QR Code Phishing (Quishing), lažne naljepnice za parkirne satove i zlonamjerni URL-ovi¶

Skeniranje koda za brzi odgovor (QR) kamerom vašeg pametnog telefona postala je automatska dnevna navika za plaćanje općinskih parkirnih mjerača, pokretanje stanica za punjenje električnih vozila (EV), pregledavanje jelovnika restorana, praćenje isporuka paketa i dovršavanje korporativne višefaktorske autentifikacije (MFA). Akteri prijetnji iskorištavaju ovo implicitno povjerenje kroz Quishing (QR Code Phishing): lijepljenje fizičkih krivotvorenih QR naljepnica na vinilu izravno preko legitimnih naljepnica na javnim parkirnim kioscima, slanje lažnih razglednica s "propuštenom isporukom" ili ugrađivanje dinamički generiranih QR slika unutar korporativnih PDF-ova kako bi se zaobišli sigurni pristupnici poslovne e-pošte.

Budući da je QR kod jednostavno optički kodiran niz podataka, koji može sadržavati do 4296 alfanumeričkih znakova, vaše oko ne može provjeriti odredišni URL prije nego što kameru usmjerite prema matrici. Što je još gore, skeniranje QR koda prebacuje napad s vašeg korporativnog prijenosnog računala pod strogim nadzorom na vaš osobni pametni telefon, gdje adresne trake mobilnog preglednika skraćuju dugačke poddomene, a obrnuti proxiji Adversary-in-the-Middle (AiTM) mogu uhvatiti vašu kreditnu karticu, token za Apple Pay / Google Pay ili kolačić sesije Microsoft 365 u sekundi. Ovaj vodič detaljno opisuje korake za trenutačno zadržavanje koje treba poduzeti unutar nekoliko minuta nakon skeniranja zlonamjernog QR koda, ovisno o tome što se dogodilo na vašem zaslonu.

Učinite to sada¶

1. Odmah utvrdite što ste učinili NAKON skeniranja QR koda. Jednostavno otvaranje standardne web-stranice u Apple Safariju ili Google Chromeu na ažuriranom iPhone ili Android telefonu rijetko samo od sebe instalira postojani zlonamjerni softver. Međutim, ako ste upisali broj kreditne kartice, unijeli e-poštu/Microsoft 365/Google lozinku i 2FA kod, skenirali QR kod iz aplikacije u kojoj ste prijavljeni (kao što je Discord, WhatsApp ili Microsoft Authenticator) ili instalirali .apk aplikacija ili .mobileconfig profil, morate odmah izvršiti ciljano zadržavanje.
2. Ako ste upisali svoju kreditnu karticu ili debitnu karticu na lažnu internetsku stranicu za mjerač parkiranja, naplatu cestarine ili punjač za električna vozila, odmah nazovite broj na poleđini svoje kartice kako biste otkazali karticu I zatražite od agenta da "Opozove sve VTS/MDES mrežne tokene digitalnog novčanika." Lažne stranice s naknadama za parkiranje i paket ne naplaćuju vam samo 3 dolara za parkiranje; pokreću pozadinsku skriptu koja upisuje vašu karticu u napadačev Apple Pay, Google Pay ili Samsung Pay novčanik za pametne telefone pomoću SMS jednokratne šifre koju ste upisali na stranici za naplatu. Ako od svoje banke tražite samo zamjensku plastičnu karticu bez opoziva Visa Token Service (VTS) ili Mastercard Digital Enablement Service (MDES) tokena digitalnog novčanika, napadačev telefonski novčanik automatski će primiti vaš novi broj kartice i nastaviti teretiti vaš račun.
3. Ako ste se prijavili na Microsoft 365, Google Workspace ili stranicu za prijavu u banku nakon skeniranja QR koda, upotrijebite čisto računalo da promijenite svoju zaporku I odmah kliknite "Odjavi se sa svih sesija / Opozovi OAuth tokene". Korporativne e-poruke za quishing usmjeravaju kroz Evilginx / Modlishka Adversary-in-the-Middle (AiTM) obrnute proxyje koji kradu vaše kolačić sesije nakon provjere autentičnosti čak i kada koristite aplikaciju za provjeru autentičnosti. Pratite naše MFA phishing i Adversary-in-the-Middle zaobilaženje voditi i upozoriti svoju tvrtku IT Security / SOC tim u roku od pet minuta.
4. Ako ste skenirali QR kod pomoću ugrađenog skenera kamere UNUTAR WhatsAppa, Discorda, Telegrama, Steama ili WeChata, otvorite izbornik "Povezani uređaji" te aplikacije i odmah odjavite sve neprepoznate sesije. Skeniranje napadačevog "QR Login" koda iz autentificirane aplikacije za razmjenu poruka ili igrica napadaču daje trenutni WebSocket klon vašeg računa bez potrebe za lozinkom ili 2FA kodom.
5. Ako vas je QR kod tražio da preuzmete Android .apk datoteku ili instalirajte iOS konfiguracijski profil (.mobileconfig), stavite svoj telefon u način rada u zrakoplovu i odmah uklonite profil ili aplikaciju. Provjerite Postavke > Općenito > VPN i upravljanje uređajima na iOS-u ili Postavke > Sigurnost > Više sigurnosnih postavki > Aplikacije administratora uređaja na Androidu i pokrenite punu reviziju uređaja pomoću našeg otkrivanje stalkerwarea, spywarea i keyloggera na telefonima vodič.
6. Ako ste otkrili fizičku krivotvorenu QR naljepnicu na gradskom parkirnom automatu, tranzitnom kiosku ili punjaču za električna vozila, nemojte se suprotstavljati nikome tko se šeta u blizini. Premjestite se na sigurnu lokaciju, obavijestite operatera parkirališta ili gradsku policiju na broj otisnut na obojanom metalnom tijelu kioska, a ako se suočite s bilo kakvim fizičkim prijetnjama, nazovite svoj lokalni broj hitne pomoći (911 u Sjedinjenim Državama i Kanadi, 112 diljem Europske unije, 999 u Ujedinjenom Kraljevstvu ili provjerite naš hitne brojeve imenik).

