מה שהיה פעם משאב טכני השמור לסביבות לוגיסטיקה הפך למרכיב יומיומי בספרד. אנחנו מדברים על קוד ה-QR , אותו ריבוע עם דוגמאות בשחור-לבן שאנו סורקים מדי יום כדי לצפות בתפריט, לשלם עבור חניה, לגשת לאירוע או להתחבר ל-Wi-Fi של הבר. אבל לנוחות שלו יש גם חיסרון: הקלות שבה הוא נוצר ומשתמשים בו פתחה את הדלת להונאות חדשות שמשגשגות בזכות הפופולריות שלו.
הכל הואץ בשנת 2020. עם הגעת מגפת הקורונה, עסקים נאלצו להסתגל במהירות ומצאו בקודי QR נתיב מהיר להצעת תפריטים ללא נייר וללא מגע. שינוי הרגלים זה כאן כדי להישאר, וכיום הקוד לא רק עדיין קיים בתעשיית האירוח, אלא משמש גם לתשלומים, כרטיסים דיגיטליים, הליכים אדמיניסטרטיביים או אפילו לגישה לרשתות Wi-Fi מבלי להקליד סיסמאות ארוכות. עם זאת, עם הזמן הוא הפך גם למטרה אטרקטיבית עבור פושעי סייבר, שכינו את שיטת התקיפה החדשה שלהם QRishing . ובסיפור הזה, החוליה החלשה ביותר היא בדרך כלל החיפזון של המשתמש.
מהו קוד QR ואיך הוא עובד?
קוד QR (קוד תגובה מהירה) הוא תגית אופטית המאחסנת מידע באופן דו-ממדי. בניגוד לברקוד מסורתי, המאחסן נתונים בכיוון אחד בלבד, קוד QR מחלק אותם אופקית ואנכית בתוך רשת. מבנה זה מאפשר לכלול תוכן רב משמעותית באותו שטח וגם משלב מערכות תיקון שגיאות המאפשרות קריאתו גם עם נזק חלקי או כתם קטן.
תהליך היצירה פשוט: מחולל הופך את התוכן הרצוי (כתובת URL, טקסט, מספר טלפון או נתוני חיבור Wi-Fi) לסיביות, ממקם אותן ברשת ומוסיף שלושה ריבועי פינה המסייעים למצלמה להתמצא. קלות היצירה הזו הכפילה את השימוש בה, אך היא גם פתחה את הדלת לכל אחד ליצור קוד QR למטרות זדוניות מבלי להזדקק לידע טכני.
בין הסוגים הנפוצים ביותר של קודי QR נמצאים קודי QR סטטיים ודינמיים. קודי QR סטטיים מאחסנים מידע בפורמט קבוע, כך שאם צריך לשנות את התוכן, צריך ליצור קוד חדש ולהפיץ אותו מחדש. זה שימושי עבור נתונים שאינם משתנים, כגון מספר סידורי או רישום חד פעמי. קודי QR דינמיים, לעומת זאת, פועלים באמצעות הפניה קצרה: קוד ה-QR מצביע לכתובת ביניים שניתן לשנות, כך שאם משנים את היעד לאחר הדפסתו, אין צורך להדפיס דבר מחדש. זוהי האפשרות שנבחרת על ידי מסעדות וחנויות מכיוון שהיא מאפשרת להן לעדכן תפריטים או מבצעים מבלי ליצור קוד חדש בכל שבוע.
הצד האפל: כך עובד QRishing
הבעיה התעוררה כאשר פושעי סייבר החלו לראות בקודי QR ערוץ מושלם להונאה. QRishing הוא גרסה של פישינג מסורתי שבו התוקף מדפיס קוד מזויף ומדביק אותו על גבי קוד לגיטימי או מניח אותו במקומות ציבוריים כמו מדחני חניה, שלטי חניה, קירות או לוחות מודעות. כאשר הקורבן סורק אותו, הוא מועבר לאתר אינטרנט הונאה שמתחזה לחברה, בנק או שירות רשמי, במטרה לגנוב סיסמאות, נתונים אישיים או מידע בנקאי.
אחד הטריקים הנפוצים ביותר כרוך בהדבקת מדבקה מעל קוד ה-QR המקורי , למשל, על שולחן במסעדה או שלט תשלום חניה. אם הקוד נראה מקולף, לא מיושר, או באיכות הדפסה שונה משאר השלט, עדיף לא לסרוק אותו. היו גם מקרים של חבילות לא רצויות שהגיעו לבתים עם קוד QR ל"אישור מסירה" או "מעקב אחר משלוח", מה שהוביל בפועל לאתר אינטרנט הונאה. הודעות וואטסאפ המזמינות משתמשים לסרוק קוד לקישור מכשיר, כשלמעשה הן מעניקות גישה לצד שלישי לחשבון, הן הונאה נוספת הנפוצה בספרד ובשאר אירופה.
