QR-koodien tietojenkalastelu (Quishing), väärennetyt pysäköintimittaritarrat ja haitalliset URL-osoitteet¶

Quick Response (QR) -koodin skannaamisesta älypuhelimen kameralla on tullut automaattinen päivittäinen tapa maksaa kunnallisia pysäköintimittareita, alustaa sähköajoneuvojen latausasemia, tarkastella ravintoloiden ruokalistaa, seurata pakettitoimituksia ja suorittaa yrityksen monitekijätodennusta (MFA). Uhkatoimijat käyttävät tätä implisiittistä luottamusta hyväkseen Quishingin (QR Code Phishing) avulla: liimaamalla fyysisiä vinyyliväärennösten QR-tarroja suoraan laillisten tarrojen päälle julkisissa pysäköintikioskeissa, lähettämällä vääriä "menetettyjen toimitusten" postikortteja tai upottamalla dynaamisesti luotuja QR-kuvia yritysten PDF-tiedostoihin ohittaakseen yrityksen sähköpostin suojatun gatewayn.

Koska QR-koodi on yksinkertaisesti optisesti koodattu tietojono, joka voi sisältää jopa 4 296 aakkosnumeerista merkkiä, silmäsi ei voi tarkistaa kohde-URL-osoitetta ennen kuin osoitat kameran matriisiin. Mikä pahempaa, QR-koodin skannaus siirtää hyökkäyksen tiukasti valvotusta yrityksen kannettavasta tietokoneesta henkilökohtaiseen älypuhelimeesi, jossa mobiiliselaimen osoiterivit katkaisevat pitkiä aliverkkotunnuksia ja Adversary-in-the-Middle (AiTM) -käänteiset välityspalvelimet voivat kaapata luottokorttisi, Apple Payn / Google Payn käyttötunnisteen tai Microsoft 365 -istuntoevästeen sekunneissa. Tässä oppaassa kuvataan välittömät suojatoimenpiteet, jotka on suoritettava muutamassa minuutissa haitallisen QR-koodin skannauksen jälkeen, riippuen siitä, mitä näytölläsi tapahtui.

Tee tämä nyt¶

1. Määritä välittömästi, mitä teit QR-koodin skannauksen JÄLKEEN. Pelkästään tavallisen verkkosivun avaaminen Apple Safarissa tai Google Chromessa ajan tasalla iPhone- tai Android-puhelimessa harvoin asenna pysyvät haittaohjelmat itsestään. Jos kuitenkin kirjoitit luottokortin numeron, annoit sähköpostin/Microsoft 365/Google -salasanan ja 2FA-koodin, skansit QR-koodin sisäänkirjautuneen sovelluksen sisällä (kuten Discord, WhatsApp tai Microsoft Authenticator) tai asensit .apk sovellus tai .mobileconfig profiilia, sinun on suoritettava kohdennettu eristys juuri nyt.
2. Jos kirjoitit luotto- tai maksukorttisi väärennettyyn pysäköintimittariin, tiemaksuun tai sähköauton laturisivustoon, soita korttisi takana olevaan numeroon välittömästi peruuttaaksesi kortti JA pyydä agenttia "Peruuta kaikki Digital Wallet VTS/MDES Network Tokens." Väärennetyt pysäköinti- ja pakettimaksusivut eivät veloita sinulta vain 3 dollaria pysäköinnistä. he suorittavat taustaskriptin, joka tallentaa korttisi hyökkääjän Apple Pay-, Google Pay- tai Samsung Pay -älypuhelinlompakkoon käyttämällä kassasivulle kirjoittamaasi kertaluonteista SMS-salasanaa. Jos pyydät pankiltasi vain korvaavaa muovikorttia kumoamatta Visa Token Service (VTS) tai Mastercard Digital Enablement Service (MDES) digitaalisen lompakkotunnuksia, hyökkääjän puhelinlompakko vastaanottaa automaattisesti uuden korttisi numeron ja jatkaa tilisi veloittamista.
3. Jos kirjauduit Microsoft 365:een, Google Workspaceen tai pankin kirjautumissivulle QR-koodin skannauksen jälkeen, vaihda salasanasi puhtaalla tietokoneella JA napsauta "Kirjaudu ulos kaikista istunnoista / Peru OAuth-tunnukset" välittömästi. Yritysten pyytämissähköpostit reitittävät Evilginx / Modlishka Adversary thatsTMidd Adversary-in-the-proteal-in-the- todennusistunnon jälkeinen eväste, vaikka käytät todennussovellusta. Seuraa meidän MFA phishing ja Adversary-in-the-Middle ohitus opastaa ja varoittaa yrityksesi IT Security / SOC -tiimiä viiden minuutin kuluessa.
4. Jos skannasit QR-koodin sisäänrakennetulla kameraskannerilla WhatsAppin, Discordin, Telegramin, Steamin tai WeChatin SISÄLLÄ, avaa kyseisen sovelluksen "Linkitetyt laitteet" -valikko ja kirjaudu välittömästi ulos kaikista tunnistamattomista istunnoista. Hyökkääjän QR-sisäänkirjautumiskoodin skannaus ilman todennettua viesti- tai pelitiliäsi**Hyökkääjäsi sovellus myöntää välittömän peliistunnon. tarvitset salasanasi tai 2FA-koodisi.
5. Jos QR-koodi kehotti sinua lataamaan Androidin .apk tiedosto tai asenna iOS-määritysprofiili (.mobileconfig), aseta puhelimesi lentotilaan ja poista profiili tai sovellus välittömästi. Valitse iOS:ssä Asetukset > Yleiset > VPN ja laitehallinta tai Androidissa Asetukset > Suojaus > Lisää suojausasetuksia > Laitteen järjestelmänvalvojan sovellukset ja suorita täydellinen laitetarkastus käyttämällä stalkerware-, vakoiluohjelmien ja näppäinloggereiden tunnistus puhelimissa opas.
6. Jos löysit fyysisen väärennetyn QR-tarran kunnallisesta pysäköintimittarista, liikennekioskista tai sähköauton laturista, älä kohtaa lähistöllä oleskelevia ihmisiä. Muuta turvalliseen paikkaan, ilmoita kioskin maalattuun metallirunkoon painettu pysäköinnin ylläpitäjälle tai kaupungin valvontanumeroon, ja jos kohtaat fyysistä uhkailua, soita paikalliseen hätänumeroon (9211, 19, 9, 1,9, Euroopan unioni Iso-Britannia, tai tarkista meidän hätänumerot hakemisto).

