QR কোড ফিশিং (কুইশিং), নকল পার্কিং মিটার স্টিকার এবং ক্ষতিকারক URL¶
আপনার স্মার্টফোন ক্যামেরা দিয়ে একটি কুইক রেসপন্স (QR) কোড স্ক্যান করা পৌরসভার পার্কিং মিটার প্রদান, বৈদ্যুতিক যান (EV) চার্জিং স্টেশন শুরু করা, রেস্তোরাঁর মেনু দেখা, পার্সেল ডেলিভারি ট্র্যাক করা এবং কর্পোরেট মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) সম্পূর্ণ করার জন্য একটি স্বয়ংক্রিয় দৈনিক অভ্যাসে পরিণত হয়েছে। হুমকি অভিনেতারা কুইশিং (QR কোড ফিশিং) এর মাধ্যমে এই অন্তর্নিহিত বিশ্বাসকে কাজে লাগায়: পাবলিক পার্কিং কিয়স্কে বৈধ স্টিকারের উপর সরাসরি ফিজিক্যাল ভিনাইল জাল QR ডিকল পেস্ট করা, জাল "মিসড ডেলিভারি" পোস্টকার্ড মেল করা, অথবা ইমেলের ভিতরে পিডিএফ এন্টার করার জন্য গতিশীলভাবে জেনারেট করা QR ছবি এম্বেড করা।
যেহেতু একটি QR কোড কেবলমাত্র ডেটার একটি অপটিক্যালি এনকোড করা স্ট্রিং, যা 4,296টি বর্ণানুক্রমিক অক্ষর ধারণ করতে সক্ষম, আপনার ক্যামেরা ম্যাট্রিক্সে নির্দেশ করার আগে আপনার চোখ গন্তব্য URL পরিদর্শন করতে পারে না। আরও খারাপ, একটি QR কোড স্ক্যান করা আপনার ভারী নিরীক্ষণ করা কর্পোরেট ল্যাপটপ থেকে আক্রমণটিকে আপনার ব্যক্তিগত স্মার্টফোনে স্থানান্তরিত করে, যেখানে মোবাইল ব্রাউজার অ্যাড্রেস বারগুলি লম্বা সাবডোমেনগুলিকে ছেঁটে ফেলে এবং অ্যাডভারসারি-ইন-দ্য-মিডল (AiTM) রিভার্স প্রক্সিগুলি আপনার ক্রেডিট কার্ড, Apple Pay / Google Pay প্রভিশনিং টোকেন বা Microsoft 365 সেকেন্ড সেশনে ক্যাপচার করতে পারে৷ আপনার স্ক্রিনে কী ঘটেছে তার উপর নির্ভর করে এই নির্দেশিকাটি একটি দূষিত QR কোড স্ক্যান করার কয়েক মিনিটের মধ্যে তাৎক্ষণিক নিয়ন্ত্রণের পদক্ষেপগুলির বিবরণ দেয়।
এখন এই কাজ¶
- QR কোড স্ক্যান করার পরে আপনি কী করেছেন তা অবিলম্বে নির্ধারণ করুন। আপ-টু-ডেট iPhone বা Android ফোনে অ্যাপল সাফারি বা Google Chrome-এ একটি স্ট্যান্ডার্ড ওয়েব পেজ খুললে খুব কমই স্থায়ী ম্যালওয়্যার ইনস্টল হয়ে যায়। তবে, আপনি যদি একটি ক্রেডিট কার্ড নম্বর টাইপ করেন, একটি ইমেল/Microsoft 365/Google পাসওয়ার্ড এবং 2FA কোড প্রবেশ করেন, লগ-ইন করা অ্যাপের ভিতর থেকে QR কোড স্ক্যান করেন (যেমন Discord, WhatsApp, বা Microsoft Authenticator), অথবা একটি ইনস্টল করেন
.apkঅ্যাপ বা.mobileconfigপ্রোফাইল, আপনাকে এখনই লক্ষ্যযুক্ত কন্টেনমেন্ট চালাতে হবে। - যদি আপনি একটি নকল পার্কিং মিটার, টোল রোড, বা ইভি চার্জার ওয়েবসাইটে আপনার ক্রেডিট কার্ড বা ডেবিট কার্ড টাইপ করেন, তাহলে কার্ডটি বাতিল করতে অবিলম্বে আপনার কার্ডের পিছনের নম্বরটিতে কল করুন এবং এজেন্টকে "সমস্ত ডিজিটাল ওয়ালেট VTS/MDES নেটওয়ার্ক টোকেনগুলি প্রত্যাহার করতে বলুন।" জাল পার্কিং এবং পার্সেল ফি পৃষ্ঠাগুলি পার্কিংয়ের জন্য শুধুমাত্র 3 ডলার চার্জ করে না; তারা একটি ব্যাকগ্রাউন্ড স্ক্রিপ্ট চালায় যা আপনার কার্ডকে একজন আক্রমণকারীর Apple Pay, Google Pay, বা Samsung Pay স্মার্টফোন ওয়ালেট-এ নথিভুক্ত করে আপনার চেকআউট পৃষ্ঠায় টাইপ করা এসএমএস ওয়ান-টাইম পাসকোড ব্যবহার করে। আপনি যদি শুধুমাত্র আপনার ব্যাঙ্ককে ভিসা টোকেন সার্ভিস (VTS) বা মাস্টারকার্ড ডিজিটাল এনাবলমেন্ট সার্ভিস (MDES) ডিজিটাল ওয়ালেট টোকেন প্রত্যাহার না করে একটি প্রতিস্থাপনের প্লাস্টিক কার্ডের জন্য বলেন, তাহলে আক্রমণকারীর ফোন ওয়ালেট স্বয়ংক্রিয়ভাবে আপনার নতুন কার্ড নম্বর পাবে এবং আপনার অ্যাকাউন্টে চার্জ দিতে থাকবে।
- **আপনি যদি একটি QR কোড স্ক্যান করার পরে Microsoft 365, Google Workspace বা ব্যাঙ্কের লগইন পৃষ্ঠায় লগইন করেন, তাহলে আপনার পাসওয়ার্ড পরিবর্তন করতে একটি পরিষ্কার কম্পিউটার ব্যবহার করুন এবং অবিলম্বে "সকল সেশন থেকে সাইন আউট করুন / OAuth টোকেন প্রত্যাহার করুন" এ ক্লিক করুন। আপনি যখন একটি প্রমাণীকরণকারী অ্যাপ ব্যবহার করেন তখনও আপনার পোস্ট-অথেন্টিকেশন সেশন কুকি চুরি করুন। আমাদের অনুসরণ করুন MFA ফিশিং এবং প্রতিপক্ষ-ইন-দ্য-মিডল বাইপাস পাঁচ মিনিটের মধ্যে আপনার কোম্পানির আইটি সিকিউরিটি/এসওসি টিমকে গাইড করুন এবং সতর্ক করুন।
