-verify ang web address bago buksan ang link at huwag magtiwala sa mga link shortener.
- Gamitin ang native camera ng iyong telepono sa halip na mga third-party na app para sa pag-scan.
- Iwasang maglagay ng personal o impormasyon sa bangko kung ang site ay nagdudulot ng kahit kaunting pagdududa.
- Panatilihing napapanahon ang operating system at mga application ng iyong telepono.
Kung nakapag-scan ka na ng kahina-hinalang code at nakapaglagay ng hindi pamilyar na website, ang unang dapat mong gawin ay isara ito kaagad. Kung naglagay ka ng password, palitan ito sa lalong madaling panahon sa opisyal na website ng serbisyo at paganahin ang two-step verification. Kung nag-download ka ng hindi kilalang app, i-uninstall ito at magsagawa ng security scan sa iyong device. Bukod pa rito, mainam na suriin ang aktibidad sa anumang naka-link na bank account at, kung may mapansin kang anumang hindi pangkaraniwang transaksyon, makipag-ugnayan sa iyong bangko upang harangan ang card. Ang mabilis na pagkilos ay maaaring magdulot ng malaking takot at simpleng abala.
Higit pa sa pandaraya: May mga positibong aspeto rin ang mga QR code
Sa kabila ng mga panganib, hindi dapat gawing demonyo ang mga QR code. Nananatili itong isang kapaki-pakinabang, matipid, at maraming gamit na kagamitan para sa mga negosyo at ahensya ng gobyerno. Pinapayagan nito ang pag-access sa mga dokumento at video, mga pagbabayad, mga digital na tiket, impormasyon sa museo, pagbabahagi ng lokasyon, at koneksyon sa Wi-Fi nang hindi naglalagay ng password. Ang kadalian ng paglipat mula sa papel patungo sa mobile ay nagpapaliwanag kung bakit, kahit na pagkatapos ng pandemya, nananatili pa rin itong mahalagang bahagi ng ating pang-araw-araw na buhay. Ang susi ay gamitin ang mga ito nang matalino at sundin ang payo na madalas ibigay ng mga eksperto sa cybersecurity: huwag kumilos nang padalos-dalos at palaging beripikahin ang channel bago gumawa ng anumang aksyon.
Kaya sa susunod na ilabas mo ang iyong telepono para mag-scan ng code sa kalye, sakay ng taxi, o sa isang bar, maglaan ng ilang segundo para maingat na suriin ang device at ang address ng website na pinupuntahan nito. Dahil sa teknolohiya, naging madali na ang pagbubukas ng isang pahina, ngunit ang parehong bilis ay nakakatulong din sa mga gustong manloko sa iyo. Sa kaunting atensyon, ang mga QR code ay patuloy na magiging isang bagay na magpapadali sa ating buhay nang hindi isinasapanganib ang ating data.
