Ang quishing ay naging isa sa pinakamabilis na lumalagong banta sa loob ng phishing. Simple lang ang ideya: ang isang tila hindi nakakapinsalang QR code ay nagtatago ng isang mapanlinlang na address. Tinantiya ng Microsoft ang paglagong ito: noong Marso 2026, nakatukoy ito ng 18,7 milyong ganitong pag-atake , kumpara sa 7,6 milyon noong Enero, na kumakatawan sa 146% na pagtaas sa loob lamang ng tatlong buwan.
Ang problema ay nasa mga kilos na naging bahagi na ng ating pang-araw-araw na gawain. Ang pag-scan sa menu ng restawran, pagbabayad para sa paradahan, pag-download ng tiket, o paghahanap ng impormasyon ng turista ay naging pangkaraniwan na. Sinasamantala ng mga cybercriminal ang pamilyar na ito. Binibigyang-diin ng mga eksperto mula sa Áudea, ang cybersecurity unit ng Logicalis Spain, na ang web address ay nananatiling nakatago hanggang sa mabuksan ang link, kaya nababawasan ang mga babalang senyales na maaaring matukoy ng isang user sa unang tingin.
Bakit itinatago ng isang QR code ang panlilinlang at lumilipat mula sa computer patungo sa mobile
Hindi tulad ng text link, hindi ipinapakita ng QR code ang URL bago i-scan. Itinuturo ni Andrés Cartes Guilarte, Cybersecurity Culture Consultant sa Áudea, na ang opacity na ito ay isa sa pinakamalaking bentahe para sa mga umaatake. Hindi mabe-verify ng user kung lehitimo ang destinasyon, at sa maraming pagkakataon, ang pag-scan ay ginagawa mula sa isang mobile phone , na naglilipat ng interaksyon sa labas ng corporate computer at lampas sa mga kontrol sa seguridad ng kumpanya.
Kapag nabuksan na ang link, maaaring mapunta ang biktima sa mga pahinang ginagaya ang mga serbisyo ng korporasyon, mga platform ng pagbabangko, o mga screen ng pagpapatotoo. Ang layunin ay depende sa uri ng pandaraya, ngunit kadalasan ay kinabibilangan ito ng pagkuha ng mga kredensyal, personal na datos, o impormasyong pinansyal . Mas kapani-paniwala ang pagpapanggap na ito kapag ang mensahe ay dumating sa isang pamilyar na konteksto, tulad ng isang diumano'y panloob na komunikasyon o isang abiso mula sa isang entity na regular na ginagamit ng user.
Natukoy din ng Microsoft ang humigit-kumulang 8.300 bilyong banta ng phishing na ipinamahagi sa pamamagitan ng email sa parehong panahon. Inilarawan ng kumpanya ang quishing bilang ang pinakamabilis na lumalagong vector ng pag-atake sa panahong iyon, isang trend na naaayon sa lumalawak na paggamit ng mga QR code sa lahat ng uri ng kapaligiran.
Mga PDF, email, at dokumento ng Microsoft 365: ang mga ginustong channel
Ang 2026 Email Threats Report ng Barracuda ay nagpapakita ng ilang kapansin-pansing natuklasan. 70% ng mga malisyosong PDF na sinuri ay naglalaman ng mga QR code na humantong sa mga phishing page. Sa madaling salita, ang dokumento ay nagsisilbing isang pagbabalatkayo upang linlangin ang biktima na magtiwala sa file at huwag paghinalaan ang code sa loob.
Idinedetalye rin sa parehong ulat na 56% ng mga malisyosong dokumento ng Microsoft 365 ang may kasamang quishing. Bukod pa rito, ang mga code na direktang naka-embed sa katawan ng mga email ay tumaas ng 336% noong Marso 2026. Hindi lamang nililimitahan ng mga attacker ang kanilang mga sarili sa mga attachment: inilalagay din nila ang QR code sa loob mismo ng teksto ng mensahe upang mapataas ang posibilidad na may mag-scan nito.
Ipinapahiwatig ng Threat Report H1 2026 ng ESET na hanggang 11% ng lahat ng phishing attack sa unang kalahati ng taon ay isinagawa gamit ang quishing method. Nagbabala ang kompanya na ang mga pamamaraang ito ay nagiging mas sopistikado: ang ilang kampanya ay naglalayong makakuha ng mga multi-factor authentication token, mag-install ng malware, linlangin ang mga biktima na mag-download ng mga malisyosong app, o gumamit ng mga lehitimong phone app bilang bahagi ng scam.
