QR Code Phishing (Quishing), Mga Pekeng Sticker ng Metro ng Paradahan, at Mga Nakakahamak na URL¶

Ang pag-scan ng Quick Response (QR) code gamit ang iyong smartphone camera ay naging isang awtomatikong pang-araw-araw na ugali para sa pagbabayad ng mga metro ng paradahan ng munisipyo, pagsisimula ng mga istasyon ng pagsingil ng electric vehicle (EV), pagtingin sa mga menu ng restaurant, pagsubaybay sa mga paghahatid ng parsela, at pagkumpleto ng corporate multi-factor authentication (MFA). Sinasamantala ng mga aktor ng pananakot ang tahasang pagtitiwala na ito sa pamamagitan ng Quishing (QR Code Phishing): pag-paste ng mga pisikal na vinyl na pekeng QR decal nang direkta sa mga lehitimong sticker sa mga pampublikong parking kiosk, pagpapadala ng pekeng "na-miss na paghahatid" na mga postcard, o pag-embed ng mga dynamic na nabuong QR na larawan sa loob ng mga corporate PDF upang ma-bypass ang enterprise email secure gateway.

Dahil ang QR code ay isang optically encoded string ng data, na may kakayahang humawak ng hanggang 4,296 alphanumeric character, hindi masusuri ng iyong mata ang destination URL bago ituro ang iyong camera sa matrix. Mas malala pa, ang pag-scan ng QR code ay inilipat ang pag-atake mula sa iyong mahigpit na sinusubaybayang corporate laptop papunta sa iyong personal na smartphone, kung saan pinuputol ng mga address bar ng mobile browser ang mahahabang subdomain at maaaring makuha ng Adversary-in-the-Middle (AiTM) reverse proxy ang iyong credit card, Apple Pay / Google Pay provisioning token, o Microsoft 365 session cookie sa ilang segundo. Ang gabay na ito ay nagdedetalye ng mga agarang hakbang sa pagpigil na gagawin sa loob ng ilang minuto ng pag-scan ng nakakahamak na QR code, depende sa kung ano ang nangyari sa iyong screen.

Gawin ito ngayon¶

1. Tukuyin kaagad kung ano ang ginawa mo PAGKATAPOS i-scan ang QR code. Ang pagbubukas lang ng karaniwang web page sa Apple Safari o Google Chrome sa isang napapanahon na iPhone o Android phone ay bihirang mag-install ng patuloy na malware nang mag-isa. Gayunpaman, kung nag-type ka ng numero ng credit card, nagpasok ng email/Microsoft 365/Google password at 2FA code, nag-scan ng QR code mula sa loob ng naka-log-in na app (tulad ng Discord, WhatsApp, o Microsoft Authenticator), o nag-install ng .apk app o .mobileconfig profile, dapat mong isagawa ang naka-target na pagpigil sa ngayon.
2. Kung nai-type mo ang iyong credit card o debit card sa isang pekeng parking meter, toll road, o website ng EV charger, tawagan kaagad ang numero sa likod ng iyong card upang kanselahin ang card AT hilingin sa ahente na "Bawiin ang lahat ng Digital Wallet VTS/MDES Network Token." Ang mga pekeng pahina ng paradahan at parcel fee ay hindi lamang naniningil sa iyo ng 3 dolyar para sa paradahan; nagpapatakbo sila ng background script na nag-e-enroll sa iyong card sa Apple Pay, Google Pay, o Samsung Pay smartphone wallet ng isang attacker gamit ang SMS na isang beses na passcode na na-type mo sa page ng pag-checkout. Kung hihingi ka lang sa iyong bangko ng kapalit na plastic card nang hindi binabawi ang Visa Token Service (VTS) o Mastercard Digital Enablement Service (MDES) na mga token ng digital wallet, awtomatikong matatanggap ng wallet ng telepono ng umaatake ang iyong bagong numero ng card at patuloy na sisingilin ang iyong account.
3. **Kung nag-log in ka sa isang Microsoft 365, Google Workspace, o bank login page pagkatapos mag-scan ng QR code, gumamit ng malinis na computer para palitan ang iyong password AT i-click agad ang "Mag-sign out sa lahat ng session / Bawiin ang mga OAuth token." authenticator app. Sundin ang aming MFA phishing at Adversary-in-the-Middle bypass gabayan at alertuhan ang iyong kumpanya ng IT Security / SOC team sa loob ng limang minuto.
4. Kung nag-scan ka ng QR code gamit ang built-in na camera scanner SA LOOB ng WhatsApp, Discord, Telegram, Steam, o WeChat, buksan ang menu na "Mga Naka-link na Device" ng app na iyon at agad na i-log out ang lahat ng hindi nakikilalang session. Ang pag-scan ng "QR Login" code ng isang attacker mula sa loob ng isang authenticated na pagmemensahe o gaming app ay nagbibigay sa attacker ng isang instant na pagsara ng account nang hindi kailangan ng iyong password **Web.
5. Kung sinenyasan ka ng QR code na mag-download ng Android .apk file o mag-install ng iOS Configuration Profile (.mobileconfig), ilagay ang iyong telepono sa Airplane Mode at alisin kaagad ang profile o app. Suriin ang Settings > General > VPN & Device Management sa iOS o Settings > Security > Higit pang mga setting ng seguridad > Device admin app sa Android, at magpatakbo ng buong pag-audit ng device gamit ang aming stalkerware, spyware, at keylogger detection sa mga telepono gabay.
6. Kung nakatuklas ka ng pisikal na pekeng QR sticker sa metro ng paradahan ng munisipyo, transit kiosk, o EV charger, huwag harapin ang sinumang tambay sa malapit. Lumipat sa isang ligtas na lokasyon, abisuhan ang parking operator o numero ng pagpapatupad ng lungsod na naka-print sa pininturahan na metal na katawan ng kiosk, at kung nahaharap ka sa anumang pisikal na pananakot, tawagan ang iyong lokal na numero ng emergency (911, European 19, United States at 19 sa United States). Kaharian, o tingnan ang aming mga numerong pang-emergency direktoryo).

