QR કોડ ફિશિંગ (ક્વિશિંગ), નકલી પાર્કિંગ મીટર સ્ટિકર્સ અને દૂષિત URL¶

તમારા સ્માર્ટફોન કૅમેરા વડે ક્વિક રિસ્પોન્સ (QR) કોડ સ્કૅન કરવો એ મ્યુનિસિપલ પાર્કિંગ મીટર ચૂકવવા, ઇલેક્ટ્રિક વાહન (EV) ચાર્જિંગ સ્ટેશન શરૂ કરવા, રેસ્ટોરન્ટ મેનૂ જોવા, પાર્સલ ડિલિવરી ટ્રૅક કરવા અને કૉર્પોરેટ મલ્ટિ-ફેક્ટર ઑથેન્ટિકેશન (MFA) પૂર્ણ કરવા માટે એક સ્વચાલિત દૈનિક આદત બની ગઈ છે. ક્વિશિંગ (QR કોડ ફિશિંગ) દ્વારા આ ગર્ભિત વિશ્વાસનો ખતરો કરનારાઓ શોષણ કરે છે: સાર્વજનિક પાર્કિંગ કિઓસ્ક પર સીધા જ કાયદેસર સ્ટીકર પર ભૌતિક વિનાઇલ નકલી QR ડિકલ્સ પેસ્ટ કરીને, નકલી "મિસ્ડ ડિલિવરી" પોસ્ટકાર્ડ્સ મેઇલ કરીને અથવા ગતિશીલ રીતે જનરેટ કરાયેલ QR છબીઓને એમ્બેડ કરીને કોર્પોરગેટ દ્વારા ઇમેઇલની અંદર સુરક્ષિત રીતે દાખલ કરો.

કારણ કે QR કોડ ફક્ત ડેટાની એક ઓપ્ટીકલી એન્કોડેડ સ્ટ્રિંગ છે, જે 4,296 આલ્ફાન્યુમેરિક અક્ષરો સુધી રાખવા માટે સક્ષમ છે, તમારી આંખ તમારા કૅમેરાને મેટ્રિક્સ પર નિર્દેશ કરતા પહેલા ગંતવ્ય URL નું નિરીક્ષણ કરી શકતી નથી. સૌથી ખરાબ, QR કોડ સ્કેન કરવાથી તમારા ભારે મોનિટર કરાયેલા કોર્પોરેટ લેપટોપથી હુમલાને તમારા વ્યક્તિગત સ્માર્ટફોન પર સ્થાનાંતરિત કરવામાં આવે છે, જ્યાં મોબાઇલ બ્રાઉઝર એડ્રેસ બાર લાંબા સબડોમેન્સને કાપી નાખે છે અને એડવર્સરી-ઇન-ધ-મિડલ (AiTM) રિવર્સ પ્રોક્સી તમારા ક્રેડિટ કાર્ડ, Apple Pay / Google Pay પ્રોવિઝનિંગ ટોકન અથવા Microsoft 365 સેકન્ડ સેશનમાં કેપ્ચર કરી શકે છે. આ માર્ગદર્શિકા તમારી સ્ક્રીન પર શું થયું તેના આધારે, દૂષિત QR કોડને સ્કેન કર્યાની મિનિટોમાં લેવાના તાત્કાલિક નિયંત્રણ પગલાંની વિગતો આપે છે.