Stablo odlučivanja o trijaži zlonamjernog QR koda (Quishing).¶

flowchart TD
    Root["Upravo skeniran sumnjiv ili zlonamjeran QR kod"] --> ActionTaken{"Što se dogodilo nakon što ste skenirali QR kod?"}

    ActionTaken -->|"1. Samo otvorena web stranica: zatvorena kartica bez upisivanja bilo čega ili preuzimanja"| SafeClean["Nizak rizik: Zatvorite karticu preglednika -> Obrišite podatke/kolačiće web-lokacije za tu domenu -> Provjerite mapu Preuzimanja -> Provjerite je li iOS/Android OS ažuriran"]

    ActionTaken -->|"2. Unesena kreditna/debitna kartica na lažnom parkirnom mjeraču, punjaču za električna vozila ili stranici s paketom"| CardComp["1. Odmah nazovite bankovni odjel za prijevare da zaključate i zamijenite karticu<br/>2. KRITIČNO: Zahtjev za opozivom svih tokena digitalnog novčanika Apple Pay / Google Pay (VTS/MDES)<br/>3. Provjerite je li vaš automobil zapravo neplaćen na mjeraču kako biste izbjegli vuču"]

    ActionTaken -->|"3. Unesena lozinka za posao/e-poštu + 2FA kod (Microsoft 365, Google, Okta)"| CredComp["1. Pretpostavimo krađu kolačića sesije AiTM (Evilginx)<br/>2. Na čistom računalu promijenite lozinku i kliknite 'Odjava sa svih sesija'<br/>3. Izbrišite lažne MFA uređaje i pravila za prosljeđivanje pristigle pošte<br/>4. Odmah obavijestite korporativni IT SOC"]

    ActionTaken -->|"4. Skenirani QR kod pomoću skenera unutar aplikacije (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Otvorite postavke aplikacije -> 'Povezani uređaji' / 'Ovlašteni uređaji' -> Odmah prekini sve nepoznate web/stolne sesije"]

    ActionTaken -->|"5. Instalirali ste aplikaciju (.apk), iOS konfiguracijski profil ili ste kliknuli 'Dopusti' na upitima"| MalwareCheck["1. Odmah UKLJUČITE način rada u zrakoplovu<br/>2. iOS: Postavke > Općenito > VPN i upravljanje uređajima -> Izbriši nepoznati profil<br/>3. Android: deinstalirajte lažni APK i opozovite dopuštenja pristupa/administratora"]

