QR Code Phishing (Quishing), Fake Parking Meter Stickers, and Malicious URLs¶

Scanning a Quick Response (QR) code with your smartphone camera has become an automatic daily habit for paying municipal parking meters, initializing electric vehicle (EV) charging stations, viewing restaurant menus, tracking parcel deliveries, and completing corporate multi-factor authentication (MFA). Threat actors exploit this implicit trust through Quishing (QR Code Phishing): pasting physical vinyl counterfeit QR decals directly over legitimate stickers on public parking kiosks, mailing fake "missed delivery" postcards, or embedding dynamically generated QR images inside corporate PDFs to bypass enterprise email secure gateways.

Because a QR code is simply an optically encoded string of data, capable of holding up to 4,296 alphanumeric characters, your eye cannot inspect the destination URL before pointing your camera at the matrix. Worse, scanning a QR code shifts the attack from your heavily monitored corporate laptop onto your personal smartphone, where mobile browser address bars truncate long subdomains and Adversary-in-the-Middle (AiTM) reverse proxies can capture your credit card, Apple Pay / Google Pay provisioning token, or Microsoft 365 session cookie in seconds. This guide details the immediate containment steps to take within minutes of scanning a malicious QR code, depending on what happened on your screen.

همین الان این کار را بکن¶

1. Determine immediately what you did AFTER scanning the QR code. Simply opening a standard web page in Apple Safari or Google Chrome on an up-to-date iPhone or Android phone rarely installs persistent malware by itself. However, if you typed a credit card number, entered an email/Microsoft 365/Google password and 2FA code, scanned the QR code from inside a logged-in app (like Discord, WhatsApp, or Microsoft Authenticator), or installed a .apk app or .mobileconfig profile, you must execute targeted containment right now.
2. If you typed your credit card or debit card into a fake parking meter, toll road, or EV charger website, call the number on the back of your card immediately to cancel the card AND ask the agent to "Revoke all Digital Wallet VTS/MDES Network Tokens." Fake parking and parcel fee pages do not just charge you 3 dollars for parking; they run a background script that enrolls your card into an attacker's Apple Pay, Google Pay, or Samsung Pay smartphone wallet using the SMS one-time passcode you typed on the checkout page. If you only ask your bank for a replacement plastic card without revoking Visa Token Service (VTS) or Mastercard Digital Enablement Service (MDES) digital wallet tokens, the attacker's phone wallet will automatically receive your new card number and keep charging your account.
3. If you logged into a Microsoft 365, Google Workspace, or bank login page after scanning a QR code, use a clean computer to change your password AND click "Sign out of all sessions / Revoke OAuth tokens" immediately. Corporate quishing emails route through Evilginx / Modlishka Adversary-in-the-Middle (AiTM) reverse proxies that steal your post-authentication session cookie even when you use an authenticator app. Follow our MFA phishing and Adversary-in-the-Middle bypass guide and alert your company IT Security / SOC team within five minutes.
4. If you scanned a QR code using the built-in camera scanner INSIDE WhatsApp, Discord, Telegram, Steam, or WeChat, open that app's "Linked Devices" menu and log out all unrecognized sessions immediately. Scanning an attacker's "QR Login" code from inside an authenticated messaging or gaming app grants the attacker an instant WebSocket session clone of your account without needing your password or 2FA code.
5. If the QR code prompted you to download an Android .apk file or install an iOS Configuration Profile (.mobileconfig), put your phone into Airplane Mode and remove the profile or app immediately. Check Settings > General > VPN & Device Management on iOS or Settings > Security > More security settings > Device admin apps on Android, and run a full device audit using our شناسایی نرم افزارهای جاسوسی، نرم افزارهای جاسوسی و کیلاگر در گوشی ها راهنمای
6. If you discovered a physical counterfeit QR sticker on a municipal parking meter, transit kiosk, or EV charger, do not confront anyone loitering nearby. Move to a safe location, notify the parking operator or city enforcement number printed on the painted metal body of the kiosk, and if you face any physical intimidation, call your local emergency number (911 in the United States and Canada, 112 across the European Union, 999 in the United Kingdom, or check our شماره های اضطراری directory).