હવે આ કરો¶

1. QR કોડ સ્કેન કર્યા પછી તમે શું કર્યું તે તરત જ નિર્ધારિત કરો. અપ-ટુ-ડેટ iPhone અથવા Android ફોન પર Apple Safari અથવા Google Chrome માં ફક્ત પ્રમાણભૂત વેબ પેજ ખોલવાથી ભાગ્યે જ સતત માલવેર ઇન્સ્ટોલ થાય છે. જો કે, જો તમે ક્રેડિટ કાર્ડ નંબર ટાઇપ કર્યો હોય, એક ઈમેલ/Microsoft 365/Google પાસવર્ડ અને 2FA કોડ દાખલ કર્યો હોય, લોગ-ઈન કરેલ એપની અંદરથી QR કોડ સ્કેન કર્યો હોય (જેમ કે Discord, WhatsApp, અથવા Microsoft Authenticator), અથવા એક ઇન્સ્ટોલ કર્યું હોય .apk એપ્લિકેશન અથવા .mobileconfig પ્રોફાઇલ, તમારે હમણાં જ લક્ષિત નિયંત્રણનો અમલ કરવો આવશ્યક છે.
2. જો તમે નકલી પાર્કિંગ મીટર, ટોલ રોડ અથવા EV ચાર્જર વેબસાઇટ પર તમારું ક્રેડિટ કાર્ડ અથવા ડેબિટ કાર્ડ ટાઇપ કર્યું હોય, તો કાર્ડને રદ કરવા માટે તમારા કાર્ડની પાછળના નંબર પર તરત જ કૉલ કરો અને એજન્ટને "બધા ડિજિટલ વૉલેટ VTS/MDES નેટવર્ક ટોકન્સને રદબાતલ કરવા માટે કહો." નકલી પાર્કિંગ અને પાર્સલ ફી પેજ પાર્કિંગ માટે માત્ર 3 ડૉલર વસૂલતા નથી; તેઓ એક બેકગ્રાઉન્ડ સ્ક્રિપ્ટ ચલાવે છે જે તમારા કાર્ડની નોંધણી હુમલાખોરના Apple Pay, Google Pay અથવા Samsung Pay સ્માર્ટફોન વૉલેટમાં કરે છે. તમે ચેકઆઉટ પેજ પર ટાઇપ કરેલ SMS વન-ટાઇમ પાસકોડનો ઉપયોગ કરીને જો તમે ફક્ત તમારી બેંકને વિઝા ટોકન સેવા (VTS) અથવા માસ્ટરકાર્ડ ડિજિટલ સક્ષમ સેવા (MDES) ડિજિટલ વૉલેટ ટોકન્સને રદ કર્યા વિના બદલવા માટે પ્લાસ્ટિક કાર્ડ માટે પૂછો છો, તો હુમલાખોરનું ફોન વૉલેટ આપમેળે તમારો નવો કાર્ડ નંબર પ્રાપ્ત કરશે અને તમારા એકાઉન્ટને ચાર્જ કરવાનું ચાલુ રાખશે.
3. **જો તમે QR કોડ સ્કેન કર્યા પછી Microsoft 365, Google Workspace અથવા બેંકના લૉગિન પેજમાં લૉગ ઇન કર્યું હોય, તો તમારો પાસવર્ડ બદલવા માટે સ્વચ્છ કમ્પ્યુટરનો ઉપયોગ કરો અને તરત જ "બધા સત્રોમાંથી સાઇન આઉટ કરો / OAuth ટોકન્સ રદ કરો" પર ક્લિક કરો. ** કોર્પોરેટ ક્વિશિંગ ઇમેઇલ્સ રૂટ મારફતે **Evilginx / Modlishka Adversary ** (TM-A-M-Adversary) દ્વારા જ્યારે તમે પ્રમાણીકરણ એપ્લિકેશનનો ઉપયોગ કરો છો ત્યારે પણ તમારી પોસ્ટ-ઓથેન્ટિકેશન સત્ર કૂકી ચોરી કરો. અમારા અનુસરો MFA ફિશિંગ અને એડવર્સરી-ઇન-ધ-મિડલ બાયપાસ પાંચ મિનિટમાં તમારી કંપનીની IT સુરક્ષા/SOC ટીમને માર્ગદર્શન અને ચેતવણી આપો.
4. **જો તમે WhatsApp, Discord, Telegram, Steam, અથવા WeChat ની અંદર બિલ્ટ-ઇન કેમેરા સ્કેનરનો ઉપયોગ કરીને QR કોડ સ્કેન કર્યો હોય, તો તે એપ્લિકેશનનું "લિંક્ડ ડિવાઇસ" મેનૂ ખોલો અને બધા અજાણ્યા સત્રોને તરત જ લૉગ આઉટ કરો. ** હુમલાખોરના "QR લૉગિન" કોડને સ્કેન કરીને એપની અંદરથી અથવા અધિકૃત હુમલો કરનારને એપની અંદરથી ગેંગ આઉટ કરી શકો છો. તમારા પાસવર્ડ અથવા 2FA કોડની જરૂર વગર તમારા એકાઉન્ટનો વેબસોકેટ સત્ર ક્લોન.
5. **જો QR કોડ તમને Android ડાઉનલોડ કરવા માટે સંકેત આપે છે .apk ફાઇલ કરો અથવા iOS કન્ફિગરેશન પ્રોફાઇલ ઇન્સ્ટોલ કરો (.mobileconfig), તમારા ફોનને એરોપ્લેન મોડમાં મૂકો અને તરત જ પ્રોફાઇલ અથવા એપ્લિકેશનને દૂર કરો. ** iOS પર સેટિંગ્સ > સામાન્ય > VPN અને ડિવાઇસ મેનેજમેન્ટ અથવા Android પર સેટિંગ્સ > સુરક્ષા > વધુ સુરક્ષા સેટિંગ્સ > ડિવાઇસ એડમિન એપ્લિકેશન તપાસો અને અમારા ઉપયોગ કરીને સંપૂર્ણ ઉપકરણ ઑડિટ ચલાવો ફોન પર સ્ટોકરવેર, સ્પાયવેર અને કીલોગર શોધ માર્ગદર્શિકા
6. **જો તમે મ્યુનિસિપલ પાર્કિંગ મીટર, ટ્રાન્ઝિટ કિઓસ્ક અથવા EV ચાર્જર પર ભૌતિક નકલી QR સ્ટીકર શોધી કાઢો છો, તો નજીકના કોઈ પણ વ્યક્તિનો સામનો કરશો નહીં. ** સલામત સ્થાન પર જાઓ, પાર્કિંગ ઓપરેટર અથવા કિઓસ્કના પેઇન્ટેડ મેટલ બોડી પર છાપેલ સિટી એન્ફોર્સમેન્ટ નંબરને સૂચિત કરો, અને જો તમે કોઈ ભૌતિક સંકટનો સામનો કરો છો, તો યુનાઈટેડ સ્ટેટ્સ 19 માં તમારા સ્થાનિક 19 નંબર પર કૉલ કરો. સમગ્ર યુરોપિયન યુનિયનમાં 112, યુનાઇટેડ કિંગડમમાં 999, અથવા અમારા તપાસો કટોકટી નંબરો ડિરેક્ટરી).