Razumijevanje 5 različitih tehničkih vektora napada iza QR kodova¶

QR kod (standard ISO/IEC 18004) ne samo da se otvara https:// web stranice. Ovisno o URI shemi kodiranoj unutar crno-bijelih modula, skeniranje koda može pokrenuti pet potpuno različitih radnji na vašem pametnom telefonu:

Scenarij A: Skenirali ste lažnu QR naljepnicu na parkirnom automatu, punjaču za električna vozila ili obavijesti o cestarini i unijeli podatke o plaćanju¶

Fizičko neovlašteno mijenjanje QR slojeva skočilo je u gradovima u Sjevernoj Americi, Europi, Ujedinjenom Kraljevstvu i Australiji. Budući da žrtve obično stoje na prometnom pločniku u žurbi, rijetko primjećuju da je sjajna vinilna naljepnica zalijepljena preko obojenog metalnog lica mjerača.

Korak po korak obuzdavanje financija i vozila¶

1. Zaključajte ugroženu karticu i očistite tokene za opskrbu digitalnog novčanika (VTS / MDES):
2. Odmah otvorite mobilnu aplikaciju za bankarstvo i prebacite Zaključaj / Zamrzni karticu na UKLJUČENO.
3. Nazovite broj za prijevare na poleđini vaše kartice i zatražite Digital Wallet / Tokenization Fraud Desk.
4. Zašto standardna zamjena kartice ne uspijeva: Ako ste unijeli 6-znamenkasti SMS kod ili kod e-pošte na stranici za lažno parkiranje nakon što ste upisali broj svoje kartice, nenamjerno ste ovlastili napadača da poveže vašu karticu sa svojim Apple Pay, Google Pay, Garmin Pay ili Fitbit Pay računom. Zamolite predstavnika banke da:
   1. Pregledajte sve Aktivne digitalne novčanike / tokene uređaja povezane s vašim primarnim brojem računa (PAN).
   2. Izbrišite/ukinite sve neprepoznate Apple Pay, Google Pay i trgovačke tokene.
   3. Isključite Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) za ovo ponovno izdavanje kako se novi broj kartice ne bi automatski prosljeđivao stalnim prevarantima.
5. Platite svoju sesiju parkiranja legitimno upravo sada kako vaše vozilo ne bi bilo kažnjeno, prtljaženo ili odvučeno:
6. Upamtite: Budući da je QR naljepnica pripadala kriminalcu, a ne gradskoj upravi za parkiranje, vaša je registarska pločica trenutno parkirana bez plaćanja.
7. Nikada ne skenirajte nijednu naljepnicu na uređaju. Umjesto toga, dođite do mjerača i platite fizičkim novčićem/beskontaktnim dodirom izravno na hardverskom terminalu ili idite u službeni Apple App Store / Google Play Store, preuzmite provjerenu općinsku aplikaciju (kao što je ParkMobile, PayByPhone, RingGo, EasyPark ili PayStay) i upišite 4 do 6-znamenkasti broj zone naslikan na metalu stup.
8. Fotografirajte krivotvorenu naljepnicu prije prijave:
9. Snimite jasnu fotografiju parkirnog sata ili punjača za električna vozila na kojoj se vidi i krivotvorena QR naljepnica (potražite uzdignute ljepljive rubove, neusklađene veličine fonta ili naljepnicu koja prekriva dio službenog logotipa) i serijski broj/broj stupa na mjeraču.
10. Nazovite gradsku upravu za parkiranje ili mrežu za punjenje električnih vozila (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) na telefonski broj korisničke službe otisnut na kiosku kako bi službe za održavanje mogle sastrugati naljepnice duž cijele ulice.

Scenarij B: Skenirali ste QR kod u poslovnoj e-pošti ili PDF-u i unijeli svoju Microsoft 365, Google ili Okta prijavu¶

U korporativnoj kibernetičkoj sigurnosti, krađa identiteta QR koda mehanizam je br. 1 za otmicu sesije Adversary-in-the-Middle (AiTM). Budući da većina zaposlenika čita poslovnu e-poštu na svom stolnom monitoru i uzima svoj osobni pametni telefon kako bi skenirao QR kod na ekranu, prijava se odvija preko mobilne 5G veze zaposlenika, potpuno zaobilazeći agent za otkrivanje i odgovor krajnje točke (EDR) korporativnog prijenosnog računala, korporativni vatrozid i proširenje za krađu identiteta u pregledniku.