Ipinaliwanag ni Josep Albors, Pinuno ng Pananaliksik at Kamalayan sa ESET Spain, na maaaring higit pang itago ng mga umaatake ang code sa pamamagitan ng pag-embed nito sa mga PDF, JPEG na imahe, o iba pang mga dokumento , o sa pamamagitan ng paggamit ng mga serbisyong nagpapaikli sa mga URL bago mabuo ang QR code. Kasabay nito, ang mensaheng kasama ng code ay maaaring maglaman ng napakakaunting teksto, na nag-aalis ng mga klasikong pahiwatig tulad ng mga pagkakamali sa pagbaybay, nakikitang mga link, o hindi pangkaraniwang mga domain.
Mula sa menu ng restawran hanggang sa paradahan: mga hakbang sa pisikal na panganib at depensa
Hindi lang sa iyong inbox natatapos ang panganib. Ang mga QR code na inilalagay sa mga restawran, tindahan, pampublikong transportasyon, paradahan, at mga serbisyong panturista ay nagdudulot din ng parehong problema: hindi mo masusuri kung aling pahina ang ipapakita nila bago i-scan ang mga ito. Bukod pa rito, sa mga pampublikong lugar, ang code ay maaaring pinakialaman o napalitan ng isang mapanlinlang na code.
Noong Agosto, idinokumento ng INCIBE ang isang totoong kaso na perpektong naglalarawan sa panganib. Ini-scan ng isang user ang QR code ng menu ng isang restaurant at, matapos i-click ang link at tanggapin ang isang pop-up window, hindi sinasadyang na-activate ang isang hindi hinihinging premium subscription . Ang ibang mga customer sa parehong establisyimento ay nakaranas ng mga katulad na sitwasyon, na nagpapakita na ang problema ay hindi isang nakahiwalay na insidente na kinasasangkutan ng iisang indibidwal.
Ang paglawak ng teknolohiyang ito ay nagpapaliwanag ng bahagi ng penomeno. Ayon sa datos na tinipon ng QR TIGER, humigit-kumulang 75% ng mga restawran sa buong mundo ang gumagamit na ng mga QR code upang mapadali ang pag-access sa mga digital na menu. Ang paggamit ng tool na ito sa marketing at advertising ay lumago ng 323% sa pagitan ng 2021 at 2023, isang bilang na nakakatulong na ipaliwanag kung bakit dito nakatuon ang mga kriminal.
Para sa mga negosyo, inirerekomenda ng ESET ang pagsasama ng quishing sa mga programa ng kamalayan at mga pagsasanay sa simulasyon upang matutunan ng mga empleyado na makilala ang mga kahina-hinalang QR code. Ipinapayo rin nito ang laban sa pag-scan ng mga code sa mga hindi hinihinging email at inirerekomenda ang pag-uulat ng anumang kahina-hinalang mensahe.
Kapag naniniwala ang isang empleyado na ang isang mensahe ay nagmumula sa isang mapagkakatiwalaang mapagkukunan, ipinapayong beripikahin ito sa pamamagitan ng isang independiyenteng channel , gamit ang impormasyon sa pakikipag-ugnayan na wala mismo sa email. Pinipigilan ng beripikasyong ito ang kumpirmasyon na umasa sa impormasyong ipinadala ng potensyal na umaatake.
Mahalaga rin ang teknikal na proteksyon. Kabilang sa mga nabanggit na hakbang ay ang mga solusyon sa seguridad ng email, mga tool sa seguridad ng mobile, pamamahala ng device sa pamamagitan ng MDM, phishing-resistant multi-factor authentication , ang prinsipyo ng least privilege, just-in-time access, mga regular na update, at pagsubaybay para sa mga hindi pangkaraniwang pag-uugali. Bukod pa rito, mahalagang subukan ang mga plano sa pagtugon sa insidente upang matiyak ang mabilis na pagtugon kung sakaling magkaroon ng pag-atake.
- Seguridad sa email at mobile para harangan ang mga malisyosong link at code.
- Pamamahala ng Kagamitang MDM magpatupad ng mga minimum na patakaran.
- MFA na lumalaban sa phishing at ang prinsipyo ng pinakamababang pribilehiyo.
- Mga update, access sa tamang oras at patuloy na pangangasiwa.
Malinaw ang padron na ipinakita ng lahat ng mga datos na ito: Ang mga QR code ay nakahanap ng angkop na lugar sa pang-araw-araw na buhay dahil ang mga ito ay maginhawa, mabilis, at nasa lahat ng dako. Ang mismong pagiging nasa lahat ng dako na ito ang dahilan kung bakit ito mahirap matukoy na banta. Ang mahalaga ay maging maingat sa mga hindi inaasahan , suriin ang konteksto bago mag-scan, at magpatupad ng mga hakbang sa seguridad na kasama ng gumagamit mula sa email patungo sa mga mobile device, kabilang ang mga dokumento at pisikal na espasyo.