Malicious QR code (Quishing) incident triage decision tree¶

flowchart TD
    Root["Just Scanned a Suspicious or Malicious QR Code"] --> ActionTaken{"What Happened After You Scanned the QR Code?"}

    ActionTaken -->|"1. Only Opened Webpage: Closed Tab Without Typing Anything or Downloading"| SafeClean["Low Risk: Close browser tab -> Clear site data/cookies for that domain -> Check Downloads folder -> Verify iOS/Android OS is up to date"]

    ActionTaken -->|"2. Entered Credit/Debit Card on Fake Parking Meter, EV Charger, or Parcel Page"| CardComp["1. Call Bank Fraud Dept immediately to lock & replace card<br/>2. CRITICAL: Demand revocation of all Apple Pay / Google Pay Digital Wallet Tokens (VTS/MDES)<br/>3. Check if your car is actually unpaid at the meter to avoid getting towed"]

    ActionTaken -->|"3. Entered Work/Email Password + 2FA Code (Microsoft 365, Google, Okta)"| CredComp["1. Assume AiTM Session Cookie Theft (Evilginx)<br/>2. On a clean PC, change password & click 'Sign Out of All Sessions'<br/>3. Delete rogue MFA devices & inbox forwarding rules<br/>4. Alert Corporate IT SOC immediately"]

    ActionTaken -->|"4. Scanned QR Code Using an In-App Scanner (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Open App Settings -> 'Linked Devices' / 'Authorized Devices' -> Immediately Terminate All Unknown Web/Desktop Sessions"]

    ActionTaken -->|"5. Installed an App (.apk), iOS Configuration Profile, or Clicked 'Allow' on Prompts"| MalwareCheck["1. Turn ON Airplane Mode immediately<br/>2. iOS: Settings > General > VPN & Device Management -> Delete unknown profile<br/>3. Android: Uninstall rogue APK & revoke Accessibility/Admin permissions"]