Trenutačni 15-minutni protokol zabrane računa¶

1. NEMOJTE pretpostavljati da vas je aplikacija Autentifikator zaštitila:
2. Moderne quishing stranice koriste Evilginx, Modlishka ili Muraena obrnute proxyje. Kada upišete svoju poslovnu e-poštu, zaporku i 6-znamenkasti autentifikacijski kod (ili odobrite Autentifikator Push / podudaranje broja) na lažnoj mobilnoj stranici, napadačev poslužitelj prosljeđuje vaše vjerodajnice login.microsoftonline.com u stvarnom vremenu i bilježi rezultirajuće ESTSAUTH / ESTSAUTHPERSISTENT sesijski kolačić.
3. Na čistom računalu promijenite lozinku I opozovite sve tokene aktivne sesije:
4. Microsoft 365 / Entra ID: Idite na https://mysignins.microsoft.com/security-info. Najprije kliknite Svugdje se odjavi (kako biste poništili ukradeni kolačić sesije). Drugo, promijenite lozinku. Treće, pažljivo pogledajte popis Načina prijave na točno toj stranici, napadači koriste automatizirane skripte koje registriraju vlastitu lažnu Aplikaciju autentifikatora ili FIDO2 ključ na vaš račun unutar 8 sekundi od krađe vašeg kolačića. Izbrišite sve uređaje Autentifikatora koje ne prepoznajete.
5. Google Workspace / Gmail: idite na https://myaccount.google.com/device-activity, kliknite na neprepoznatu mobilnu/Linux sesiju -> Odjava, promijenite lozinku i potvrdite uređaje Potvrde u 2 koraka.
6. Provjerite postojanost tihog "pravila / prosljeđivanja" u svom sandučiću e-pošte:
7. Napadači koji otmu korporativni poštanski sandučić putem QR koda odmah stvaraju skriveno Pravilo ulazne pošte u Outlook Webu (Settings > Mail > Rules i Forwarding) koji usmjerava svaku dolaznu e-poštu koja sadrži riječi poput "Invoice", "Wire", "Payment", "ACH", ili "DocuSign" u mapu RSS pretplate ili Arhiva dok je označavate kao pročitanu. Pregledajte i izbrišite sva nepoznata pravila pomoću našeg račun e-pošte hakiran, pravila prosljeđivanja i oporavak vodič.
8. Odmah obavijestite svoj korporativni IT Help Desk ili Security Operations Center (SOC):
9. Nikada nemojte skrivati slučajno QR skeniranje na poslu zbog neugodnosti. Pozivanje IT-a unutar 5 minuta omogućuje administratoru da klikne "Opozovi sesije" i "Zahtijevaj ponovnu registraciju MFA" u Entra ID-u / Okta prije nego što napadač može pokrenuti Žičana prijevara s kompromisom poslovne e-pošte (BEC). napad na vaše klijente.

Scenarij C: Skenirali ste QR kod pomoću skenera unutar aplikacije (WhatsApp, Discord, Telegram, Steam)¶

Ako vam je prijatelj, "Bot za provjeru" poslužitelja za igre ili lažna stranica za darivanje rekla "Otvori Discord / WhatsApp / Steam -> Otvori QR skener -> Skeniraj ovaj kod da zatražiš nagradu ili potvrdiš svoju dob", nisi posjetio web mjesto, samo si autorizirao Prijavu na udaljenoj radnoj površini / web klijentu (QRLJacking):

• WhatsApp: Odmah otvorite WhatsApp na telefonu -> dodirnite Postavke (ili tri točke ⋮ na Androidu) -> dodirnite Povezani uređaji -> dodirnite svaki naveden Google Chrome (Windows/Linux/Mac) ili nepoznata sesija -> dodirnite Odjava.
• Discord: Odmah otvorite Discord -> dodirnite Postavke -> Uređaji -> Odjava sa svih poznatih uređaja i promijenite lozinku za Discord (promjena lozinke za Discord automatski poništava ukradenu Authorization token u napadačevom pregledniku).
• Telegram: Otvorite Telegram -> Postavke > Uređaji -> Prekini sve ostale sesije.
• Steam: Otvorite mobilnu aplikaciju Steam -> dodirnite ikonu štita (Steam Guard) -> ikonu zupčanika -> Ovlašteni uređaji -> Ukloni pristup s bilo kojeg neprepoznatog računala.

