Apa yang dahulunya merupakan sumber teknikal yang dikhaskan untuk persekitaran logistik telah menjadi elemen harian di Sepanyol. Kita sedang bercakap tentang kod QR , iaitu segi empat sama dengan corak hitam putih yang kita imbas setiap hari untuk melihat menu, membayar tempat letak kereta, mengakses acara atau bersambung ke Wi-Fi bar. Tetapi kemudahannya mempunyai kelemahan: kemudahan yang dijana dan digunakan telah membuka pintu kepada penipuan baharu yang berkembang maju dengan popularitinya.
Segalanya menjadi lebih pantas pada tahun 2020. Dengan ketibaan pandemik koronavirus, perniagaan terpaksa menyesuaikan diri dengan cepat dan menemui laluan pantas dalam kod QR untuk menawarkan menu tanpa kertas dan tanpa sentuh. Perubahan tabiat itu akan kekal, dan hari ini kod tersebut bukan sahaja masih terdapat dalam industri hospitaliti, tetapi juga digunakan untuk pembayaran, tiket digital, prosedur pentadbiran atau pun untuk mengakses rangkaian Wi-Fi tanpa menaip kata laluan yang panjang. Walau bagaimanapun, lama-kelamaan ia juga telah menjadi sasaran menarik bagi penjenayah siber, yang telah menggelarkan kaedah serangan baharu mereka sebagai QRishing . Dan dalam kisah ini, pautan paling lemah biasanya adalah ketergesa-gesaan pengguna.
Apakah kod QR dan bagaimana ia berfungsi?
Kod QR (Kod Respons Pantas) ialah tag optik yang menyimpan maklumat secara dua dimensi. Tidak seperti kod bar tradisional, yang menyimpan data dalam satu arah sahaja, kod QR mengedarkannya secara mendatar dan menegak dalam grid. Struktur ini membolehkan lebih banyak kandungan dimasukkan ke dalam ruang yang sama dan juga menggabungkan sistem pembetulan ralat yang membolehkannya dibaca walaupun terdapat kerosakan separa atau sedikit comot.
Proses penciptaannya mudah: penjana mengubah kandungan yang dikehendaki (URL, teks, nombor telefon atau data sambungan Wi-Fi) menjadi bit, meletakkannya dalam grid dan menambah tiga petak sudut yang membantu kamera mengorientasikan dirinya. Kemudahan penciptaan ini telah menggandakan kegunaannya, tetapi ia juga telah membuka pintu untuk sesiapa sahaja mencipta kod QR untuk tujuan berniat jahat tanpa memerlukan pengetahuan teknikal.
Antara jenis kod QR yang paling biasa ialah kod statik dan dinamik. Kod QR statik menyimpan maklumat dalam format tetap, jadi jika anda perlu menukar kandungan, anda mesti menjana kod baharu dan mengagihkannya semula. Ini berguna untuk data yang tidak berubah, seperti nombor siri atau pendaftaran sekali sahaja. Kod QR dinamik, sebaliknya, berfungsi melalui pengalihan pendek: kod QR menunjukkan alamat perantaraan yang boleh diubah suai, jadi jika anda menukar destinasi selepas mencetaknya, anda tidak perlu mencetak semula apa-apa. Ini adalah pilihan yang dipilih oleh restoran dan kedai kerana ia membolehkan mereka mengemas kini menu atau tawaran tanpa menjana kod baharu setiap minggu.
Sisi gelap: beginilah cara QRishing berfungsi
Masalahnya timbul apabila penjenayah siber mula melihat kod QR sebagai saluran penipuan yang sempurna. QRishing ialah varian pancingan data tradisional di mana penyerang mencetak kod palsu dan menampalnya di atas kod yang sah atau meletakkannya di lokasi awam seperti meter letak kereta, papan tanda tempat letak kereta, dinding atau papan buletin. Apabila mangsa mengimbasnya, mereka akan dibawa ke laman web penipuan yang menyamar sebagai syarikat, bank atau perkhidmatan rasmi, dengan tujuan mencuri kata laluan, data peribadi atau maklumat perbankan.
Salah satu helah yang paling biasa ialah meletakkan pelekat di atas kod QR asal , contohnya, di atas meja restoran atau papan tanda pembayaran tempat letak kereta. Jika kod tersebut kelihatan tertanggal, tidak sejajar atau mempunyai kualiti cetakan yang berbeza daripada papan tanda yang lain, adalah lebih baik untuk tidak mengimbasnya. Terdapat juga kes bungkusan yang tidak diminta tiba di rumah dengan kod QR untuk "mengesahkan penghantaran" atau "menjejaki penghantaran", yang sebenarnya membawa kepada laman web penipuan. Mesej WhatsApp yang menjemput pengguna untuk mengimbas kod bagi memautkan peranti, sedangkan pada hakikatnya mereka memberikan akses pihak ketiga ke akaun tersebut, merupakan satu lagi penipuan yang kerap digunakan di Sepanyol dan seluruh Eropah.