Nakakahamak na QR code (Quishing) incident triage decision tree¶

flowchart TD
    Root["Kaka-scan lang ng isang kahina-hinala o nakakahamak na QR Code"] --> ActionTaken{"Ano ang Nangyari Pagkatapos mong I-scan ang QR Code?"}

    ActionTaken -->|"1. Binuksan Lamang ang Webpage: Isinara ang Tab Nang Hindi Nagta-type ng Anuman o Nagda-download"| SafeClean["Mababang Panganib: Isara ang tab ng browser -> I-clear ang data/cookies ng site para sa domain na iyon -> Suriin ang folder ng Mga Download -> I-verify na napapanahon ang iOS/Android OS"]

    ActionTaken -->|"2. Naglagay ng Credit/Debit Card sa Fake Parking Meter, EV Charger, o Parcel Page"| CardComp["1. Tawagan kaagad ang Bank Fraud Dept para i-lock at palitan ang card<br/>2. KRITIKAL: Demand na pagbawi ng lahat ng Apple Pay / Google Pay Digital Wallet Token (VTS/MDES)<br/>3. Suriin kung ang iyong sasakyan ay talagang hindi binayaran sa metro upang maiwasang ma-tow"]

    ActionTaken -->|"3. Inilagay ang Password sa Trabaho/Email + 2FA Code (Microsoft 365, Google, Okta)"| CredComp["1. Ipagpalagay AiTM Session Cookie Theft (Evilginx)<br/>2. Sa isang malinis na PC, palitan ang password at i-click ang 'Mag-sign Out sa Lahat ng Session'<br/>3. Tanggalin ang mga masasamang MFA device at mga panuntunan sa pagpapasa ng inbox<br/>4. I-alerto kaagad ang Corporate IT SOC"]

    ActionTaken -->|"4. Na-scan ang QR Code Gamit ang In-App Scanner (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Buksan ang Mga Setting ng App -> 'Mga Naka-link na Device' / 'Mga Awtorisadong Device' -> Agad na Wakasan ang Lahat ng Hindi Alam na Web/Desktop Session"]

    ActionTaken -->|"5. Nag-install ng App (.apk), iOS Configuration Profile, o Na-click ang 'Allow' sa Mga Prompt"| MalwareCheck["1. I-ON kaagad ang Airplane Mode<br/>2. iOS: Mga Setting > Pangkalahatan > VPN at Pamamahala ng Device -> Tanggalin ang hindi kilalang profile<br/>3. Android: I-uninstall ang rogue APK at bawiin ang mga pahintulot sa Accessibility/Admin"]