- **আপনি যদি হোয়াটসঅ্যাপ, ডিসকর্ড, টেলিগ্রাম, স্টিম, বা ওয়েচ্যাটের ভিতরে অন্তর্নির্মিত ক্যামেরা স্ক্যানার ব্যবহার করে একটি QR কোড স্ক্যান করেন, তাহলে সেই অ্যাপের "লিঙ্কড ডিভাইস" মেনু খুলুন এবং অবিলম্বে সমস্ত অচেনা সেশনগুলি লগ আউট করুন। ** একজন আক্রমণকারীর "QR লগইন" কোড স্ক্যান করে একটি প্রমাণীকৃত অ্যাপের ভিতর থেকে আক্রমণকারীর "QR লগইন" কোড স্ক্যান করা বা আমাকে একটি প্রমাণীকৃত আক্রমণের অনুমতি দেওয়া হয়েছে। আপনার পাসওয়ার্ড বা 2FA কোডের প্রয়োজন ছাড়াই আপনার অ্যাকাউন্টের ওয়েবসকেট সেশন ক্লোন।
- **যদি QR কোড আপনাকে একটি Android ডাউনলোড করতে বলে
.apkএকটি iOS কনফিগারেশন প্রোফাইল ফাইল বা ইনস্টল করুন (.mobileconfig), আপনার ফোনকে এয়ারপ্লেন মোডে রাখুন এবং প্রোফাইল বা অ্যাপটি অবিলম্বে সরিয়ে দিন। ** iOS-এ সেটিংস > সাধারণ > VPN এবং ডিভাইস ম্যানেজমেন্ট বা Android-এ সেটিংস > নিরাপত্তা > আরও নিরাপত্তা সেটিংস > ডিভাইস অ্যাডমিন অ্যাপ চেক করুন এবং আমাদের ব্যবহার করে একটি সম্পূর্ণ ডিভাইস অডিট চালান ফোনে স্টকারওয়্যার, স্পাইওয়্যার এবং কীলগার সনাক্তকরণ গাইড - যদি আপনি মিউনিসিপ্যাল পার্কিং মিটার, ট্রানজিট কিয়স্ক বা ইভি চার্জারে একটি ভৌতিক নকল QR স্টিকার খুঁজে পান, তাহলে আশেপাশে ঘুরাঘুরি করছে এমন কারো মুখোমুখি হবেন না। একটি নিরাপদ স্থানে চলে যান, পার্কিং অপারেটর বা কিওস্কের পেইন্টেড মেটাল বডিতে প্রিন্ট করা সিটি এনফোর্সমেন্ট নম্বরকে অবহিত করুন, এবং আপনি যদি কোনো শারীরিক অবস্থার সম্মুখীন হন, তাহলে কানাডা এবং স্থানীয় 19 নম্বরে জরুরি অবস্থার সম্মুখীন হন। ইউরোপীয় ইউনিয়ন জুড়ে 112, যুক্তরাজ্যে 999, অথবা আমাদের চেক করুন জরুরী নম্বর ডিরেক্টরি)।
পার্কিং মিটার বা পার্সেল QR কেলেঙ্কারীর পরে কেন আপনার প্লাস্টিকের ক্রেডিট কার্ড প্রতিস্থাপন করা যথেষ্ট নয়
আধুনিক QR পেমেন্ট স্ক্যামগুলিতে, জাল পার্কিং ওয়েবসাইট একটি ঘূর্ণায়মান "প্রসেসিং পেমেন্ট..." চাকা প্রদর্শন করে যখন পটভূমিতে একটি স্বয়ংক্রিয় স্ক্রিপ্ট আক্রমণকারী-নিয়ন্ত্রিত Apple Pay বা Google Pay ডিভাইসে আপনার 16-সংখ্যার কার্ড নম্বর যোগ করে। আপনার ব্যাঙ্ক অবিলম্বে একটি 6-সংখ্যার এসএমএস পাঠায় যাতে বলা হয় "Apple Pay সক্রিয় করার জন্য আপনার কোড হল 482910", যেটি আপনি ভুল করে জাল পার্কিং ওয়েবসাইটে টাইপ করেছেন ভেবে যে আপনি 4-ডলার পার্কিং ফি নিশ্চিত করছেন। একবার আক্রমণকারীর ডিজিটাল ওয়ালেটে ডিভাইস অ্যাকাউন্ট নম্বর (DAN) টোকেন থাকলে, স্ট্যান্ডার্ড ব্যাঙ্ক কার্ড প্রতিস্থাপন স্বয়ংক্রিয়ভাবে নতুন মেয়াদ শেষ হওয়ার তারিখ এবং কার্ড নম্বর সরাসরি আক্রমণকারীর ওয়ালেটে ঠেলে দেয়। আপনি অবশ্যই আপনার ব্যাঙ্ক জালিয়াতি বিশেষজ্ঞকে স্পষ্টভাবে বলবেন: "একজন আক্রমণকারী আমার কার্ডটি একটি অননুমোদিত Apple Pay / Google Pay মোবাইল ওয়ালেটে সরবরাহ করেছে; অনুগ্রহ করে সমস্ত সক্রিয় ভিসা/মাস্টারকার্ড ডিজিটাল ওয়ালেট টোকেন মুছুন (VTS/MDES) আমার নতুন কার্ড ইস্যু করার আগে।"
ক্ষতিকারক QR কোড (কুইশিং) ঘটনা ট্রাইজ ডিসিশন ট্রি¶
flowchart TD
Root["শুধু একটি সন্দেহজনক বা ক্ষতিকারক QR কোড স্ক্যান করা হয়েছে৷"] --> ActionTaken{"আপনি QR কোড স্ক্যান করার পরে কি ঘটেছে?"}
ActionTaken -->|"1. শুধুমাত্র খোলা ওয়েবপেজ: কিছু টাইপ বা ডাউনলোড ছাড়া বন্ধ ট্যাব"| SafeClean["কম ঝুঁকি: ব্রাউজার ট্যাব বন্ধ করুন -> সেই ডোমেনের জন্য সাইট ডেটা/কুকিজ সাফ করুন -> ডাউনলোড ফোল্ডার চেক করুন -> iOS/Android OS আপ টু ডেট আছে যাচাই করুন"]
ActionTaken -->|"2. জাল পার্কিং মিটার, ইভি চার্জার বা পার্সেল পৃষ্ঠায় ক্রেডিট/ডেবিট কার্ড প্রবেশ করানো হয়েছে"| CardComp["1. কার্ড লক এবং প্রতিস্থাপন করতে অবিলম্বে ব্যাঙ্ক জালিয়াতি বিভাগে কল করুন<br/>2৷ জটিল: সমস্ত Apple Pay / Google Pay ডিজিটাল ওয়ালেট টোকেন (VTS/MDES) প্রত্যাহার করার দাবি<br/>3. টোয়েড হওয়া এড়াতে আপনার গাড়িটি আসলেই মিটারে অবৈতনিক কিনা তা পরীক্ষা করুন"]