Haitallisen QR-koodin (Quishing) tapauksen lajittelupäätöspuu¶

flowchart TD
    Root["Juuri skannattu epäilyttävä tai haitallinen QR-koodi"] --> ActionTaken{"Mitä tapahtui QR-koodin skannauksen jälkeen?"}

    ActionTaken -->|"1. Vain avattu verkkosivu: Suljettu välilehti kirjoittamatta mitään tai lataamatta"| SafeClean["Pieni riski: Sulje selainvälilehti -> Tyhjennä kyseisen verkkotunnuksen sivustotiedot/evästeet -> Tarkista Lataukset-kansio -> Varmista, että iOS/Android-käyttöjärjestelmä on ajan tasalla"]

    ActionTaken -->|"2. Syötetty luotto-/pankkikortti väärennetylle pysäköintimittarille, sähköauton laturille tai pakettisivulle"| CardComp["1. Soita välittömästi pankkipetososastolle kortin lukitsemiseksi ja vaihtamiseksi.<br/>2. KRIITTINEN: Vaadi kaikkien Apple Payn/Google Payn digitaalisten lompakkokorttien (VTS/MDES) peruuttamista<br/>3. Tarkista mittarista, onko autosi todella maksamaton, jotta et hinaa"]

    ActionTaken -->|"3. Syötetty työ-/sähköpostisalasana + 2FA-koodi (Microsoft 365, Google, Okta)"| CredComp["1. Oletetaan AiTM Session Cookie Theft (Evilginx)<br/>2. Vaihda salasana puhtaalla tietokoneella ja napsauta Kirjaudu ulos kaikista istunnoista.<br/>3. Poista vilpilliset MFA-laitteet ja postilaatikon edelleenlähetyssäännöt<br/>4. Ilmoita välittömästi yrityksen IT SOC:lle"]

    ActionTaken -->|"4. Skannattu QR-koodi sovelluksen sisäisellä skannerilla (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Avaa Sovellusasetukset -> Linkitetyt laitteet / Valtuutetut laitteet -> Lopeta välittömästi kaikki tuntemattomat verkko-/työpöytäistunnot"]