Pag-unawa sa 5 natatanging teknikal na vector ng pag-atake sa likod ng mga QR code¶

Ang isang QR code (ISO/IEC 18004 standard) ay hindi lamang nagbubukas https:// mga website. Depende sa URI scheme na naka-encode sa loob ng black-and-white na mga module, ang pag-scan ng code ay maaaring mag-trigger ng limang ganap na magkakaibang pagkilos sa iyong smartphone:

Scenario A: You scanned a fake QR sticker on a parking meter, EV charger, or toll notice and entered payment details¶

Physical QR overlay tampering has surged across cities in North America, Europe, the United Kingdom, and Australia. Because victims are usually standing on a busy sidewalk in a hurry, they rarely notice that a glossy vinyl sticker has been pasted over the painted metal meter face.

Step-by-step financial and vehicle containment¶

1. Lock the compromised card and purge Digital Wallet Provisioning Tokens (VTS / MDES):
2. Open your banking mobile app immediately and toggle Lock / Freeze Card to ON.
3. Call the fraud number on the back of your card and ask for the Digital Wallet / Tokenization Fraud Desk.
4. Why standard card replacement fails: If you entered a 6-digit SMS code or email code on the fake parking page after typing your card number, you inadvertently authorized the attacker to link your card to their Apple Pay, Google Pay, Garmin Pay, or Fitbit Pay account. Ask the bank representative to:
   1. View all Active Digital Wallet / Device Tokens linked to your Primary Account Number (PAN).
   2. Delete/Terminate all unrecognized Apple Pay, Google Pay, and merchant tokens.
   3. Opt out of Visa Account Updater (VAU) / Mastercard Automatic Billing Updater (ABU) for this re-issuance so the new card number is not automatically forwarded to recurring fraudsters.
5. Pay your parking session legitimately right now so your vehicle is not ticketed, booted, or towed:
6. Remember: Because the QR sticker belonged to a criminal and not the city parking authority, your license plate is currently parked unpaid.
7. Never scan any sticker on the machine. Instead, walk to the meter and pay with a physical coin/contactless tap directly on the hardware terminal, or go to the official Apple App Store / Google Play Store, download the verified municipal app (such as ParkMobile, PayByPhone, RingGo, EasyPark, or PayStay), and type the 4-to-6-digit Zone Number painted on the metal pole.
8. Photograph the counterfeit sticker before reporting it:
9. Take a clear photograph of the parking meter or EV charger showing both the counterfeit QR sticker (look for raised adhesive edges, mismatched font sizes, or a sticker covering part of the official logo) and the meter serial/pole number.
10. Tawagan ang municipal parking authority o EV charging network (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) numero ng telepono ng customer service na naka-print sa kiosk para maalis ng mga maintenance crew ang mga overlay na sticker sa buong block ng kalye.

Scenario B: Nag-scan ka ng QR code sa isang email sa trabaho o PDF at inilagay ang iyong Microsoft 365, Google, o Okta login¶

Sa corporate cybersecurity, ang QR code phishing ay ang #1 na mekanismo ng paghahatid para sa Adversary-in-the-Middle (AiTM) session hijacking. Dahil ang karamihan sa mga empleyado ay nagbabasa ng mga email sa trabaho sa kanilang desktop monitor at kinuha ang kanilang personal na smartphone upang i-scan ang QR code sa screen, ang pag-login ay nangyayari sa cellular 5G na koneksyon ng empleyado, na ganap na lumalampas sa Endpoint Detection and Response (EDR) agent, corporate firewall, at browser phishing extension ng corporate laptop.