Malicious QR code (Quishing) incident triage decision tree¶

flowchart TD
    Root["Just Scanned a Suspicious or Malicious QR Code"] --> ActionTaken{"What Happened After You Scanned the QR Code?"}

    ActionTaken -->|"1. Only Opened Webpage: Closed Tab Without Typing Anything or Downloading"| SafeClean["Low Risk: Close browser tab -> Clear site data/cookies for that domain -> Check Downloads folder -> Verify iOS/Android OS is up to date"]

    ActionTaken -->|"2. Entered Credit/Debit Card on Fake Parking Meter, EV Charger, or Parcel Page"| CardComp["1. Call Bank Fraud Dept immediately to lock & replace card<br/>2. CRITICAL: Demand revocation of all Apple Pay / Google Pay Digital Wallet Tokens (VTS/MDES)<br/>3. Check if your car is actually unpaid at the meter to avoid getting towed"]

    ActionTaken -->|"3. Entered Work/Email Password + 2FA Code (Microsoft 365, Google, Okta)"| CredComp["1. Assume AiTM Session Cookie Theft (Evilginx)<br/>2. On a clean PC, change password & click 'Sign Out of All Sessions'<br/>3. Delete rogue MFA devices & inbox forwarding rules<br/>4. Alert Corporate IT SOC immediately"]

    ActionTaken -->|"4. Scanned QR Code Using an In-App Scanner (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Open App Settings -> 'Linked Devices' / 'Authorized Devices' -> Immediately Terminate All Unknown Web/Desktop Sessions"]

    ActionTaken -->|"5. Installed an App (.apk), iOS Configuration Profile, or Clicked 'Allow' on Prompts"| MalwareCheck["1. Turn ON Airplane Mode immediately<br/>2. iOS: Settings > General > VPN & Device Management -> Delete unknown profile<br/>3. Android: Uninstall rogue APK & revoke Accessibility/Admin permissions"]

Understanding the 5 distinct technical attack vectors behind QR codes¶

A QR code (ISO/IEC 18004 standard) does not only open https:// websites. Depending on the URI scheme encoded inside the black-and-white modules, scanning a code can trigger five completely different actions on your smartphone:

Scenario A: You scanned a fake QR sticker on a parking meter, EV charger, or toll notice and entered payment details¶

Physical QR overlay tampering has surged across cities in North America, Europe, the United Kingdom, and Australia. Because victims are usually standing on a busy sidewalk in a hurry, they rarely notice that a glossy vinyl sticker has been pasted over the painted metal meter face.

Step-by-step financial and vehicle containment¶

1. Lock the compromised card and purge Digital Wallet Provisioning Tokens (VTS / MDES):
2. Open your banking mobile app immediately and toggle Lock / Freeze Card to ON.
3. Call the fraud number on the back of your card and ask for the Digital Wallet / Tokenization Fraud Desk.
4. Why standard card replacement fails: If you entered a 6-digit SMS code or email code on the fake parking page after typing your card number, you inadvertently authorized the attacker to link your card to their Apple Pay, Google Pay, Garmin Pay, or Fitbit Pay account. Ask the bank representative to:
   1. View all Active Digital Wallet / Device Tokens linked to your Primary Account Number (PAN).
   2. Delete/Terminate all unrecognized Apple Pay, Google Pay, and merchant tokens.
   3. Opt out of Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) for this re-issuance so the new card number is not automatically forwarded to recurring fraudsters.
5. Pay your parking session legitimately right now so your vehicle is not ticketed, booted, or towed:
6. Remember: Because the QR sticker belonged to a criminal and not the city parking authority, your license plate is currently parked unpaid.
7. Never scan any sticker on the machine. Instead, walk to the meter and pay with a physical coin/contactless tap directly on the hardware terminal, or go to the official Apple App Store / Google Play Store, download the verified municipal app (such as ParkMobile, PayByPhone, RingGo, EasyPark, or PayStay), and type the 4-to-6-digit Zone Number painted on the metal pole.
8. Photograph the counterfeit sticker before reporting it:
9. Take a clear photograph of the parking meter or EV charger showing both the counterfeit QR sticker (look for raised adhesive edges, mismatched font sizes, or a sticker covering part of the official logo) and the meter serial/pole number.
10. Call the municipal parking authority or EV charging network (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) customer service phone number printed on the kiosk so maintenance crews can scrape off the overlay stickers along the entire street block.