Understanding the 5 distinct technical attack vectors behind QR codes¶

A QR code (ISO/IEC 18004 standard) does not only open https:// websites. Depending on the URI scheme encoded inside the black-and-white modules, scanning a code can trigger five completely different actions on your smartphone:

દૃશ્ય A: તમે પાર્કિંગ મીટર, EV ચાર્જર અથવા ટોલ નોટિસ પર નકલી QR સ્ટીકર સ્કેન કર્યું અને ચુકવણીની વિગતો દાખલ કરી¶

ભૌતિક QR ઓવરલે ટેમ્પરિંગ ઉત્તર અમેરિકા, યુરોપ, યુનાઇટેડ કિંગડમ અને ઓસ્ટ્રેલિયાના શહેરોમાં વધ્યું છે. કારણ કે પીડિતો સામાન્ય રીતે વ્યસ્ત ફૂટપાથ પર ઉતાવળમાં ઉભા હોય છે, તેઓ ભાગ્યે જ ધ્યાન આપે છે કે પેઇન્ટેડ મેટલ મીટરના ચહેરા પર ચળકતા વિનાઇલ સ્ટીકર ચોંટાડવામાં આવ્યું છે.

પગલું દ્વારા પગલું નાણાકીય અને વાહન નિયંત્રણ¶

1. Lock the compromised card and purge Digital Wallet Provisioning Tokens (VTS / MDES):
2. તમારી બેંકિંગ મોબાઈલ એપ તરત જ ખોલો અને લોક/ફ્રીઝ કાર્ડને ચાલુ પર ટૉગલ કરો.
3. તમારા કાર્ડની પાછળના ફ્રોડ નંબર પર કૉલ કરો અને ડિજિટલ વૉલેટ/ટોકનાઇઝેશન ફ્રોડ ડેસ્ક માટે પૂછો.
4. સ્ટાન્ડર્ડ કાર્ડ રિપ્લેસમેન્ટ કેમ નિષ્ફળ થાય છે: જો તમે તમારો કાર્ડ નંબર ટાઇપ કર્યા પછી નકલી પાર્કિંગ પેજ પર 6-અંકનો SMS કોડ અથવા ઇમેઇલ કોડ દાખલ કર્યો હોય, તો તમે અજાણતાં હુમલાખોરને તમારા કાર્ડને તેમના Apple Pay, Google Pay, Garmin Pay અથવા Fitbit Pay એકાઉન્ટ સાથે લિંક કરવા માટે અધિકૃત કર્યા છે. બેંકના પ્રતિનિધિને પૂછો:
   1. View all Active Digital Wallet / Device Tokens linked to your Primary Account Number (PAN).
   2. Delete/Terminate all unrecognized Apple Pay, Google Pay, and merchant tokens.
   3. Opt out of Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) for this re-issuance so the new card number is not automatically forwarded to recurring fraudsters.
5. Pay your parking session legitimately right now so your vehicle is not ticketed, booted, or towed:
6. Remember: Because the QR sticker belonged to a criminal and not the city parking authority, your license plate is currently parked unpaid.
7. Never scan any sticker on the machine. Instead, walk to the meter and pay with a physical coin/contactless tap directly on the hardware terminal, or go to the official Apple App Store / Google Play Store, download the verified municipal app (such as ParkMobile, PayByPhone, RingGo, EasyPark, or PayStay), and type the 4-to-6-digit Zone Number painted on the metal pole.
8. Photograph the counterfeit sticker before reporting it:
9. Take a clear photograph of the parking meter or EV charger showing both the counterfeit QR sticker (look for raised adhesive edges, mismatched font sizes, or a sticker covering part of the official logo) and the meter serial/pole number.
10. Call the municipal parking authority or EV charging network (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) customer service phone number printed on the kiosk so maintenance crews can scrape off the overlay stickers along the entire street block.

Scenario B: You scanned a QR code in a work email or PDF and entered your Microsoft 365, Google, or Okta login¶

In corporate cybersecurity, QR code phishing is the #1 delivery mechanism for Adversary-in-the-Middle (AiTM) session hijacking. Because most employees read work emails on their desktop monitor and pick up their personal smartphone to scan the QR code on the screen, the login happens over the employee's cellular 5G connection, completely bypassing the corporate laptop's Endpoint Detection and Response (EDR) agent, corporate firewall, and browser phishing extension.