Scenarij D: Samo ste skenirali QR kod i otvorili web stranicu (Niste ništa upisali)¶

Ako ste svoj iPhone ili Android kameru usmjerili prema sumnjivom QR kodu, dodirnuli žuti banner URL-a, vidjeli nedorečenu web stranicu koja se učitava u Safariju ili Chromeu i odmah je zatvorili bez upisivanja lozinki, kreditnih kartica ili klikanja na "Instaliraj":

1. Duboko udahnite: eksploatacija preglednika vožnje bez klika s naljepnice za ulično parkiranje iznimno je rijetka. Komercijalne eksploatacije mobilnog preglednika bez klika koštaju milijune dolara, a obavještajne agencije nacionalnih država rezervirane su za ciljanu špijunažu, a ne za masovne prijevare s automatima za parkiranje.
2. Zatvorite karticu preglednika i očistite pohranu web stranice:
3. iOS (Safari): Zatvorite karticu, zatim otvorite Postavke > Aplikacije > Safari > Napredno > Podaci o web-mjestu, potražite sumnjivi naziv domene i prijeđite prstom ulijevo da biste izbrisali njezine kolačiće i predmemoriju.
4. Android (Chrome): Dodirnite ikonu lokota / melodije lijevo od adresne trake -> Kolačići i podaci web-mjesta -> Izbriši (ili idite na Postavke > Privatnost i sigurnost > Izbriši podatke o pregledavanju -> Zadnji sat).
5. Provjerite da vaš preglednik nije tiho omogućio neželjenu poštu push obavijesti ili preuzeo datoteku:
6. U Android Chromeu idite na Postavke > Postavke web-mjesta > Obavijesti i provjerite nijedna čudna web-lokacija nije dobila dopuštenje da vam šalje lažne skočne obavijesti "Otkriven je virus".
7. Otvorite mapu Datoteke / Preuzimanja na svom telefonu i izbrišite sve .apk, .pdf, .ics (kalendarski spam), ili .mobileconfig datoteka koja se automatski preuzima kada se stranica učita.
8. Provjerite nije li aktivirano GSM prosljeđivanje poziva (ako je QR kod otvorio vaš telefonski birač):
9. Otvorite tipkovnicu telefona i birajte *#21# (provjerava status bezuvjetnog prosljeđivanja poziva). Ako je naveden bilo koji broj, birajte ##002# i pritisnite Poziv za brisanje svih pravila GSM prosljeđivanja poziva na liniji vašeg operatera.

Scenarij E: krivotvoreni QR kodovi novčanika hardvera kriptovalute i lažne naljepnice "AirDrop/Claim"¶

Drugi brzorastući Quishing vektor cilja na vlasnike kriptovaluta putem fizičkih pošiljatelja i neovlaštenog pakiranja:

1. Umetci pakiranja neovlaštene knjige / Trezor / Coldcard:
2. Prevaranti kupuju hardverske novčanike, umeću laminiranu krivotvorenu karticu s uputama koja sadrži QR kod s natpisom "Skeniraj za pokretanje obvezne provjere integriteta firmvera ili inicijaliziraj svoje početno mjesto za oporavak od 24 riječi", zamotaju kutiju i vrate je na maloprodajna tržišta trećih strana.
3. Zlatno pravilo: Legitimni hardverski novčanici nikad ne traže od vas da upišete svoju BIP-39 frazu za oporavak od 12 ili 24 riječi na web-stranicu pametnog telefona ili skenirate QR kod koji traži vaše početne riječi. Ako ste unijeli početnu frazu nakon skeniranja QR koda, vaš novčanik već nadzire automatizirani čistač; izvršiti naše pražnjenje novčanika kriptovalute i kompromitacija početne fraze protokol odmah.
4. WalletConnect (wc:) Zlonamjerni DApp Drainer QR kodovi:
5. Skeniranje a wc: QR kod iz MetaMask, Phantom, Rabby ili Trust Wallet povezuje vaš Web3 novčanik s decentraliziranom aplikacijom treće strane (DApp). Ako stranica odmah pojavi zahtjev za potpis (Permit2, setApprovalForAll, ili increaseAllowance), kliknite Odbaci i odspojite WalletConnect sesiju pod Postavke > Povezane stranice / WalletConnect sesije.