ActionTaken -->|"3. কাজ/ইমেল পাসওয়ার্ড + 2FA কোড (Microsoft 365, Google, Okta) প্রবেশ করান"| CredComp["1. অনুমান করুন AiTM সেশন কুকি চুরি (Evilginx)<br/>2. একটি পরিষ্কার পিসিতে, পাসওয়ার্ড পরিবর্তন করুন এবং 'সকল সেশন থেকে সাইন আউট করুন' ক্লিক করুন<br/>3। দুর্বৃত্ত MFA ডিভাইস এবং ইনবক্স ফরওয়ার্ড করার নিয়ম মুছুন<br/>4. অবিলম্বে কর্পোরেট আইটি এসওসিকে সতর্ক করুন"]
ActionTaken -->|"4. একটি ইন-অ্যাপ স্ক্যানার ব্যবহার করে স্ক্যান করা QR কোড (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["অ্যাপ সেটিংস খুলুন -> 'লিঙ্কড ডিভাইস' / 'অনুমোদিত ডিভাইস' -> অবিলম্বে সমস্ত অজানা ওয়েব/ডেস্কটপ সেশন বন্ধ করুন"]
ActionTaken -->|"5. একটি অ্যাপ (.apk), iOS কনফিগারেশন প্রোফাইল ইনস্টল করেছেন, অথবা প্রম্পটে 'অনুমতি দিন' ক্লিক করেছেন"| MalwareCheck["1. অবিলম্বে এয়ারপ্লেন মোড চালু করুন<br/>2. iOS: সেটিংস > সাধারণ > VPN এবং ডিভাইস ব্যবস্থাপনা -> অজানা প্রোফাইল মুছুন<br/>3. অ্যান্ড্রয়েড: দুর্বৃত্ত APK আনইনস্টল করুন এবং অ্যাক্সেসিবিলিটি/অ্যাডমিন অনুমতি প্রত্যাহার করুন"]QR কোডের পিছনে 5টি স্বতন্ত্র প্রযুক্তিগত আক্রমণ ভেক্টর বোঝা¶
একটি QR কোড (ISO/IEC 18004 মান) শুধুমাত্র খোলে না https:// ওয়েবসাইট কালো-সাদা মডিউলগুলির মধ্যে এনকোড করা URI স্কিমের উপর নির্ভর করে, একটি কোড স্ক্যান করা আপনার স্মার্টফোনে পাঁচটি সম্পূর্ণ ভিন্ন ক্রিয়াকে ট্রিগার করতে পারে:
| অ্যাটাক ভেক্টর এবং ইউআরআই স্কিম | কিভাবে আক্রমণ হুড অধীনে কাজ করে | কমন রিয়েল-ওয়ার্ল্ড লুরস | সঠিক কন্টেনমেন্ট পদ্ধতি |
|---|---|---|---|
1। ফিজিক্যাল ওভারলে স্টিকার পেমেন্ট জালিয়াতি + ওয়ালেট টোকেন প্রভিশনিং (https://pay-park-city[.]com) |
আক্রমণকারীরা 5 বাই 5 সেন্টিমিটার (2 বাই 2 ইঞ্চি) পরিমাপের আবহাওয়া-প্রতিরোধী আঠালো স্টিকার প্রিন্ট করে এবং সেগুলিকে বৈধ পেবাইফোন, পার্কমোবাইল, ফ্লোবার্ড, পাসপোর্ট বা চার্জপয়েন্ট QR কোডগুলিতে আটকে রাখে। আক্রমণকারীর NFC মোবাইল ওয়ালেটে আপনার কার্ড আবদ্ধ করতে সাইটটি আপনার কার্ড নম্বর + CVV + SMS OTP ক্যাপচার করে৷ | মিউনিসিপাল স্ট্রিট পার্কিং কিয়স্ক, এয়ারপোর্ট পার্কিং গ্যারেজ, পাবলিক ইভি ফাস্ট চার্জার, রেস্তোরাঁর টেবিল "স্ক্যান টু পে" টেন্ট, বাইক-শেয়ার ডক। | কার্ড লক করুন, সকল ভিসা/মাস্টারকার্ড ডিজিটাল ওয়ালেট টোকেন প্রত্যাহার করুন, প্রতারণামূলক চার্জের বিরোধিতা করুন এবং অফিসিয়াল অ্যাপের মাধ্যমে আসল মিটার পরিশোধ করুন যাতে আপনার গাড়িটি বুট করা বা টানো না হয়। |
2। কর্পোরেট ইমেল PDF / ছবি AiTM কুইশিং (https://login.microsoftonline.com.evil[.]cfd) |
যেহেতু এন্টারপ্রাইজ সিকিউর ইমেল গেটওয়ে (মাইমকাস্ট, প্রুফপয়েন্ট, ডিফেন্ডার) টেক্সট লিঙ্কগুলি স্ক্যান করে কিন্তু এইচটিএমএল টেবিল / ASCII ব্লক ব্যবহার করে আঁকা QR কোডগুলি পরিদর্শন করতে বা পিডিএফ ইমেজের ভিতরে এমবেড করা লড়াই করে, আক্রমণকারীরা নকল "MFA রি-রেজিস্ট্রেশন" বা "DocuSign/Voicemail" একটি QRxi ** কোড খুলতে পারে। কর্মচারীর অনিয়ন্ত্রিত ব্যক্তিগত আইফোন। | "অ্যাকশন প্রয়োজনীয়: আপনার Microsoft 365 প্রমাণীকরণকারীর আজ মেয়াদ শেষ হচ্ছে", "HR বেতন সমন্বয় PDF", "E-ZPass / DHL কাস্টমস ফি"। | সমস্ত সক্রিয় এন্ট্রা আইডি / গুগল সেশন প্রত্যাহার করুন (Sign out everywhere), পাসওয়ার্ড ঘোরান, নতুন নিবন্ধিত MFA প্রমাণীকরণকারীদের অডিট করুন এবং ইমেল ফরওয়ার্ডিং নিয়মগুলি পরীক্ষা করুন। |
3। ক্রস-ডিভাইস প্রমাণীকরণ / ওয়েবসকেট সেশন হাইজ্যাকিং (QRLJacking) (discord.com/ra/..., web.whatsapp.com) |