Scenario B: You scanned a QR code in a work email or PDF and entered your Microsoft 365, Google, or Okta login¶

In corporate cybersecurity, QR code phishing is the #1 delivery mechanism for Adversary-in-the-Middle (AiTM) session hijacking. Because most employees read work emails on their desktop monitor and pick up their personal smartphone to scan the QR code on the screen, the login happens over the employee's cellular 5G connection, completely bypassing the corporate laptop's Endpoint Detection and Response (EDR) agent, corporate firewall, and browser phishing extension.

Immediate 15-minute account containment protocol¶

1. Do NOT assume your Authenticator App protected you:
2. Modern quishing pages use Evilginx, Modlishka, or Muraena reverse proxies. When you type your corporate email, password, and 6-digit Authenticator code (or approve an Authenticator Push / number match) on the fake mobile page, the attacker's server relays your credentials to login.microsoftonline.com in real time and captures the resulting ESTSAUTH / ESTSAUTHPERSISTENT session cookie.
3. On a clean computer, rotate your password AND revoke all active session tokens:
4. Microsoft 365 / Entra ID: Go to https://mysignins.microsoft.com/security-info. First, click Sign out everywhere (to invalidate the stolen session cookie). Second, change your password. Third, look carefully at the list of Sign-in methods on that exact page, attackers use automated scripts that register their own rogue Authenticator App or FIDO2 key onto your account within 8 seconds of stealing your cookie. Delete any Authenticator device you do not recognize.
5. Google Workspace / Gmail: Go to https://myaccount.google.com/device-activity, click the unrecognized mobile/Linux session -> Sign out, change your password, and verify 2-Step Verification devices.
6. Check your email inbox for silent "Rule / Forwarding" persistence:
7. Attackers who hijack a corporate mailbox via a QR code immediately create a hidden Inbox Rule in Outlook Web (Settings > Mail > Rules و Forwarding) that routes every incoming email containing words like "Invoice"، "Wire"، "Payment"، "ACH"، یا "DocuSign" into the RSS Subscriptions or Archive folder while marking it as read. Audit and delete all unknown rules using our email account hacked, forwarding rules, and recovery راهنمای
8. Notify your corporate IT Help Desk or Security Operations Center (SOC) immediately:
9. Never hide an accidental QR scan at work out of embarrassment. Calling IT within 5 minutes allows an administrator to click "Revoke sessions" and "Require re-register MFA" in Entra ID / Okta before the attacker can launch a Business Email Compromise (BEC) wire fraud attack against your clients.

Scenario C: You scanned a QR code using an In-App Scanner (WhatsApp, Discord, Telegram, Steam)¶

If a friend, gaming server "Verification Bot," or fake giveaway page told you to "Open Discord / WhatsApp / Steam -> Open QR Scanner -> Scan this code to claim a reward or verify your age", you did not visit a website, you just authorized a Remote Desktop / Web Client Login (QRLJacking):

• WhatsApp: فورا WhatsApp را در تلفن خود باز کنید -> روی تنظیمات (یا سه نقطه) ضربه بزنید ⋮ در اندروید) -> روی دستگاه های مرتبط -> روی هر لیست شده ضربه بزنید Google Chrome (Windows/Linux/Mac) یا جلسه ناشناخته -> روی خروج از سیستم ضربه بزنید.
• Discord: فورا Discord را باز کنید -> روی تنظیمات -> دستگاه ها -> خروج از همه دستگاه های شناخته شده ضربه بزنید و رمز عبور Discord خود را تغییر دهید (تغییر رمز عبور Discord خود به طور خودکار اطلاعات سرقت شده را باطل می کند. Authorization توکن در مرورگر مهاجم).
• تلگرام: تلگرام را باز کنید -> تنظیمات > دستگاه ها -> پایان همه جلسات دیگر.
• Steam: برنامه Steam Mobile را باز کنید -> روی نماد Shield (Steam Guard) -> نماد چرخ دنده -> دستگاه های مجاز -> حذف دسترسی از هر رایانه شخصی ناشناس ضربه بزنید.