Immediate 15-minute account containment protocol¶

1. Do NOT assume your Authenticator App protected you:
2. Modern quishing pages use Evilginx, Modlishka, or Muraena reverse proxies. When you type your corporate email, password, and 6-digit Authenticator code (or approve an Authenticator Push / number match) on the fake mobile page, the attacker's server relays your credentials to login.microsoftonline.com in real time and captures the resulting ESTSAUTH / ESTSAUTHPERSISTENT session cookie.
3. On a clean computer, rotate your password AND revoke all active session tokens:
4. Microsoft 365 / Entra ID: Go to https://mysignins.microsoft.com/security-info. First, click Sign out everywhere (to invalidate the stolen session cookie). Second, change your password. Third, look carefully at the list of Sign-in methods on that exact page, attackers use automated scripts that register their own rogue Authenticator App or FIDO2 key onto your account within 8 seconds of stealing your cookie. Delete any Authenticator device you do not recognize.
5. Google Workspace / Gmail: Go to https://myaccount.google.com/device-activity, click the unrecognized mobile/Linux session -> Sign out, change your password, and verify 2-Step Verification devices.
6. Check your email inbox for silent "Rule / Forwarding" persistence:
7. Attackers who hijack a corporate mailbox via a QR code immediately create a hidden Inbox Rule in Outlook Web (Settings > Mail > Rules અને Forwarding) that routes every incoming email containing words like "Invoice", "Wire", "Payment", "ACH", અથવા "DocuSign" into the RSS Subscriptions or Archive folder while marking it as read. Audit and delete all unknown rules using our email account hacked, forwarding rules, and recovery માર્ગદર્શિકા
8. Notify your corporate IT Help Desk or Security Operations Center (SOC) immediately:
9. Never hide an accidental QR scan at work out of embarrassment. Calling IT within 5 minutes allows an administrator to click "Revoke sessions" and "Require re-register MFA" in Entra ID / Okta before the attacker can launch a Business Email Compromise (BEC) wire fraud attack against your clients.

Scenario C: You scanned a QR code using an In-App Scanner (WhatsApp, Discord, Telegram, Steam)¶

If a friend, gaming server "Verification Bot," or fake giveaway page told you to "Open Discord / WhatsApp / Steam -> Open QR Scanner -> Scan this code to claim a reward or verify your age", you did not visit a website, you just authorized a Remote Desktop / Web Client Login (QRLJacking):

• WhatsApp: Immediately open WhatsApp on your phone -> tap Settings (or the three dots ⋮ on Android) -> tap Linked Devices -> tap every listed Google Chrome (Windows/Linux/Mac) or unknown session -> tap Log Out.
• Discord: Immediately open Discord -> tap Settings -> Devices -> Log Out All Known Devices, and change your Discord password (changing your Discord password automatically invalidates the stolen Authorization token in the attacker's browser).
• Telegram: Open Telegram -> Settings > Devices -> Terminate All Other Sessions.
• Steam: Open the Steam Mobile App -> tap the Shield icon (Steam Guard) -> Gear icon -> Authorized Devices -> Remove access from any unrecognized PC.

Scenario D: You only scanned the QR code and opened the webpage (Didn't type anything)¶

If you pointed your iPhone or Android camera at a suspicious QR code, tapped the yellow URL banner, saw a sketchy webpage load in Safari or Chrome, and immediately closed it without typing any passwords, credit cards, or clicking "Install":