আপনার ইতিমধ্যে-লগ-ইন করা মোবাইল অ্যাপ ব্যবহার করে কম্পিউটার স্ক্রিনে একটি ডায়নামিক QR কোড স্ক্যান করে অনেক অ্যাপ আপনাকে ডেস্কটপ ব্রাউজারে লগ ইন করতে দেয়। আক্রমণকারীরা একটি জাল "ফ্রি নাইট্রো/ভেরিফিকেশন/গ্রুপ ইনভাইট" পৃষ্ঠায় তাদের নিজস্ব লাইভ লগইন QR কোড স্ট্রিম করে; যে মুহূর্তে আপনি আপনার ফোন অ্যাপ দিয়ে এটি স্ক্যান করেন, আপনার ফোন আক্রমণকারীর ডেস্কটপ ব্রাউজারে আপনার অ্যাকাউন্টে সাইন ইন করে। | ডিসকর্ড, হোয়াটসঅ্যাপ ওয়েব, টেলিগ্রাম, স্টিম মোবাইল প্রমাণীকরণকারী, ওয়েচ্যাট, লাইন। | মোবাইল অ্যাপ ডিভাইস/লিঙ্কড ডিভাইস মেনু খুলুন এবং সেকেন্ডের মধ্যে দুর্বৃত্ত ডেস্কটপ সেশনটি বন্ধ করুন। |
4. ক্ষতিকারক মোবাইল সাইডলোডিং এবং MDM প্রোফাইল তালিকাভুক্তি (.apk / .mobileconfig) |
জাল পার্কিং বা রেস্তোরাঁর মেনু QR কোডগুলি দাবি করে "আমাদের ওয়েব পোর্টাল বন্ধ আছে; অর্থ প্রদানের জন্য আমাদের দ্রুত 2MB পার্কিং অ্যাপ ডাউনলোড করুন" (একটি ব্যাঙ্কিং ট্রোজান পরিবেশন করা হচ্ছে .apk Android-এ Coper/Octo এর মতো) অথবা একটি iOS কনফিগারেশন প্রোফাইল পরিবেশন করুন যা DNS/VPN ট্রাফিক হাইজ্যাক করে। |
নকল পার্কিং মিটার "অ্যাপ ডাউনলোড" পৃষ্ঠা, নকল ক্রিপ্টো হার্ডওয়্যার ওয়ালেট সেটআপ সন্নিবেশ, নকল পাবলিক Wi-Fi লগইন পোর্টাল৷ | এয়ারপ্লেন মোডে ডিভাইস রাখুন, আনইনস্টল করুন .apk Android Settings > Apps থেকে, অথবা মুছে দিন .mobileconfig iOS এ প্রোফাইল সেটিংস > সাধারণ > ভিপিএন এবং ডিভাইস ম্যানেজমেন্ট। |
5। নন-HTTP নেটিভ অ্যাকশন পেলোড (WIFI:, SMSTO:, MATMSG:, TEL:, vCard) |
QR কোডগুলি নন-ওয়েব কমান্ডগুলিকে এনকোড করতে পারে: WIFI:S:EvilNet;T:WPA;P:pass;; (একজন আক্রমণকারীর ওয়াই-ফাই আনারস ইভিল টুইন-এ আপনার ফোনটি স্বয়ংক্রিয়ভাবে যোগ দেয়), SMSTO:19005551212:YES (একটি প্রিমিয়াম এসএমএস বা ক্যারিয়ার পোর্ট-আউট নিশ্চিতকরণ পাঠ্য প্রাক-ঠিকানা করে), বা TEL:*21*15550009999# (GSM কল ফরওয়ার্ডিং USSD কোড)। |
নকল ক্যাফে "ফ্রি ওয়াই-ফাইয়ের জন্য স্ক্যান করুন" স্টিকার, কনফারেন্স ব্যাজ অদলবদল, প্রতিযোগিতায় প্রবেশের পোস্টার। | Wi-Fi সেটিংসে দুর্বৃত্ত Wi-Fi নেটওয়ার্ক ভুলে যান; ডায়াল করুন ##002# যেকোনো অননুমোদিত GSM কল ফরওয়ার্ডিং নিয়ম মুছে ফেলতে আপনার ফোনের কীপ্যাডে। |
দৃশ্যকল্প A: আপনি পার্কিং মিটার, ইভি চার্জার বা টোল নোটিশে একটি নকল QR স্টিকার স্ক্যান করেছেন এবং অর্থপ্রদানের বিশদ প্রবেশ করেছেন¶
শারীরিক QR ওভারলে টেম্পারিং উত্তর আমেরিকা, ইউরোপ, যুক্তরাজ্য এবং অস্ট্রেলিয়ার শহর জুড়ে বেড়েছে। কারণ ভিকটিমরা সাধারণত ব্যস্ত ফুটপাতে তাড়াহুড়ো করে দাঁড়িয়ে থাকে, তারা খুব কমই লক্ষ্য করে যে পেইন্ট করা ধাতব মিটারের মুখে একটি চকচকে ভিনাইল স্টিকার আটকানো হয়েছে।
ধাপে ধাপে আর্থিক এবং যানবাহন নিয়ন্ত্রণ¶
- আপস করা কার্ডটি লক করুন এবং ডিজিটাল ওয়ালেট প্রভিশনিং টোকেনগুলি পরিষ্কার করুন (
VTS/MDES): - অবিলম্বে আপনার ব্যাঙ্কিং মোবাইল অ্যাপ খুলুন এবং লক/ফ্রিজ কার্ড থেকে **চালু করুন।
- আপনার কার্ডের পিছনের জালিয়াতি নম্বরটিতে কল করুন এবং ডিজিটাল ওয়ালেট/টোকেনাইজেশন ফ্রড ডেস্ক-এর জন্য জিজ্ঞাসা করুন।
- কেন স্ট্যান্ডার্ড কার্ড প্রতিস্থাপন ব্যর্থ হয়: আপনি যদি আপনার কার্ড নম্বর টাইপ করার পরে জাল পার্কিং পৃষ্ঠায় একটি 6-সংখ্যার এসএমএস কোড বা ইমেল কোড প্রবেশ করেন, তাহলে আপনি অসাবধানতাবশত আক্রমণকারীকে তাদের Apple Pay, Google Pay, Garmin Pay, বা Fitbit Pay অ্যাকাউন্টের সাথে আপনার কার্ড লিঙ্ক করার অনুমতি দিয়েছেন। ব্যাঙ্ক প্রতিনিধিকে জিজ্ঞাসা করুন:
- আপনার প্রাথমিক অ্যাকাউন্ট নম্বর (PAN)-এর সাথে লিঙ্ক করা সমস্ত অ্যাকটিভ ডিজিটাল ওয়ালেট/ডিভাইস টোকেন দেখুন।
- সব অচেনা Apple Pay, Google Pay এবং মার্চেন্ট টোকেন মুছুন/বাতিল করুন।
- এই পুনরায় ইস্যু করার জন্য ভিসা অ্যাকাউন্ট আপডেটার (VAU) / মাস্টারকার্ড অটোমেটিক বিলিং আপডেটার (ABU) থেকে অপ্ট আউট করুন যাতে নতুন কার্ড নম্বর স্বয়ংক্রিয়ভাবে পুনরাবৃত্ত প্রতারকদের কাছে ফরোয়ার্ড না হয়।
- এখনই আপনার পার্কিং সেশনকে বৈধভাবে অর্থ প্রদান করুন যাতে আপনার গাড়ির টিকিট, বুট করা বা টো করা না হয়:
- মনে রাখবেন: যেহেতু QR স্টিকারটি একজন অপরাধীর ছিল এবং শহরের পার্কিং কর্তৃপক্ষের নয়, আপনার লাইসেন্স প্লেটটি বর্তমানে অবৈতনিক পার্ক করা আছে।
- কখনোই মেশিনে কোনো স্টিকার স্ক্যান করবেন না। পরিবর্তে, মিটারে হেঁটে যান এবং সরাসরি হার্ডওয়্যার টার্মিনালে একটি ফিজিক্যাল কয়েন/কন্ট্যাক্টলেস ট্যাপ দিয়ে অর্থপ্রদান করুন, অথবা অফিসিয়াল Apple App Store/Google Play Store-এ যান, যাচাইকৃত মিউনিসিপ্যাল অ্যাপ ডাউনলোড করুন (যেমন ParkMobile, PayByPhone, RingGo, EasyPark, অথবা Z-4-4-ডিজিট** এবং -4-ডিজিট ধাতব খুঁটিতে আঁকা নম্বর**।
- জাল স্টিকারটি রিপোর্ট করার আগে ছবি তুলুন:
- পার্কিং মিটার বা ইভি চার্জারের একটি পরিষ্কার ছবি তুলুন যাতে নকল QR স্টিকার (উত্থাপিত আঠালো প্রান্ত, অমিল ফন্টের আকার বা অফিসিয়াল লোগোর অংশ কভার করা স্টিকার দেখুন) এবং মিটার সিরিয়াল/পোল নম্বর।
- মিউনিসিপ্যাল পার্কিং অথরিটি বা EV চার্জিং নেটওয়ার্কে কল করুন (চার্জপয়েন্ট, ইলেকট্রিফাই আমেরিকা, ইভিগো, আইওনিটি, শেল রিচার্জ) গ্রাহক পরিষেবা ফোন নম্বর কিয়স্কে মুদ্রিত হয়েছে যাতে রক্ষণাবেক্ষণের কর্মীরা পুরো রাস্তার ব্লক বরাবর ওভারলে স্টিকারগুলি স্ক্র্যাপ করতে পারে।
দৃশ্য বি: আপনি একটি কাজের ইমেল বা পিডিএফ-এ একটি QR কোড স্ক্যান করেছেন এবং আপনার Microsoft 365, Google, বা Okta লগইন প্রবেশ করেছেন¶
কর্পোরেট সাইবার নিরাপত্তায়, QR কোড ফিশিং হল অ্যাডভারসারি-ইন-দ্য-মিডল (AiTM) সেশন হাইজ্যাকিং এর জন্য #1 ডেলিভারি মেকানিজম। যেহেতু বেশিরভাগ কর্মচারী তাদের ডেস্কটপ মনিটরে কাজের ইমেল পড়ে এবং স্ক্রিনে QR কোড স্ক্যান করার জন্য তাদের ব্যক্তিগত স্মার্টফোন তুলে নেয়, তাই কর্পোরেট ল্যাপটপের এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স (EDR) এজেন্ট, কর্পোরেট ফায়ারওয়াল এবং ব্রাউজার এক্সনশনকে সম্পূর্ণভাবে বাইপাস করে লগইনটি কর্মচারীর সেলুলার 5G সংযোগের মাধ্যমে হয়।
অবিলম্বে 15-মিনিটের অ্যাকাউন্ট কন্টেনমেন্ট প্রোটোকল¶
- আপনার প্রমাণীকরণকারী অ্যাপ আপনাকে সুরক্ষিত মনে করবেন না:
- আধুনিক কুইশিং পেজ Evilginx, Modlishka, বা Muraena রিভার্স প্রক্সি ব্যবহার করে। আপনি যখন আপনার কর্পোরেট ইমেল, পাসওয়ার্ড, এবং 6-সংখ্যার প্রমাণীকরণকারী কোড টাইপ করেন (অথবা একটি প্রমাণীকরণকারী পুশ/সংখ্যার মিল অনুমোদন করেন) নকল মোবাইল পৃষ্ঠায়, আক্রমণকারীর সার্ভার আপনার শংসাপত্রগুলিকে রিলে করে
login.microsoftonline.comরিয়েল টাইমে এবং ফলাফল ক্যাপচার করেESTSAUTH/ESTSAUTHPERSISTENTসেশন কুকি। - একটি পরিষ্কার কম্পিউটারে, আপনার পাসওয়ার্ড ঘোরান এবং সমস্ত সক্রিয় সেশন টোকেন প্রত্যাহার করুন:
- Microsoft 365 / Entra ID: যান
https://mysignins.microsoft.com/security-infoপ্রথমে, সর্বত্র সাইন আউট করুন ক্লিক করুন (চুরি হওয়া সেশন কুকি বাতিল করতে)। দ্বিতীয়ত, আপনার পাসওয়ার্ড পরিবর্তন করুন। তৃতীয়ত, সেই সঠিক পৃষ্ঠায় সাইন-ইন পদ্ধতি তালিকাটি সাবধানে দেখুন, আক্রমণকারীরা স্বয়ংক্রিয় স্ক্রিপ্ট ব্যবহার করে যা তাদের নিজস্ব দুর্বৃত্ত প্রমাণকারী অ্যাপ বা FIDO2 কী আপনার কুকি চুরি করার ৮ সেকেন্ডের মধ্যে আপনার অ্যাকাউন্টে নিবন্ধন করে। আপনি চিনতে পারেন না এমন কোনো প্রমাণীকরণকারী ডিভাইস মুছুন। - Google Workspace / Gmail: ** এ যান
https://myaccount.google.com/device-activity**, অচেনা মোবাইল/লিনাক্স সেশনে ক্লিক করুন -> সাইন আউট, আপনার পাসওয়ার্ড পরিবর্তন করুন এবং ২-পদক্ষেপ যাচাই ডিভাইসগুলি যাচাই করুন৷ - নিঃশব্দে "নিয়ম / ফরোয়ার্ডিং" অধ্যবসায়ের জন্য আপনার ইমেল ইনবক্স চেক করুন:
- আক্রমণকারীরা যারা একটি QR কোডের মাধ্যমে একটি কর্পোরেট মেলবক্স হাইজ্যাক করে তারা অবিলম্বে আউটলুক ওয়েবে একটি লুকানো ইনবক্স নিয়ম তৈরি করে (
Settings > Mail > RulesএবংForwarding) যা প্রতিটি ইনকামিং ইমেলকে রুট করে যার মত শব্দ রয়েছে"Invoice","Wire","Payment","ACH", or"DocuSign"RSS সদস্যতা বা আর্কাইভ ফোল্ডারে এটিকে পঠিত হিসাবে চিহ্নিত করার সময়। আমাদের ব্যবহার করে সমস্ত অজানা নিয়ম নিরীক্ষা করুন এবং মুছুন ইমেল অ্যাকাউন্ট হ্যাক, ফরওয়ার্ড করার নিয়ম এবং পুনরুদ্ধার গাইড - ** অবিলম্বে আপনার কর্পোরেট আইটি হেল্প ডেস্ক বা সিকিউরিটি অপারেশন সেন্টারে (এসওসি) অবহিত করুন**:
- বিব্রতকর অবস্থায় কখনই দুর্ঘটনাজনিত QR স্ক্যান লুকাবেন না। 5 মিনিটের মধ্যে আইটি কল করলে একজন প্রশাসক আক্রমণকারী একটি চালু করার আগে এন্ট্রা আইডি/ওক্টাতে "সেশনগুলি প্রত্যাহার করুন" এবং "রি-রেজিস্টার MFA" ক্লিক করতে পারবেন ব্যবসায়িক ইমেল আপস (BEC) তারের জালিয়াতি আপনার ক্লায়েন্টদের বিরুদ্ধে আক্রমণ।
দৃশ্য সি: আপনি একটি ইন-অ্যাপ স্ক্যানার (হোয়াটসঅ্যাপ, ডিসকর্ড, টেলিগ্রাম, স্টিম) ব্যবহার করে একটি QR কোড স্ক্যান করেছেন¶
যদি কোনও বন্ধু, গেমিং সার্ভার "ভেরিফিকেশন বট" বা জাল উপহারের পৃষ্ঠা আপনাকে বলে "ওপেন ডিসকর্ড / হোয়াটসঅ্যাপ / স্টিম -> কিউআর স্ক্যানার খুলুন -> একটি পুরস্কার দাবি করতে বা আপনার বয়স যাচাই করতে এই কোডটি স্ক্যান করুন", আপনি কোনও ওয়েবসাইট পরিদর্শন করেননি, আপনি কেবল একটি রিমোট ডেস্কটপ / ওয়েব ক্লায়েন্ট লগইন অনুমোদন করেছেন (QRLJacking):
- হোয়াটসঅ্যাপ: অবিলম্বে আপনার ফোনে হোয়াটসঅ্যাপ খুলুন -> সেটিংস (বা তিনটি বিন্দুতে ট্যাপ করুন)
⋮অ্যান্ড্রয়েডে) -> লিঙ্ক করা ডিভাইস -> তালিকাভুক্ত প্রতিটিতে ট্যাপ করুনGoogle Chrome (Windows/Linux/Mac)অথবা অজানা অধিবেশন -> লগ আউট আলতো চাপুন। - ডিসকর্ড: অবিলম্বে ডিসকর্ড খুলুন -> ট্যাপ করুন সেটিংস -> ডিভাইসগুলি -> সমস্ত পরিচিত ডিভাইসগুলি লগ আউট করুন, এবং আপনার ডিসকর্ড পাসওয়ার্ড পরিবর্তন করুন (আপনার ডিসকর্ড পাসওয়ার্ড পরিবর্তন করলে চুরি হওয়া স্বয়ংক্রিয়ভাবে বাতিল হয়ে যায়
Authorizationআক্রমণকারীর ব্রাউজারে টোকেন)। - টেলিগ্রাম: টেলিগ্রাম খুলুন -> সেটিংস> ডিভাইস -> অন্যান্য সমস্ত সেশন শেষ করুন।
- স্টিম: স্টিম মোবাইল অ্যাপ খুলুন -> শিল্ড আইকন (স্টিম গার্ড) -> গিয়ার আইকন -> অনুমোদিত ডিভাইস -> যেকোন অচেনা পিসি থেকে অ্যাক্সেস সরান এ আলতো চাপুন।
দৃশ্যকল্প D: আপনি শুধুমাত্র QR কোড স্ক্যান করেছেন এবং ওয়েবপৃষ্ঠাটি খুললেন (কিছু টাইপ করেননি)¶
আপনি যদি আপনার iPhone বা Android ক্যামেরাকে একটি সন্দেহজনক QR কোডের দিকে নির্দেশ করেন, হলুদ URL ব্যানারে ট্যাপ করেন, Safari বা Chrome-এ একটি স্কেচি ওয়েবপেজ লোড দেখেন এবং কোনও পাসওয়ার্ড, ক্রেডিট কার্ড টাইপ না করে বা "ইনস্টল করুন" ক্লিক না করেই অবিলম্বে এটি বন্ধ করে দেন:
- **একটি গভীর নিঃশ্বাস নিন: রাস্তার পার্কিং স্টিকার থেকে একটি জিরো-ক্লিক ড্রাইভ-বাই ব্রাউজার শোষণ অসাধারণভাবে বিরল। ** বাণিজ্যিক জিরো-ক্লিক মোবাইল ব্রাউজার শোষণের জন্য মিলিয়ন ডলার খরচ হয় এবং দেশ-রাষ্ট্রের গোয়েন্দা সংস্থাগুলি লক্ষ্যযুক্ত গুপ্তচরবৃত্তির জন্য সংরক্ষিত থাকে, গণ পার্কিং-মিটার স্ক্যামস নয়।
- ব্রাউজার ট্যাব বন্ধ করুন এবং সাইট স্টোরেজ পরিষ্কার করুন:
- iOS (Safari): ট্যাবটি বন্ধ করুন, তারপর Settings > Apps > Safari > Advanced > Website Data খুলুন, সন্দেহজনক ডোমেন নামটি অনুসন্ধান করুন এবং এর কুকি এবং ক্যাশে মুছুন এ বাঁদিকে সোয়াইপ করুন।
- Android (Chrome): ঠিকানা বারের বাম দিকে প্যাডলক / টিউন আইকন-এ আলতো চাপুন -> কুকিজ এবং সাইট ডেটা -> মুছুন (বা সেটিংস> গোপনীয়তা এবং সুরক্ষা> ব্রাউজিং ডেটা মুছুন -> শেষ ঘন্টা) এ যান।
- আপনার ব্রাউজার চুপচাপ পুশ নোটিফিকেশন স্প্যাম সক্ষম করেনি বা একটি ফাইল ডাউনলোড করেনি তা পরীক্ষা করুন:
- অ্যান্ড্রয়েড ক্রোমে, সেটিংস > সাইট সেটিংস > বিজ্ঞপ্তি-এ যান এবং যাচাই করুন যে কোনও অদ্ভুত ওয়েবসাইট আপনাকে জাল "ভাইরাস সনাক্ত করা হয়েছে" পুশ নোটিফিকেশন পপ-আপ পাঠানোর অনুমতি দেওয়া হয়নি।
- আপনার ফোনে ফাইল/ডাউনলোড ফোল্ডারটি খুলুন এবং যেকোনো একটি মুছে দিন
.apk,.pdf,.ics(ক্যালেন্ডার স্প্যাম), অথবা.mobileconfigপৃষ্ঠাটি লোড হওয়ার সাথে সাথে স্বয়ংক্রিয়ভাবে ডাউনলোড করা ফাইল। - কোনও জিএসএম কল ফরওয়ার্ডিং ট্রিগার হয়নি তা যাচাই করুন (যদি QR কোড আপনার ফোন ডায়ালার খুলে থাকে):