سناریوی D: شما فقط کد QR را اسکن کردید و صفحه وب را باز کردید (چیزی تایپ نکردید)¶

اگر دوربین iPhone یا Android خود را به سمت یک کد QR مشکوک گرفتید، روی بنر URL زرد ضربه زدید، صفحه وب واضحی را در Safari یا Chrome مشاهده کردید، و ** بلافاصله آن را بدون تایپ هیچ رمز عبور، کارت اعتباری یا کلیک کردن بر روی "نصب" بسته بودید**:

1. نفس عمیق بکشید: سوء استفاده از مرورگر بدون کلیک از برچسب پارکینگ خیابانی بسیار نادر است. سوء استفاده های تجاری مرورگر تلفن همراه با کلیک صفر میلیون ها دلار هزینه دارد و توسط آژانس های اطلاعاتی دولت-ملت برای جاسوسی هدفمند و نه کلاهبرداری انبوه پارکومتر رزرو شده است.
2. برگه مرورگر را ببندید و فضای ذخیره سازی سایت را پاک کنید:
3. iOS (Safari): برگه را ببندید، سپس تنظیمات > برنامه‌ها > سافاری > پیشرفته > داده‌های وب‌سایت را باز کنید، نام دامنه مشکوک را جستجو کنید و به سمت چپ بکشید تا کوکی‌ها و کش آن را حذف کنید.
4. Android (Chrome): روی قفل / نماد تنظیم در سمت چپ نوار آدرس -> کوکی‌ها و داده‌های سایت -> حذف ضربه بزنید (یا به تنظیمات > حریم خصوصی و امنیت > حذف داده‌های مرور -> ساعت گذشته بروید).
5. بررسی کنید که مرورگر شما به‌طور بی‌صدا اسپم اعلان فشار را فعال نکرده یا فایلی را دانلود نکرده است:
6. در Android Chrome، به تنظیمات > تنظیمات سایت > اعلان‌ها بروید و بررسی کنید که به هیچ وب‌سایت عجیبی اجازه ارسال پاپ‌آپ‌های فشار اعلان جعلی «ویروس شناسایی شده» داده نشده است.
7. پوشه Files / Downloads را روی گوشی خود باز کنید و هر کدام را حذف کنید .apk، .pdf، .ics (هرزنامه تقویم)، یا .mobileconfig فایلی که هنگام بارگیری صفحه به طور خودکار دانلود می شود.
8. تأیید کنید که ارسال تماس GSM فعال نشده است (اگر کد QR شماره‌گیر تلفن شما را باز کند):
9. صفحه کلید گوشی خود را باز کنید و شماره گیری کنید *#21# (وضعیت ارسال تماس بدون قید و شرط را بررسی می کند). اگر شماره ای درج شده است شماره گیری کنید ##002# و Call را فشار دهید تا همه قوانین انتقال تماس GSM در خط شرکت مخابراتی شما پاک شود.

سناریوی E: کدهای QR کیف پول سخت افزار ارزهای دیجیتال تقلبی و برچسب های جعلی "AirDrop/Claim"¶

یکی دیگر از بردارهای Quishing که به سرعت در حال رشد است، صاحبان ارزهای دیجیتال را از طریق ایمیل‌های فیزیکی و بسته‌بندی دستکاری شده هدف قرار می‌دهد:

1. درج های بسته بندی لجر/ترزور/دستکاری شده:
2. کلاهبرداران کیف پول‌های سخت‌افزاری می‌خرند، یک کارت دستورالعمل تقلبی چند لایه حاوی کد QR با خواندن "اسکن برای اجرای اجباری یکپارچگی سفت‌افزار بررسی کنید یا دانه‌های بازیابی 24 کلمه‌ای خود را مقداردهی اولیه کنید" وارد می‌کنند، جعبه را کوچک می‌کنند و آن را به بازارهای خرده‌فروشی شخص ثالث برمی‌گردانند.
3. قانون طلایی: کیف پول های سخت افزاری قانونی هرگز از شما نمی خواهند که عبارت بازیابی 12 یا 24 کلمه ای BIP-39 خود را در صفحه وب گوشی هوشمند تایپ کنید یا یک کد QR را اسکن کنید که کلمات اصلی شما را می خواهد. اگر عبارت اولیه خود را پس از اسکن یک کد QR وارد کردید، کیف پول شما قبلاً توسط یک ربات جارو خودکار نظارت می شود. ما را اجرا کن تخلیه کیف پول ارز دیجیتال و سازش عبارت seed پروتکل فورا
4. WalletConnect (wc:) کدهای QR مخرب DApp Drainer:
5. اسکن الف wc: کد QR از داخل MetaMask، Phantom، Rabby یا Trust Wallet کیف پول Web3 شما را به یک برنامه غیرمتمرکز شخص ثالث (DApp) متصل می کند. اگر سایت فوراً یک درخواست امضا ظاهر شد (Permit2، setApprovalForAll، یا increaseAllowance)، ** روی Reject** کلیک کنید و جلسه WalletConnect را در قسمت Settings > Connected Sites / WalletConnect Sessions قطع کنید.