Agarang 15 minutong protocol sa pagpigil ng account¶

1. HUWAG ipagpalagay na protektado ka ng iyong Authenticator App:
2. Gumagamit ang mga modernong quishing page ng Evilginx, Modlishka, o Muraena reverse proxy. Kapag na-type mo ang iyong pangkumpanyang email, password, at 6-digit na Authenticator code (o inaprubahan ang isang Authenticator Push / tugma ng numero) sa pekeng mobile page, ire-relay ng server ng attacker ang iyong mga kredensyal sa login.microsoftonline.com sa totoong oras at kinukuha ang resultang ESTSAUTH / ESTSAUTHPERSISTENT cookie ng session.
3. Sa isang malinis na computer, i-rotate ang iyong password AT bawiin ang lahat ng aktibong token ng session:
4. Microsoft 365 / Entra ID: Pumunta sa https://mysignins.microsoft.com/security-info. Una, i-click ang Mag-sign out kahit saan (upang mapawalang-bisa ang ninakaw na cookie ng session). Pangalawa, baguhin ang iyong password. Pangatlo, tingnang mabuti ang listahan ng Mga paraan ng pag-sign-in sa eksaktong page na iyon, ang mga umaatake ay gumagamit ng mga automated na script na nagrerehistro ng sarili nilang rogue Authenticator App o FIDO2 key sa iyong account sa loob ng 8 segundo ng pagnanakaw ng iyong cookie. Tanggalin ang anumang Authenticator device na hindi mo nakikilala.
5. Google Workspace / Gmail: Pumunta sa https://myaccount.google.com/device-activity, i-click ang hindi nakikilalang mobile/Linux session -> Mag-sign out, palitan ang iyong password, at i-verify ang 2-Step Verification na mga device.
6. Suriin ang iyong email inbox para sa tahimik na "Rule / Forwarding" na pagtitiyaga:
7. Ang mga attacker na nang-hijack ng corporate mailbox sa pamamagitan ng QR code ay agad na gumagawa ng nakatagong Inbox Rule sa Outlook Web (Settings > Mail > Rules at Forwarding) na nagruruta sa bawat papasok na email na naglalaman ng mga salitang tulad ng "Invoice", "Wire", "Payment", "ACH", o "DocuSign" sa RSS Subscription o Archive na folder habang minamarkahan ito bilang nabasa na. I-audit at tanggalin ang lahat ng hindi kilalang mga panuntunan gamit ang aming na-hack ang email account, mga panuntunan sa pagpapasa, at pagbawi gabay.
8. I-notify kaagad ang iyong corporate IT Help Desk o Security Operations Center (SOC):
9. Huwag kailanman itago ang isang hindi sinasadyang QR scan sa trabaho dahil sa kahihiyan. Ang pagtawag sa IT sa loob ng 5 minuto ay nagbibigay-daan sa isang administrator na i-click ang "Bawiin ang mga session" at "Kailanganin ang muling pagpaparehistro sa MFA" sa Entra ID / Okta bago makapaglunsad ng isang Business Email Compromise (BEC) wire fraud pag-atake laban sa iyong mga kliyente.

Scenario C: Nag-scan ka ng QR code gamit ang In-App Scanner (WhatsApp, Discord, Telegram, Steam)¶

Kung sinabihan ka ng isang kaibigan, gaming server na "Verification Bot," o pekeng giveaway page na "Open Discord / WhatsApp / Steam -> Open QR Scanner -> Scan this code to claim a reward or verify your age", hindi ka bumisita sa isang website, pinahintulutan mo lang ang Remote Desktop / Web Client Login (QRLJacking):

• WhatsApp: Buksan kaagad ang WhatsApp sa iyong telepono -> i-tap ang Mga Setting (o ang tatlong tuldok ⋮ sa Android) -> i-tap ang Mga Naka-link na Device -> i-tap ang bawat nakalista Google Chrome (Windows/Linux/Mac) o hindi kilalang session -> i-tap ang Log Out.
• Discord: Buksan kaagad ang Discord -> i-tap ang Settings -> Devices -> Log Out All Kilalang Device, at baguhin ang iyong Discord password (awtomatikong magpapawalang-bisa sa ninakaw ang iyong password sa Discord. Authorization token sa browser ng umaatake).
• Telegram: Buksan ang Telegram -> Mga Setting > Mga Device -> Wakasan ang Lahat ng Iba Pang Session.
• Steam: Buksan ang Steam Mobile App -> i-tap ang Shield icon (Steam Guard) -> Gear icon -> Mga Awtorisadong Device -> Alisin ang access mula sa anumang hindi nakikilalang PC.