    ActionTaken -->|"5. Asensit sovelluksen (.apk), iOS-määritysprofiilin tai napsautit kehotteiden Salli-painiketta"| MalwareCheck["1. Ota lentokonetila käyttöön välittömästi<br/>2. iOS: Asetukset > Yleiset > VPN ja laitehallinta -> Poista tuntematon profiili<br/>3. Android: Poista huijaus-APK ja peruuta esteettömyys-/järjestelmänvalvojan käyttöoikeudet"]

QR-koodien takana olevien viiden erillisen teknisen hyökkäysvektorin ymmärtäminen¶

QR-koodi (ISO/IEC 18004 -standardi) ei vain avaudu https:// verkkosivustoja. Mustavalkoisten moduulien sisällä koodatusta URI-skeemasta riippuen koodin skannaus voi käynnistää viisi täysin erilaista toimintoa älypuhelimellasi:

Scenario A: You scanned a fake QR sticker on a parking meter, EV charger, or toll notice and entered payment details¶

Physical QR overlay tampering has surged across cities in North America, Europe, the United Kingdom, and Australia. Because victims are usually standing on a busy sidewalk in a hurry, they rarely notice that a glossy vinyl sticker has been pasted over the painted metal meter face.

Step-by-step financial and vehicle containment¶

1. Lock the compromised card and purge Digital Wallet Provisioning Tokens (VTS / MDES):
2. Open your banking mobile app immediately and toggle Lock / Freeze Card to ON.
3. Call the fraud number on the back of your card and ask for the Digital Wallet / Tokenization Fraud Desk.
4. Why standard card replacement fails: If you entered a 6-digit SMS code or email code on the fake parking page after typing your card number, you inadvertently authorized the attacker to link your card to their Apple Pay, Google Pay, Garmin Pay, or Fitbit Pay account. Ask the bank representative to:
   1. View all Active Digital Wallet / Device Tokens linked to your Primary Account Number (PAN).
   2. Delete/Terminate all unrecognized Apple Pay, Google Pay, and merchant tokens.
   3. Opt out of Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) for this re-issuance so the new card number is not automatically forwarded to recurring fraudsters.
5. Pay your parking session legitimately right now so your vehicle is not ticketed, booted, or towed:
6. Remember: Because the QR sticker belonged to a criminal and not the city parking authority, your license plate is currently parked unpaid.
7. Never scan any sticker on the machine. Instead, walk to the meter and pay with a physical coin/contactless tap directly on the hardware terminal, or go to the official Apple App Store / Google Play Store, download the verified municipal app (such as ParkMobile, PayByPhone, RingGo, EasyPark, or PayStay), and type the 4-to-6-digit Zone Number painted on the metal pole.
8. Photograph the counterfeit sticker before reporting it:
9. Take a clear photograph of the parking meter or EV charger showing both the counterfeit QR sticker (look for raised adhesive edges, mismatched font sizes, or a sticker covering part of the official logo) and the meter serial/pole number.
10. Soita kunnalliseen pysäköintiviranomaiseen tai sähköajoneuvojen latausverkkoon (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) asiakaspalvelun puhelinnumero, joka on painettu kioskiin, jotta huoltohenkilöstö voi raaputtaa peittotarrat pois koko korttelin varrelta.

Skenaario B: Skannatit QR-koodin työsähköpostissa tai PDF-tiedostossa ja annoit Microsoft 365-, Google- tai Okta-kirjautumistunnuksesi¶

Yritysten kyberturvallisuudessa QR-koodien tietojenkalastelu on ykkönen Adversary-in-the-Middle (AiTM) -istunnon kaappauksen toimitusmekanismi. Koska useimmat työntekijät lukevat työsähköposteja pöytätietokoneensa näytöllä ja poimivat henkilökohtaisen älypuhelimensa skannatakseen näytöllä näkyvän QR-koodin, kirjautuminen tapahtuu työntekijän 5G-matkapuhelinyhteyden kautta ohittaen kokonaan yrityksen kannettavan tietokoneen Endpoint Detection and Response (EDR) -agentin, yrityksen palomuurin ja selaimen tietojenkalastelulaajennuksen.