پزشکی قانونی: چگونه با خیال راحت یک تصویر کد QR مشکوک را بدون اسکن با تلفن خود رمزگشایی و بازرسی کنیم¶

اگر پی‌دی‌اف یا ایمیل مشکوکی حاوی کد QR دریافت کردید و می‌خواهید بدون تماس با تلفن هوشمندتان ببینید به کجا منتهی می‌شود، از این روش‌های ایمن خط فرمان یا جعبه ایمنی در رایانه رومیزی استفاده کنید:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

گزارش حملات فیزیکی و دیجیتالی کویشینگ به مقامات رسمی¶

گزارش یک کد QR مخرب باعث حذف برچسب فیزیکی توسط خدمه شهر و همچنین دامنه فیشینگ زیربنایی می‌شود که توسط فهرست‌های بلاک مرورگرهای جهانی (مرور ایمن Google و مایکروسافت SmartScreen) غرق شده است.

1. ** URL مخرب را به Google Safe Browsing & Cloudflare Radar گزارش دهید**: URL رمزگشایی شده را به safebrowsing.google.com/safebrowsing/report_phish/ و radar.cloudflare.com/scan. پس از پرچم‌گذاری، هر مرورگر iPhone Safari و Android Chrome در سرتاسر جهان، هر زمان که عابر پیاده بعدی برچسب پارکومتر را اسکن کند، یک هشدار تمام صفحه قرمز "سایت فریبنده پیش رو" را در عرض 15 تا 30 دقیقه نمایش می‌دهد.
2. ارائه گزارش رسمی جرایم سایبری:
3. United States: File a report with the FBI Internet Crime Complaint Center (ic3.gov) and the Federal Trade Commission (reportfraud.ftc.gov), and notify your local city parking authority.
4. United Kingdom: Forward quishing emails to report@phishing.gov.uk (National Cyber Security Centre) and report financial loss to Action Fraud (actionfraud.police.uk).
5. European Union, Canada, and Australia: Report to the Canadian Anti-Fraud Centre (antifraudcentre-centreantifraude.ca), Australian Scamwatch (scamwatch.gov.au), or your national computer emergency response team (CERT).

How to inspect any QR code safely BEFORE visiting the URL (Prevention Checklist)¶

You never have to guess where a QR code leads. Follow these five rules every time you encounter a QR code in public or by mail:

• Run your fingernail across physical QR codes on parking meters, EV chargers, and restaurant tables: Legitimate parking kiosk and EV charger QR codes are either silk-screened directly onto the metal faceplate or sealed underneath the clear polycarbonate protective sheet. If your fingernail catches the raised edge of a paper or vinyl sticker stuck on top of the sign, never scan it.
• Read the full URL preview in your native camera app and ignore URL shorteners: Both the built-in iOS Camera app and Android Camera display a small pill banner showing the domain name before opening the browser. If a municipal parking meter or bank notice displays a shortened or generic URL (bit.ly، tinyurl.com، qrco.de، t.co، lnkd.in، یا page.link), do not tap it, government agencies and major banks never use third-party link shorteners on payment kiosks.
• Turn OFF "Open Links Automatically" in your phone camera settings: Make sure your camera app requires you to manually read and tap the URL preview banner rather than launching the browser the instant a QR code enters the frame.
• Never scan a QR code that arrives inside an unsolicited physical letter or postcard ("USPS / Royal Mail / Amazon Mystery Package"): Scammers mail physical packages containing a cheap, unordered item (like a plastic ring or phone charger, a "Brushing Scam") accompanied by a card reading "Scan this QR code to see who sent you this gift or process your return." Throw the QR card in the trash.
• Download parking and EV charging apps directly from the App Store / Play Store: Instead of scanning a street QR code, open the official ParkMobile, PayByPhone, RingGo, or ChargePoint app and type the Zone Number printed on the sign.

سوالات متداول¶