Forenzika: Kako sigurno dekodirati i pregledati sliku sumnjivog QR koda bez skeniranja telefonom¶

Ako ste primili sumnjivi PDF ili e-poruku koja sadrži QR kod i želite vidjeti kamo vodi bez dodirivanja pametnim telefonom, upotrijebite ove sigurne metode naredbenog retka ili sandboxa na stolnom računalu:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Prijavljivanje fizičkih i digitalnih Quishing napada službenim tijelima¶

Prijavljivanjem zlonamjernog QR koda uklanjaju se i fizička naljepnica od strane gradskih ekipa i temeljna phishing domena koju potapaju globalne liste blokiranih preglednika (Google Safe Browsing i Microsoft SmartScreen):

1. Prijavite zlonamjerni URL Google Safe Browsing & Cloudflare Radaru: Pošaljite dekodirani URL na safebrowsing.google.com/safebrowsing/report_phish/ i radar.cloudflare.com/scan. Nakon označavanja, svaki iPhone Safari i Android Chrome preglednik širom svijeta prikazat će crveno upozorenje "Deceptive Site Ahead" na cijelom ekranu u roku od 15 do 30 minuta svaki put kada sljedeći pješak skenira tu naljepnicu parkirnog sata.
2. Podnesite službenu prijavu kibernetičkog kriminala:
3. Sjedinjene Američke Države: Podnesite izvješće FBI-jevom Centru za pritužbe na internetski kriminal (ic3.gov) i Savezna komisija za trgovinu (reportfraud.ftc.gov) i obavijestite svoju lokalnu gradsku upravu za parkiranje.
4. Ujedinjeno Kraljevstvo: Proslijedite e-poruke za narudžbu na report@phishing.gov.uk (Nacionalni centar za kibernetičku sigurnost) i prijavite financijski gubitak Action Fraud (actionfraud.police.uk).
5. Europska unija, Kanada i Australija: prijavite Kanadskom centru za borbu protiv prijevara (antifraudcentre-centreantifraude.ca), Australski Scamwatch (scamwatch.gov.au) ili vaš nacionalni tim za odgovor na računalne hitne slučajeve (CERT).

Kako sigurno pregledati bilo koji QR kod PRIJE posjete URL-u (Kontrolni popis za prevenciju)¶

Nikada ne morate pogađati kamo QR kod vodi. Slijedite ovih pet pravila svaki put kada naiđete na QR kod u javnosti ili putem pošte:

• Pređite noktom preko fizičkih QR kodova na automatima za parkiranje, punjačima za električna vozila i restoranskim stolovima: Legitimni QR kodovi kioska za parkiranje i punjača za električna vozila ili su naneseni izravno na metalnu prednju ploču ili zapečaćeni ispod prozirne polikarbonatne zaštitne folije. Ako vam nokat uhvati uzdignuti rub papirnate ili vinilne naljepnice zalijepljene na vrhu znaka, nikada je ne skenirajte.
• Pročitajte puni pregled URL-a u svojoj matičnoj aplikaciji kamere i zanemarite skraćivače URL-ova: I ugrađena aplikacija za kameru za iOS i kamera za Android prikazuju mali banner koji prikazuje naziv domene prije otvaranja preglednika. Ako općinski parkirni uređaj ili bankovna obavijest prikazuje skraćeni ili generički URL (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, ili page.link), ne dodirujte, državne agencije i velike banke nikada ne koriste skraćivače veza trećih strana na kioscima za plaćanje.
• ISKLJUČITE "Automatsko otvaranje veza" u postavkama kamere na telefonu: Provjerite zahtijeva li vaša aplikacija kamere da ručno pročitate i dodirnete banner za pregled URL-a umjesto pokretanja preglednika čim QR kod uđe u okvir.
• Nikada ne skenirajte QR kod koji stigne u neželjenom fizičkom pismu ili razglednici ("USPS / Royal Mail / Amazon Mystery Package"): prevaranti šalju fizičke pakete koji sadrže jeftini, nenaručeni predmet (poput plastičnog prstena ili punjača za telefon, "prijevara s četkanjem") uz karticu s natpisom "Skenirajte ovaj QR kod da vidite tko vam je poslao ovaj dar ili obradite povrat." Bacite QR karticu u smeće.
• Preuzmite aplikacije za parkiranje i punjenje EV-a izravno iz App Store / Play Store: Umjesto da skenirate ulični QR kod, otvorite službenu aplikaciju ParkMobile, PayByPhone, RingGo ili ChargePoint i upišite Broj zone ispisan na znaku.

Često postavljana pitanja¶