1. Take a deep breath: A zero-click drive-by browser exploit from a street parking sticker is extraordinarily rare. Commercial zero-click mobile browser exploits cost millions of dollars and are reserved by nation-state intelligence agencies for targeted espionage, not mass parking-meter scams.
2. Close the browser tab and purge site storage:
3. iOS (Safari): Close the tab, then open Settings > Apps > Safari > Advanced > Website Data, search for the suspicious domain name, and swipe left to Delete its cookies and cache.
4. Android (Chrome): Tap the padlock / tune icon to the left of the address bar -> Cookies and site data -> Delete (or go to Settings > Privacy and security > Delete browsing data -> Last hour).
5. Check that your browser did not silently enable push notification spam or download a file:
6. In Android Chrome, go to Settings > Site settings > Notifications and verify no strange website was granted permission to send you fake "Virus Detected" push notification pop-ups.
7. Open the Files / Downloads folder on your phone and delete any .apk, .pdf, .ics (કેલેન્ડર સ્પામ), અથવા .mobileconfig ફાઇલ કે જે પૃષ્ઠ લોડ થાય ત્યારે આપમેળે ડાઉનલોડ થાય છે.
8. ચકાસો કે કોઈ GSM કૉલ ફોરવર્ડિંગ ટ્રિગર થયું નથી (જો QR કોડ તમારા ફોન ડાયલરને ખોલે છે):
9. તમારું ફોન કીપેડ ખોલો અને ડાયલ કરો *#21# (બિનશરતી કૉલ ફોરવર્ડિંગ સ્થિતિ તપાસે છે). જો કોઈ નંબર સૂચિબદ્ધ હોય, તો ડાયલ કરો ##002# અને તમારી કેરિયર લાઇન પરના તમામ GSM કૉલ-ફોરવર્ડિંગ નિયમોને સાફ કરવા માટે કૉલ દબાવો.

દૃશ્ય E: નકલી ક્રિપ્ટોકરન્સી હાર્ડવેર વૉલેટ QR કોડ્સ અને નકલી "એરડ્રોપ / દાવો" સ્ટીકરો¶

અન્ય ઝડપથી વિકસતા ક્વિશિંગ વેક્ટર ક્રિપ્ટોકરન્સીના માલિકોને ભૌતિક મેઇલર્સ અને ચેડાં કરેલા પેકેજિંગ દ્વારા લક્ષ્ય બનાવે છે:

1. ટેમ્પર્ડ લેજર / ટ્રેઝર / કોલ્ડકાર્ડ પેકેજિંગ ઇન્સર્ટ:
2. છેતરપિંડી કરનારાઓ હાર્ડવેર વોલેટ્સ ખરીદે છે, QR કોડ રીડિંગ ધરાવતું લેમિનેટેડ નકલી સૂચના કાર્ડ દાખલ કરે છે "ફરજિયાત ફર્મવેર ઇન્ટિગ્રિટી ચેક ચલાવવા માટે સ્કેન કરો અથવા તમારા 24-શબ્દના પુનઃપ્રાપ્તિ બીજને પ્રારંભ કરો", બૉક્સને સંકોચો-લપેટી લો અને તેને તૃતીય-પક્ષ રિટેલ માર્કેટપ્લેસમાં પરત કરો.
3. ગોલ્ડન રૂલ: કાયદેસર હાર્ડવેર વોલેટ્સ તમને તમારા 12-શબ્દ અથવા 24-શબ્દના BIP-39 પુનઃપ્રાપ્તિ વાક્યને સ્માર્ટફોન વેબ પેજમાં ટાઇપ કરવા અથવા તમારા સીડ શબ્દો માટે પૂછતો QR કોડ સ્કેન કરવાનું કહેતા નથી. જો તમે QR કોડ સ્કેન કર્યા પછી તમારો સીડ વાક્ય દાખલ કર્યો હોય, તો તમારા વૉલેટનું પહેલેથી જ સ્વયંસંચાલિત સ્વીપર બૉટ દ્વારા નિરીક્ષણ કરવામાં આવે છે; અમારા ચલાવો ક્રિપ્ટોકરન્સી વૉલેટ ડ્રેઇન અને બીજ શબ્દસમૂહ સમાધાન તરત જ પ્રોટોકોલ.
4. વોલેટ કનેક્ટ (wc:) દૂષિત DApp ડ્રેનર QR કોડ્સ:
5. સ્કેનિંગ એ wc: MetaMask, Phantom, Rabby અથવા Trust Wallet ની અંદરથી QR કોડ તમારા Web3 વૉલેટને તૃતીય-પક્ષ વિકેન્દ્રિત એપ્લિકેશન (DApp) સાથે જોડે છે. જો સાઇટ તરત જ સહી વિનંતી પોપ અપ કરે છે (Permit2, setApprovalForAll, અથવા increaseAllowance), નકારો પર ક્લિક કરો અને સેટિંગ્સ > કનેક્ટેડ સાઇટ્સ / વૉલેટકનેક્ટ સત્રો હેઠળ WalletConnect સત્રને ડિસ્કનેક્ટ કરો.