Musim cuti meningkatkan risiko dengan ketara. Pada bulan Ogos, bertepatan dengan prosedur penutupan akhir tahun dan pengambilan pekerja bermusim, pakar memberi amaran bahawa penjenayah siber mengembangkan kempen mereka untuk merangkumi keseluruhan persekitaran perjalanan: tiket penerbangan yang tiba melalui pos "segera", penyamaran platform tempahan dan bayaran balik palsu untuk kelewatan atau yuran tertunggak. Tambahan pula, vishing (penyamaran suara) telah berkembang dengan penggunaan pengklonan suara berkuasa AI untuk menipu pekerja dan mendapatkan pemindahan atau perubahan akaun bank. Dalam kes ini, cadangan pakar adalah jelas: apabila berhadapan dengan panggilan atau mesej segera, bersikap curiga dan sahkan asalnya melalui saluran lain sebelum mengambil sebarang tindakan.
Cara mengesan kod QR palsu sebelum mengimbasnya
Institut Keselamatan Siber Kebangsaan Sepanyol (INCIBE) telah mengeluarkan amaran tentang perkara ini sejak sekian lama. Cadangan utama adalah untuk melihat pratonton URL sebelum membukanya . Pada Android dan iPhone, alamat destinasi akan dipaparkan selepas mengimbas kod, jadi luangkan beberapa saat untuk menyemaknya. Jika domain tidak sepadan dengan nama rasmi syarikat, jika terdapat kesalahan taip atau aksara yang pelik, atau jika ia merupakan pautan yang dipendekkan, adalah lebih baik untuk keluar tanpa mengklik.
Satu lagi amaran adalah jika telefon anda meminta anda memuat turun fail APK, yang amat berbahaya pada peranti Android kerana ia boleh memasang perisian hasad. Anda juga harus berhati-hati jika ia meminta anda memasukkan kata laluan atau butiran bank sejurus selepas membuka halaman tersebut. Laman web yang sah jarang meminta maklumat jenis ini pada lawatan pertama melalui kod QR.
Antara petua praktikal yang sering ditekankan oleh pakar adalah:
- Imbas hanya kod daripada sumber yang dipercayai, sebaik-baiknya pada sokongan tetap dan bukan pada pelekat tambahan.
- Sahkan alamat web sebelum membuka pautan dan jangan percayakan pemendek pautan.
- Gunakan kamera asli telefon anda dan bukannya aplikasi pihak ketiga untuk pengimbasan.
- Elakkan memasukkan maklumat peribadi atau perbankan jika laman web tersebut menimbulkan sedikit keraguan.
- Pastikan sistem pengendalian dan aplikasi telefon anda dikemas kini.
Jika anda telah mengimbas kod yang mencurigakan dan memasuki laman web yang tidak dikenali, perkara pertama yang perlu anda lakukan ialah menutupnya dengan segera. Jika anda memasukkan kata laluan, ubahnya secepat mungkin di laman web rasmi perkhidmatan tersebut dan dayakan pengesahan dua langkah. Jika anda memuat turun aplikasi yang tidak diketahui, nyahpasangnya dan jalankan imbasan keselamatan pada peranti anda. Selain itu, adalah idea yang baik untuk menyemak aktiviti pada mana-mana akaun bank yang dipautkan dan, jika anda melihat sebarang transaksi yang luar biasa, hubungi bank anda untuk menyekat kad tersebut. Bertindak dengan cepat boleh membuat perbezaan antara ketakutan besar dan kesulitan yang mudah.
Melangkaui penipuan: Kod QR juga mempunyai sisi positifnya
Walaupun terdapat risiko, kod QR tidak seharusnya dipandang remeh. Ia kekal sebagai alat yang berguna, menjimatkan dan sangat versatil untuk perniagaan dan agensi kerajaan. Ia membolehkan akses kepada dokumen dan video, pembayaran, tiket digital, maklumat muzium, perkongsian lokasi dan sambungan Wi-Fi tanpa memasukkan kata laluan. Kemudahan peralihannya daripada kertas kepada mudah alih menjelaskan mengapa, walaupun selepas pandemik, ia kekal menjadi bahagian penting dalam kehidupan seharian kita. Kuncinya adalah menggunakannya dengan bijak dan mematuhi nasihat yang sering diberikan oleh pakar keselamatan siber: jangan sekali-kali bertindak secara impulsif dan sentiasa sahkan saluran sebelum mengambil sebarang tindakan.
Jadi, apabila anda mengeluarkan telefon anda untuk mengimbas kod di jalanan, di dalam teksi atau di bar, luangkan beberapa saat untuk memeriksa peranti dan alamat laman web yang dituju dengan teliti. Teknologi telah menjadikan membuka halaman hanya sesaat, tetapi kelajuan yang sama juga menguntungkan mereka yang ingin menipu anda. Dengan sedikit perhatian, kod QR akan terus menjadi sesuatu yang memudahkan kehidupan kita tanpa membahayakan data kita.