Välitön 15 minuutin tilin suojausprotokolla¶

1. ÄLÄ oleta Authenticator-sovelluksesi suojaavan sinua:
2. Nykyaikaiset quishing-sivut käyttävät Evilginx-, Modlishka- tai Muraena-käänteisiä välityspalvelimia. Kun kirjoitat yrityssähköpostiosoitteesi, salasanasi ja 6-numeroisen Authenticator-koodin (tai hyväksyt Authenticator Push / Number -vastaavuuden) väärennetylle mobiilisivulle, hyökkääjän palvelin välittää kirjautumistietosi login.microsoftonline.com reaaliajassa ja tallentaa tuloksena ESTSAUTH / ESTSAUTHPERSISTENT istunnon eväste.
3. Kierrä salasanaasi puhtaalla tietokoneella JA peruuta kaikki aktiiviset istuntotunnukset:
4. Microsoft 365 / Entra ID: Siirry osoitteeseen https://mysignins.microsoft.com/security-info. Napsauta ensin Kirjaudu ulos kaikkialta (jos haluat mitätöidä varastetun istunnon evästeen). Toiseksi, vaihda salasanasi. Kolmanneksi, tarkastele tarkkaan kyseisen sivun Kirjautumismenetelmien luetteloa. Hyökkääjät käyttävät automaattisia komentosarjoja, jotka rekisteröivät oman Authenticator-sovelluksen tai FIDO2-avaimen tilillesi 8 sekunnin kuluessa evästeen varastamisesta. Poista kaikki Authenticator-laitteet, joita et tunnista.
5. Google Workspace / Gmail: Siirry osoitteeseen https://myaccount.google.com/device-activity, napsauta tunnistamatonta mobiili-/Linux-istuntoa -> Kirjaudu ulos, vaihda salasanasi ja vahvista 2-vaiheisen vahvistuksen laitteet.
6. Tarkista sähköpostilaatikostasi hiljainen "sääntö / edelleenlähetys" pysyvyys:
7. Hyökkääjät, jotka kaappaavat yrityksen postilaatikon QR-koodin avulla, luovat välittömästi piilotetun Saapuneet-laatikon säännön Outlook Webissä (Settings > Mail > Rules ja Forwarding), joka reitittää jokaisen saapuvan sähköpostin, joka sisältää sanoja kuten "Invoice", "Wire", "Payment", "ACH", tai "DocuSign" RSS-tilaukset- tai Arkisto-kansioon ja merkitse se luetuksi. Tarkista ja poista kaikki tuntemattomat säännöt käyttämällä meidän sähköpostitili hakkeroitu, edelleenlähetyssäännöt ja palautus opas.
8. Ilmoita heti yrityksesi IT-tukipalveluun tai Security Operations Centeriin (SOC):
9. Älä koskaan piilota vahingossa tehtyä QR-skannausta töissä hämmentyneenä. Jos järjestelmänvalvoja soittaa IT:lle 5 minuutin sisällä, hän voi napsauttaa Entra ID:ssä / Oktassa "Peruuta istunnot" ja "Rekisteröi MFA uudelleen", ennen kuin hyökkääjä voi käynnistää Business Email Compromise (BEC) -huijaus hyökätä asiakkaitasi vastaan.

Skenaario C: Skannasit QR-koodin sovelluksen sisäisellä skannerilla (WhatsApp, Discord, Telegram, Steam)¶

If a friend, gaming server "Verification Bot," or fake giveaway page told you to "Open Discord / WhatsApp / Steam -> Open QR Scanner -> Scan this code to claim a reward or verify your age", you did not visit a website, you just authorized a Remote Desktop / Web Client Login (QRLJacking):

• WhatsApp: Immediately open WhatsApp on your phone -> tap Settings (or the three dots ⋮ on Android) -> tap Linked Devices -> tap every listed Google Chrome (Windows/Linux/Mac) or unknown session -> tap Log Out.
• Discord: Immediately open Discord -> tap Settings -> Devices -> Log Out All Known Devices, and change your Discord password (changing your Discord password automatically invalidates the stolen Authorization token in the attacker's browser).
• Telegram: Open Telegram -> Settings > Devices -> Terminate All Other Sessions.
• Steam: Open the Steam Mobile App -> tap the Shield icon (Steam Guard) -> Gear icon -> Authorized Devices -> Remove access from any unrecognized PC.