ફોરેન્સિક્સ: શંકાસ્પદ QR કોડ ઇમેજને તમારા ફોનથી સ્કેન કર્યા વિના કેવી રીતે સુરક્ષિત રીતે ડીકોડ કરવી અને તેનું નિરીક્ષણ કરવું¶

જો તમને QR કોડ ધરાવતો શંકાસ્પદ PDF અથવા ઇમેઇલ પ્રાપ્ત થયો હોય અને તે તમારા સ્માર્ટફોન સાથે સ્પર્શ કર્યા વિના તે ક્યાં લઈ જાય છે તે જોવા માંગતા હોય, તો ડેસ્કટૉપ કમ્પ્યુટર પર આ સુરક્ષિત કમાન્ડ-લાઇન અથવા સેન્ડબોક્સવાળી પદ્ધતિઓનો ઉપયોગ કરો:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

સત્તાવાર અધિકારીઓને ભૌતિક અને ડિજિટલ ક્વિશિંગ હુમલાઓની જાણ કરવી¶

દૂષિત QR કોડની જાણ કરવાથી શહેરના ક્રૂ દ્વારા ભૌતિક સ્ટીકર દૂર કરવામાં આવે છે અને વૈશ્વિક બ્રાઉઝર બ્લોકલિસ્ટ્સ (Google Safe Browsing અને Microsoft SmartScreen) દ્વારા અન્ડરલાઇંગ ફિશિંગ ડોમેન દૂર કરવામાં આવે છે:

1. ગુગલ સેફ બ્રાઉઝિંગ અને ક્લાઉડફ્લેર રડાર પર દૂષિત URL ની જાણ કરો: ડીકોડેડ URL સબમિટ કરો safebrowsing.google.com/safebrowsing/report_phish/ અને radar.cloudflare.com/scan. એકવાર ફ્લેગ કર્યા પછી, દરેક iPhone Safari અને Android Chrome બ્રાઉઝર વિશ્વભરમાં પૂર્ણ-સ્ક્રીન લાલ "Creceptive Site Ahead" 15 થી 30 મિનિટની અંદર ચેતવણી પ્રદર્શિત કરશે જ્યારે પણ આગામી રાહદારી તે પાર્કિંગ મીટર સ્ટીકરને સ્કેન કરશે.
2. અધિકૃત સાયબર ક્રાઇમ રિપોર્ટ ફાઇલ કરો:
3. યુનાઈટેડ સ્ટેટ્સ: FBI ઈન્ટરનેટ ક્રાઈમ કમ્પ્લેઈન્ટ સેન્ટર (ic3.gov) અને ફેડરલ ટ્રેડ કમિશન (reportfraud.ftc.gov), અને તમારા સ્થાનિક શહેર પાર્કિંગ ઓથોરિટીને સૂચિત કરો.
4. યુનાઇટેડ કિંગડમ: ક્વિશિંગ ઇમેઇલ્સ ને ફોરવર્ડ કરોreport@phishing.gov.uk (નેશનલ સાયબર સિક્યુરિટી સેન્ટર) અને નાણાકીય નુકસાનની જાણ એક્શન ફ્રોડ (actionfraud.police.uk).
5. યુરોપિયન યુનિયન, કેનેડા અને ઓસ્ટ્રેલિયા: કેનેડિયન એન્ટી-ફ્રોડ સેન્ટરને જાણ કરો (antifraudcentre-centreantifraude.ca), ઓસ્ટ્રેલિયન સ્કેમવોચ (scamwatch.gov.au), અથવા તમારી રાષ્ટ્રીય કમ્પ્યુટર ઇમરજન્સી રિસ્પોન્સ ટીમ (CERT).