- আপনার ফোনের কীপ্যাড খুলুন এবং ডায়াল করুন
*#21#(নিঃশর্ত কল ফরওয়ার্ডিং স্থিতি পরীক্ষা করে)। কোনো নম্বর তালিকাভুক্ত থাকলে, ডায়াল করুন##002#এবং আপনার ক্যারিয়ার লাইনের সমস্ত GSM কল-ফরওয়ার্ডিং নিয়মগুলি মুছে দিতে কল টিপুন৷
দৃশ্যকল্প E: জাল ক্রিপ্টোকারেন্সি হার্ডওয়্যার ওয়ালেট QR কোড এবং জাল "এয়ারড্রপ / দাবি" স্টিকার¶
আরেকটি দ্রুত বর্ধনশীল কুইশিং ভেক্টর ক্রিপ্টোকারেন্সি মালিকদের ফিজিক্যাল মেইলার এবং ট্যাম্পারড প্যাকেজিংয়ের মাধ্যমে লক্ষ্য করে:
- টেম্পারড লেজার/ট্রেজার/কোল্ডকার্ড প্যাকেজিং ইনসার্ট:
- প্রতারকরা হার্ডওয়্যার মানিব্যাগ কেনে, একটি QR কোড সম্বলিত একটি স্তরিত জাল নির্দেশনা কার্ড প্রবেশ করান "আবশ্যিক ফার্মওয়্যার ইন্টিগ্রিটি চেক চালানোর জন্য স্ক্যান করুন বা আপনার 24-শব্দ পুনরুদ্ধার বীজ শুরু করুন", বাক্সটি সঙ্কুচিত করুন এবং তৃতীয় পক্ষের খুচরা বাজারে ফেরত দিন।
- সুবর্ণ নিয়ম: বৈধ হার্ডওয়্যার ওয়ালেট কখনই আপনাকে আপনার 12-শব্দ বা 24-শব্দের BIP-39 পুনরুদ্ধার বাক্যাংশটি স্মার্টফোনের ওয়েব পৃষ্ঠায় টাইপ করতে বা আপনার বীজ শব্দের জন্য জিজ্ঞাসা করে এমন একটি QR কোড স্ক্যান করতে বলবে না। আপনি যদি একটি QR কোড স্ক্যান করার পরে আপনার বীজ বাক্যাংশটি প্রবেশ করেন, আপনার ওয়ালেট ইতিমধ্যে একটি স্বয়ংক্রিয় সুইপার বট দ্বারা নিরীক্ষণ করা হয়; আমাদের চালানো cryptocurrency ওয়ালেট ড্রেন এবং বীজ বাক্যাংশ আপস অবিলম্বে প্রোটোকল।
- ওয়ালেট সংযোগ (
wc:) ক্ষতিকারক DApp ড্রেইনার QR কোড: - স্ক্যানিং a
wc:মেটামাস্ক, ফ্যান্টম, র্যাবি বা ট্রাস্ট ওয়ালেটের ভিতর থেকে QR কোড আপনার ওয়েব3 ওয়ালেটকে একটি তৃতীয় পক্ষের বিকেন্দ্রীভূত অ্যাপ্লিকেশন (DApp) এর সাথে সংযুক্ত করে। যদি সাইটটি অবিলম্বে একটি স্বাক্ষর অনুরোধ পপ আপ করে (Permit2,setApprovalForAll, orincreaseAllowance), প্রত্যাখ্যান এ ক্লিক করুন এবং সেটিংস > সংযুক্ত সাইট / ওয়ালেটকানেক্ট সেশন এর অধীনে WalletConnect সেশনটি সংযোগ বিচ্ছিন্ন করুন।
ফরেনসিক: আপনার ফোন দিয়ে স্ক্যান না করে কীভাবে একটি সন্দেহজনক QR কোড ছবি নিরাপদে ডিকোড এবং পরিদর্শন করবেন¶
আপনি যদি একটি QR কোড সম্বলিত একটি সন্দেহজনক PDF বা ইমেল পেয়ে থাকেন এবং এটি আপনার স্মার্টফোনে স্পর্শ না করেই কোথায় নিয়ে যায় তা দেখতে চান, তাহলে একটি ডেস্কটপ কম্পিউটারে এই নিরাপদ কমান্ড-লাইন বা স্যান্ডবক্সড পদ্ধতিগুলি ব্যবহার করুন:
# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png
# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"
# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"
অফিসিয়াল কর্তৃপক্ষকে শারীরিক এবং ডিজিটাল কুইশিং আক্রমণের প্রতিবেদন করা¶
একটি দূষিত QR কোড রিপোর্ট করা শহরের ক্রুদের দ্বারা শারীরিক স্টিকার এবং গ্লোবাল ব্রাউজার ব্লকলিস্ট (গুগল সেফ ব্রাউজিং এবং মাইক্রোসফ্ট স্মার্টস্ক্রিন) দ্বারা অন্তর্নিহিত ফিশিং ডোমেনগুলি উভয়ই সরানো হয়:
- ** Google সেফ ব্রাউজিং এবং ক্লাউডফ্লেয়ার রাডারে দূষিত URLটি রিপোর্ট করুন**: এখানে ডিকোড করা URL জমা দিন
safebrowsing.google.com/safebrowsing/report_phish/এবংradar.cloudflare.com/scan. একবার পতাকাঙ্কিত হয়ে গেলে, বিশ্বব্যাপী প্রতিটি iPhone Safari এবং Android Chrome ব্রাউজার একটি পূর্ণ-স্ক্রীন লাল "Deceptive Site Ahead" 15 থেকে 30 মিনিটের মধ্যে সতর্কতা প্রদর্শন করবে যখনই পরবর্তী পথচারী পার্কিং মিটার স্টিকারটি স্ক্যান করবে৷ - একটি অফিসিয়াল সাইবার ক্রাইম রিপোর্ট ফাইল করুন:
- মার্কিন যুক্তরাষ্ট্র: এফবিআই ইন্টারনেট ক্রাইম কমপ্লেইন্ট সেন্টারে একটি প্রতিবেদন দাখিল করুন (
ic3.gov) এবং ফেডারেল ট্রেড কমিশন (reportfraud.ftc.gov), এবং আপনার স্থানীয় শহরের পার্কিং কর্তৃপক্ষকে অবহিত করুন। - যুক্তরাজ্য: কুইশিং ইমেল ফরওয়ার্ড করুন