Skenaario D: Skannatit vain QR-koodin ja avasit verkkosivun (et kirjoittanut mitään)¶

Jos osoitit iPhone- tai Android-kamerallasi epäilyttävää QR-koodia, napautit keltaista URL-banneria, näit luonnostelevan verkkosivun latautumisen Safarissa tai Chromessa ja suljet sen välittömästi kirjoittamatta salasanoja, luottokortteja tai napsauttamalla "Asenna":

1. Vedä syvään henkeä: Katupysäköintitarrasta peräisin oleva nollaklikkauksen ajo-selaimen hyväksikäyttö on poikkeuksellisen harvinainen. Kaupalliset nollaklikkauksen mobiiliselaimen hyödyntämiset maksavat miljoonia dollareita, ja kansallisvaltioiden tiedustelupalvelut varaavat ne kohdennettua vakoilua varten, ei joukkoparkkimittarihuijauksia varten.
2. Sulje selainvälilehti ja tyhjennä sivuston tallennustila:
3. iOS (Safari): Sulje välilehti ja avaa sitten Asetukset > Sovellukset > Safari > Lisäasetukset > Verkkosivuston tiedot, etsi epäilyttävä verkkotunnuksen nimi ja pyyhkäise vasemmalle Poista sen evästeet ja välimuisti.
4. Android (Chrome): Napauta osoitepalkin vasemmalla puolella olevaa riippulukko-/virityskuvaketta -> Evästeet ja sivustotiedot -> Poista (tai siirry kohtaan Asetukset > Tietosuoja ja suojaus > Poista selaustiedot -> Viime tunti).
5. Tarkista, että selaimesi ei ole hiljaa ottanut push-ilmoitusten roskapostia käyttöön tai lataa tiedostoa:
6. Siirry Android Chromessa kohtaan Asetukset > Sivustoasetukset > Ilmoitukset ja varmista, että millekään omituiselle verkkosivustolle ei ole annettu lupaa lähettää sinulle vääriä "Virus Detected" -push-ilmoitusten ponnahdusikkunoita.
7. Avaa puhelimesi Files / Downloads -kansio ja poista kaikki .apk, .pdf, .ics (kalenterin roskaposti) tai .mobileconfig tiedosto, joka latautuu automaattisesti sivun latautuessa.
8. Varmista, että GSM-soitonsiirtoa ei ole käynnistetty (jos QR-koodi avasi puhelinsoittosi):
9. Avaa puhelimen näppäimistö ja soita *#21# (tarkistaa ehdottoman soitonsiirron tilan). Jos luettelossa on jokin numero, valitse ##002# ja paina Soita poistaaksesi kaikki operaattorisi GSM-soitonsiirtosäännöt.

Skenaario E: Väärennetyt kryptovaluutan laitteistolompakon QR-koodit ja väärennetyt "AirDrop / Claim" -tarrat¶

Toinen nopeasti kasvava Quishing-vektori kohdistuu kryptovaluutan omistajiin fyysisten postitusten ja peukaloitujen pakkausten kautta:

1. Puheloidut Ledger-/Trezor-/Coldcard-pakkausliitteet:
2. Huijarit ostavat laitteistolompakoita, asettavat sisään laminoidun väärennetyn ohjekortin, joka sisältää QR-koodin, jossa lukee "Skannaa suorittaaksesi pakollisen laiteohjelmiston eheystarkistuksen tai alusta 24-sanaisen palautussiemenesi", kutistelee laatikon ja palauttaa sen kolmannen osapuolen kauppapaikoille.
3. Kultainen sääntö: Lailliset laitteistolompakot ei koskaan pyydä sinua kirjoittamaan 12-sanan tai 24-sanan BIP-39-palautuslauseesi älypuhelimen verkkosivulle tai skannaamaan QR-koodin, joka pyytää alkusanojasi. Jos annoit siemenlauseen QR-koodin skannauksen jälkeen, automaattinen lakaisubotti valvoo jo lompakkoasi. teloittaa meidän kryptovaluutan lompakon tyhjennys ja siemenlauseen kompromissi protokollaa välittömästi.
4. WalletConnect (wc:) Haitalliset DApp Drainer QR-koodit:
5. Skannaus a wc: QR-koodi MetaMaskin, Phantomin, Rabbyn tai Trust Walletin sisältä yhdistää Web3-lompakkosi kolmannen osapuolen hajautettuun sovellukseen (DApp). Jos sivusto ponnahtaa heti näkyviin allekirjoituspyynnön (Permit2, setApprovalForAll, tai increaseAllowance), klikkaa Hylkää ja katkaise WalletConnect-istunto kohdassa Asetukset > Yhdistetyt sivustot / WalletConnect-istunnot.