עונת החגים מגדילה משמעותית את הסיכון. באוגוסט, במקביל להליכי סגירת סוף השנה ולגיוס עונתי, מומחים מזהירים כי פושעי סייבר מרחיבים את הקמפיינים שלהם כך שיכללו את כל סביבת הנסיעות: כרטיסי טיסה המגיעים בדואר "דחוף", התחזות לפלטפורמות הזמנות והחזרים הונאה בגין עיכובים או עמלות שטרם שולמו. יתר על כן, התחזות קולית (וישינג) התפתחה עם השימוש בשכפול קולי המופעל על ידי בינה מלאכותית כדי להטעות עובדים ולקבל העברות או שינויים בחשבון הבנק. במקרים אלה, המלצת המומחים ברורה: כאשר מתמודדים עם שיחה או הודעה דחופה, יש לחשוד ולאמת את מקורן דרך ערוץ אחר לפני נקיטת פעולה כלשהי.
כיצד לזהות קוד QR מזויף לפני סריקתו
המכון הלאומי לאבטחת סייבר בספרד (INCIBE) מפרסם אזהרות בנושא זה מזה זמן מה. ההמלצה העיקרית היא לצפות בתצוגה מקדימה של כתובת ה-URL לפני פתיחתה . גם באנדרואיד וגם באייפון, כתובת היעד מופיעה לאחר סריקת הקוד, לכן הקדישו מספר שניות לבדיקתה. אם הדומיין אינו תואם את השם הרשמי של החברה, אם יש בו שגיאות כתיב או תווים מוזרים, או אם מדובר בקישור מקוצר, עדיף לעזוב מבלי ללחוץ.
דגל אדום נוסף הוא אם הטלפון שלכם מבקש מכם להוריד קובץ APK, וזה מסוכן במיוחד במכשירי אנדרואיד מכיוון שהוא יכול להתקין תוכנה זדונית. עליכם גם להיזהר אם הוא מבקש מכם להזין סיסמאות או פרטי בנק מיד לאחר פתיחת הדף. אתרים לגיטימיים לעיתים רחוקות מבקשים מידע מסוג זה בביקור הראשון באמצעות קוד QR.
בין הטיפים המעשיים שמומחים מדגישים שוב ושוב נמנים:
- סרוק רק קודים ממקורות מהימנים, רצוי על תומכים קבועים ולא על מדבקות שנוספו.
- יש לאמת את כתובת האינטרנט לפני פתיחת הקישור ואל תסמכו על מקצרי קישורים.
- השתמש במצלמה המקורית של הטלפון שלך במקום באפליקציות של צד שלישי לסריקה.
- הימנעו מהזנת מידע אישי או מידע בנקאי אם האתר מעורר אפילו ספק קל ביותר.
- שמרו על מערכת ההפעלה והאפליקציות של הטלפון שלכם מעודכנות.
אם כבר סרקתם קוד חשוד ונכנסתם לאתר אינטרנט לא מוכר, הדבר הראשון שעליכם לעשות הוא לסגור אותו מיד. אם הזנתם סיסמה, שנו אותה בהקדם האפשרי באתר הרשמי של השירות והפעילו אימות דו-שלבי. אם הורדתם אפליקציה לא מוכרת, הסירו אותה והפעילו סריקת אבטחה במכשיר שלכם. בנוסף, מומלץ לבדוק את הפעילות בכל חשבונות הבנק המקושרים, ואם אתם מבחינים בעסקאות חריגות, צרו קשר עם הבנק שלכם כדי לחסום את הכרטיס. פעולה מהירה יכולה לעשות את ההבדל בין פחד גדול לאי נוחות פשוטה.
מעבר להונאה: גם לקודי QR יש צד חיובי
למרות הסיכונים, אין להשמיץ את קודי ה-QR. הם נותרים כלי שימושי, חסכוני ורב-תכליתי ביותר עבור עסקים וסוכנויות ממשלתיות. הם מאפשרים גישה למסמכים וסרטונים, תשלומים, כרטיסים דיגיטליים, מידע על מוזיאונים, שיתוף מיקום וחיבור Wi-Fi מבלי להזין סיסמה. קלות המעבר שלהם מנייר לנייד מסבירה מדוע, גם לאחר המגיפה, הם נותרים חלק בלתי נפרד מחיי היומיום שלנו. המפתח הוא להשתמש בהם בחוכמה ולהישמע לעצה של מומחי אבטחת סייבר לעתים קרובות: לעולם אל תפעלו באימפולסיביות ותמיד אימות הערוץ לפני נקיטת פעולה כלשהי.
אז בפעם הבאה שאתם מוציאים את הטלפון שלכם כדי לסרוק קוד ברחוב, במונית או בבר, קחו כמה שניות לבחון היטב את המכשיר ואת כתובת האתר שאליה הוא מוביל. הטכנולוגיה הפכה את פתיחת דף לעניין של שנייה, אבל אותה מהירות פועלת גם לטובת אלו שרוצים להונות אתכם. עם קצת תשומת לב, קודי QR ימשיכו להיות משהו שיקל על חיינו מבלי לסכן את הנתונים שלנו.