URL (પ્રિવેન્શન ચેકલિસ્ટ) ની મુલાકાત લેતા પહેલા કોઈપણ QR કોડનું સુરક્ષિત રીતે નિરીક્ષણ કેવી રીતે કરવું¶

તમારે ક્યારેય અનુમાન લગાવવાની જરૂર નથી કે QR કોડ ક્યાં લઈ જાય છે. જ્યારે પણ તમે જાહેરમાં અથવા મેઇલ દ્વારા QR કોડનો સામનો કરો ત્યારે આ પાંચ નિયમોનું પાલન કરો:

• પાર્કિંગ મીટર, EV ચાર્જર અને રેસ્ટોરન્ટ કોષ્ટકો પર ભૌતિક QR કોડ્સ પર તમારા આંગળીના નખને ચલાવો: કાયદેસર પાર્કિંગ કિઓસ્ક અને EV ચાર્જર QR કોડ કાં તો **સિલ્ક-સ્ક્રીન કરેલા મેટલ ફેસપ્લેટ પર ** અથવા સીલ કરેલા સ્પષ્ટ પોલીકાર્બોનેટ રક્ષણાત્મક શીટની નીચે હોય છે. જો તમારી આંગળીના નખ કાગળની ઉપરની કિનારી પકડે છે અથવા ચિહ્નની ટોચ પર ચોંટેલા વિનાઇલ સ્ટીકર, તેને ક્યારેય સ્કેન કરશો નહીં.
• તમારા મૂળ કૅમેરા ઍપમાં સંપૂર્ણ URL પ્રીવ્યૂ વાંચો અને URL શૉર્ટનર્સને અવગણો: બિલ્ટ-ઇન iOS કૅમેરા ઍપ અને Android કૅમેરા બન્ને બ્રાઉઝર ખોલતા પહેલાં ડોમેન નામ દર્શાવતું નાનું પીલ બેનર પ્રદર્શિત કરે છે. જો મ્યુનિસિપલ પાર્કિંગ મીટર અથવા બેંક નોટિસ ટૂંકા અથવા સામાન્ય URL દર્શાવે છે (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, અથવા page.link), તેને ટેપ કરશો નહીં, સરકારી એજન્સીઓ અને મોટી બેંકો ક્યારેય પેમેન્ટ કિઓસ્ક પર તૃતીય-પક્ષ લિંક શોર્ટનરનો ઉપયોગ કરતી નથી.
• તમારા ફોનના કૅમેરા સેટિંગ્સમાં "આપમેળે લિંક્સ ખોલો" બંધ કરો: ખાતરી કરો કે તમારી કૅમેરા એપ્લિકેશન માટે તમારે QR કોડ ફ્રેમમાં પ્રવેશતા જ બ્રાઉઝરને લૉન્ચ કરવાને બદલે URL પ્રીવ્યૂ બેનરને મેન્યુઅલી વાંચવું અને ટેપ કરવું જરૂરી છે.
• *અવાંચ્છિત ભૌતિક પત્ર અથવા પોસ્ટકાર્ડ ("યુએસપીએસ / રોયલ મેઇલ / એમેઝોન મિસ્ટ્રી પેકેજ") ની અંદર આવતા QR કોડને ક્યારેય સ્કેન કરશો નહીં: સ્કેમર્સ સસ્તી, બિનક્રમાંકિત આઇટમ (જેમ કે પ્લાસ્ટિકની રિંગ અથવા ફોન ચાર્જર, "બ્રશિંગ સ્કેમ") ધરાવતા ભૌતિક પેકેજો મેઇલ કરે છે. પરત." QR કાર્ડ કચરાપેટીમાં ફેંકી દો.
• પાર્કિંગ અને EV ચાર્જિંગ એપને એપ સ્ટોર/પ્લે સ્ટોર પરથી સીધી ડાઉનલોડ કરો: સ્ટ્રીટ QR કોડ સ્કેન કરવાને બદલે, અધિકૃત ParkMobile, PayByPhone, RingGo, અથવા ChargePoint એપ્લિકેશન ખોલો અને સાઇન પર પ્રિન્ટ થયેલ ઝોન નંબર ટાઇપ કરો.

વારંવાર પૂછાતા પ્રશ્નો¶