Forensics: Kuinka purkaa ja tarkastaa epäilyttävä QR-koodikuva turvallisesti skannaamatta sitä puhelimellasi¶

Jos sait QR-koodin sisältävän epäilyttävän PDF-tiedoston tai sähköpostin ja haluat nähdä mihin se johtaa koskematta sitä älypuhelimella, käytä näitä turvallisia komentorivi- tai hiekkalaatikkomenetelmiä pöytätietokoneella:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Fyysisten ja digitaalisten Quishing-hyökkäysten ilmoittaminen viranomaisille¶

Haitallisesta QR-koodista ilmoittaminen saa kaupungin miehistön poistamaan sekä fyysisen tarran että sen taustalla olevan tietojenkalasteluverkkotunnuksen uppoamaan maailmanlaajuisten selainsulkuluetteloiden (Googlen selaussuoja ja Microsoft SmartScreen) takia:

1. Ilmoita haitallisesta URL-osoitteesta Googlen selaussuojalle ja Cloudflare-tutkalle: lähetä purettu URL-osoite osoitteeseen safebrowsing.google.com/safebrowsing/report_phish/ ja radar.cloudflare.com/scan. Kun ilmoitus on tehty, jokainen iPhone Safari- ja Android Chrome -selain maailmanlaajuisesti näyttää koko näytön punaisen "Deceptive Site Ahead" -varoituksen 15-30 minuutin kuluessa aina, kun seuraava jalankulkija skannaa pysäköintimittarin tarran.
2. Tee virallinen tietoverkkorikosraportti:
3. Yhdysvallat: Tee ilmoitus FBI:n Internet Crime Complaint Centeriin (ic3.gov) ja Federal Trade Commission (reportfraud.ftc.gov) ja ilmoita asiasta paikalliselle pysäköintiviranomaiselle.
4. Iso-Britannia: välitä sähköpostit osoitteeseen report@phishing.gov.uk (National Cyber ​​Security Centre) ja ilmoita taloudellisesta tappiosta Action Fraud (actionfraud.police.uk).
5. Euroopan unioni, Kanada ja Australia: Ilmoita Kanadan petostentorjuntakeskukselle (antifraudcentre-centreantifraude.ca), Australian Scamwatch (scamwatch.gov.au) tai kansallinen tietokonehätäryhmäsi (CERT).

Kuinka tarkistaa QR-koodi turvallisesti ENNEN URL-osoitteessa vierailua (ehkäisyn tarkistuslista)¶

Sinun ei koskaan tarvitse arvata mihin QR-koodi johtaa. Noudata näitä viittä sääntöä aina, kun kohtaat QR-koodin julkisesti tai postitse:

• Aja kynsilläsi fyysisiä QR-koodeja pysäköintimittareissa, sähköautojen latureissa ja ravintolapöydissä: Aito pysäköintikioski ja sähköauton laturi QR-koodit on joko silkkisuojattu suoraan metalliseen etulevyyn tai sinetöity kirkkaan polykarbonaattisuojakalvon alle. Jos kyntesi tarttuu kyltin päälle kiinnitetyn paperi- tai vinyylitarran kohotettuun reunaan, älä koskaan skannaa sitä.
• Lue koko URL-osoitteen esikatselu alkuperäisessä kamerasovelluksessasi ja ohita URL-lyhennykset: Sekä sisäänrakennettu iOS-kamerasovellus että Android-kamera näyttävät pienen pilleribannerin, joka näyttää verkkotunnuksen ennen selaimen avaamista. Jos kunnallisessa pysäköintimittarissa tai pankkiilmoituksessa näkyy lyhennetty tai yleinen URL-osoite (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, tai page.link), do not tap it, government agencies and major banks never use third-party link shorteners on payment kiosks.
• Poista "Avaa linkit automaattisesti" käytöstä puhelimen kamera-asetuksista: Varmista, että kamerasovelluksesi edellyttää, että luet ja napautat URL-esikatselubannerin manuaalisesti sen sijaan, että käynnistät selaimen heti, kun QR-koodi tulee kehykseen.
• Älä koskaan skannaa QR-koodia, joka saapuu ei-toivotussa fyysisessä kirjeessä tai postikortissa ("USPS / Royal Mail / Amazon Mystery Package"): Huijarit lähettävät fyysisiä paketteja, jotka sisältävät halvan, tilaamattoman tuotteen (kuten muovirenkaan tai puhelimen laturin, "Brushing Scam") ja kortin mukana *"Skannaa tämä QR-koodi tai lähetä tämä lahja."
• Download parking and EV charging apps directly from the App Store / Play Store: Instead of scanning a street QR code, open the official ParkMobile, PayByPhone, RingGo, or ChargePoint app and type the Zone Number printed on the sign.

Usein kysytyt kysymykset¶