report@phishing.gov.uk(ন্যাশনাল সাইবার সিকিউরিটি সেন্টার) এবং আর্থিক ক্ষতির রিপোর্ট করুন অ্যাকশন ফ্রড (actionfraud.police.uk)। - ইউরোপিয়ান ইউনিয়ন, কানাডা এবং অস্ট্রেলিয়া: কানাডিয়ান অ্যান্টি-ফ্রড সেন্টারে রিপোর্ট করুন (
antifraudcentre-centreantifraude.ca), অস্ট্রেলিয়ান স্ক্যামওয়াচ (scamwatch.gov.au), অথবা আপনার জাতীয় কম্পিউটার জরুরী প্রতিক্রিয়া দল (CERT)।
ইউআরএল (প্রতিরোধ চেকলিস্ট) দেখার আগে নিরাপদে কোন QR কোড কিভাবে পরিদর্শন করবেন¶
আপনাকে কখনই অনুমান করতে হবে না যে একটি QR কোড কোথায় নিয়ে যায়। এই পাঁচটি নিয়ম অনুসরণ করুন প্রতিবার যখন আপনি জনসমক্ষে বা মেইলে একটি QR কোডের সম্মুখীন হন:
- পার্কিং মিটার, EV চার্জার এবং রেস্তোরাঁর টেবিলে ফিজিক্যাল QR কোড জুড়ে আপনার নখের নখ চালান: বৈধ পার্কিং কিয়স্ক এবং EV চার্জার QR কোডগুলি হয় সিল্ক-স্ক্রিন করা হয় সরাসরি ধাতব ফেসপ্লেটে অথবা সিল করা হয় **পরিষ্কার পলিকার্বোনেট প্রতিরক্ষামূলক শীটের নীচে। যদি আপনার আঙ্গুলের নখ একটি কাগজ বা ভিনাইল স্টিকারের উত্থাপিত প্রান্তে চিহ্নের উপরে আটকে যায়, কখনও এটি স্ক্যান করবেন না।
- আপনার নেটিভ ক্যামেরা অ্যাপে সম্পূর্ণ ইউআরএল প্রিভিউ পড়ুন এবং ইউআরএল শর্টনার উপেক্ষা করুন: বিল্ট-ইন iOS ক্যামেরা অ্যাপ এবং অ্যান্ড্রয়েড ক্যামেরা উভয়ই ব্রাউজার খোলার আগে ডোমেন নাম দেখানো একটি ছোট পিল ব্যানার প্রদর্শন করে। যদি একটি পৌরসভার পার্কিং মিটার বা ব্যাঙ্ক নোটিশ একটি সংক্ষিপ্ত বা জেনেরিক URL প্রদর্শন করে (
bit.ly,tinyurl.com,qrco.de,t.co,lnkd.in, orpage.link), এটি ট্যাপ করবেন না, সরকারী সংস্থা এবং বড় ব্যাঙ্কগুলি কখনই পেমেন্ট কিয়স্কে তৃতীয় পক্ষের লিঙ্ক শর্টনার ব্যবহার করে না। - আপনার ফোনের ক্যামেরা সেটিংসে "লিঙ্কগুলি স্বয়ংক্রিয়ভাবে খুলুন" বন্ধ করুন: নিশ্চিত করুন যে আপনার ক্যামেরা অ্যাপটি ফ্রেমে QR কোড প্রবেশ করার সাথে সাথে ব্রাউজারটি চালু করার পরিবর্তে URL প্রিভিউ ব্যানারটি **ম্যানুয়ালি পড়তে এবং আলতো চাপতে হবে।
- **কোনও QR কোড স্ক্যান করবেন না যা একটি অযাচিত শারীরিক চিঠি বা পোস্টকার্ডের ("USPS / রয়্যাল মেইল / অ্যামাজন মিস্ট্রি প্যাকেজ") *: স্ক্যামাররা মেইল ফিজিক্যাল প্যাকেজ যাতে একটি সস্তা, অ-ক্রমবিহীন আইটেম থাকে (যেমন একটি প্লাস্টিকের রিং বা ফোন চার্জার, একটি "ব্রাশিং স্ক্যাম") ফিরে যান।" QR কার্ডটি ট্র্যাশে ফেলে দিন।
- অ্যাপ স্টোর / প্লে স্টোর থেকে সরাসরি পার্কিং এবং ইভি চার্জিং অ্যাপ ডাউনলোড করুন: রাস্তার QR কোড স্ক্যান করার পরিবর্তে, অফিসিয়াল ParkMobile, PayByPhone, RingGo, বা ChargePoint অ্যাপটি খুলুন এবং সাইনটিতে মুদ্রিত জোন নম্বর টাইপ করুন।
প্রায়শই জিজ্ঞাসিত প্রশ্ন¶
Can simply pointing my iPhone or Android camera at a QR code hack my phone before I even tap the link?
No. Pointing your smartphone camera at a QR code only causes the camera viewfinder software to decode the black-and-white pixel matrix into a text string in memory and display a preview banner on your screen. Decoding that text does not transmit any network packets over the internet, does not execute JavaScript, and cannot give an attacker access to your phone. A threat only begins if you **tap the preview banner** to open the URL in your browser (or dial the USSD/SMS command encoded in the QR matrix) and then interact with the destination site.
Why did my company email spam filter let a phishing QR code straight into my inbox when it normally blocks bad links?
Traditional enterprise email security gateways scan the text of incoming emails and inspect `` HTML hyperlinks against threat-intelligence blocklists. To blind those scanners, attackers encode the malicious phishing URL into a **QR code image** embedded inside a multi-page PDF attachment, or even draw the black-and-white squares of a QR code using **zero-image HTML `