Scenario D: Na-scan mo lang ang QR code at binuksan ang webpage (Wala kang na-type)¶

Kung itinuro mo ang iyong iPhone o Android camera sa isang kahina-hinalang QR code, na-tap ang dilaw na banner ng URL, nakakita ng sketchy na webpage na nag-load sa Safari o Chrome, at agad itong isinara nang hindi nagta-type ng anumang mga password, credit card, o pag-click sa "I-install":

1. Huminga ng malalim: Ang isang zero-click na drive-by na pagsasamantala ng browser mula sa isang sticker sa paradahan sa kalye ay napakabihirang. Ang komersyal na zero-click na mobile browser exploits ay nagkakahalaga ng milyun-milyong dolyar at inilalaan ng mga ahensya ng paniktik ng bansang estado para sa naka-target na paniniktik, hindi sa mga panloloko ng mass parking-meter.
2. Isara ang tab ng browser at linisin ang storage ng site:
3. iOS (Safari): Isara ang tab, pagkatapos ay buksan ang Settings > Apps > Safari > Advanced > Website Data, hanapin ang kahina-hinalang domain name, at mag-swipe pakaliwa upang Delete ang cookies at cache nito.
4. Android (Chrome): I-tap ang padlock / tune icon sa kaliwa ng address bar -> Cookies at data ng site -> Tanggalin (o pumunta sa Mga Setting > Privacy at seguridad > Tanggalin ang data sa pagba-browse -> Huling oras).
5. Tiyaking hindi tahimik na pinagana ng iyong browser ang spam ng push notification o nag-download ng file:
6. Sa Android Chrome, pumunta sa Mga Setting > Mga setting ng site > Mga Notification at i-verify na walang kakaibang website ang nabigyan ng pahintulot na magpadala sa iyo ng pekeng "Virus Detected" na mga push notification na pop-up.
7. Buksan ang folder na Files / Downloads sa iyong telepono at tanggalin ang anuman .apk, .pdf, .ics (spam sa kalendaryo), o .mobileconfig file na awtomatikong na-download kapag nag-load ang pahina.
8. I-verify na walang GSM Call Forwarding ay na-trigger (kung binuksan ng QR code ang iyong Phone Dialer):
9. Buksan ang keypad ng iyong telepono at i-dial *#21# (sinusuri ang walang kondisyong katayuan sa pagpapasa ng tawag). Kung anumang numero ang nakalista, i-dial ##002# at pindutin ang Tawag upang i-wipe ang lahat ng GSM call-forwarding rules sa iyong carrier line.

Scenario E: Mga Pekeng Cryptocurrency na Hardware Wallet na QR Code at Pekeng "AirDrop / Claim" na Sticker¶

Ang isa pang mabilis na lumalagong Quishing vector ay nagta-target sa mga may-ari ng cryptocurrency sa pamamagitan ng mga pisikal na mailer at pinakialaman na packaging:

1. Tampered Ledger / Trezor / Coldcard Packaging Inserts:
2. Ang mga manloloko ay bumibili ng mga wallet ng hardware, naglalagay ng nakalamina na pekeng instruction card na naglalaman ng QR code na nagbabasa "I-scan upang patakbuhin ang mandatoryong Firmware Integrity Check o simulan ang iyong 24-word recovery seed", paliitin-i-wrap ang kahon, at ibalik ito sa mga third-party na retail marketplace.
3. Golden Rule: Ang mga lehitimong wallet ng hardware hindi kailanman hihilingin sa iyo na i-type ang iyong 12-salita o 24-salitang BIP-39 na parirala sa pagbawi sa isang web page ng smartphone o mag-scan ng QR code na humihingi ng iyong seed words. Kung inilagay mo ang iyong seed phrase pagkatapos mag-scan ng QR code, ang iyong wallet ay sinusubaybayan na ng isang automated sweeper bot; isagawa ang aming cryptocurrency wallet drain at seed phrase compromise protocol agad.
4. WalletConnect (wc:) Mga QR Code ng Nakakahamak na DApp Drainer:
5. Pag-scan a wc: Ikinokonekta ng QR code mula sa loob ng MetaMask, Phantom, Rabby, o Trust Wallet ang iyong Web3 wallet sa isang third-party na desentralisadong application (DApp). Kung agad na nagpa-pop up ang site ng kahilingan sa lagda (Permit2, setApprovalForAll, o increaseAllowance), i-click ang Tanggihan at idiskonekta ang WalletConnect session sa ilalim ng Settings > Connected Sites / WalletConnect Sessions.

Forensics: Paano ligtas na mag-decode at mag-inspeksyon ng kahina-hinalang larawan ng QR code nang hindi ito ini-scan gamit ang iyong telepono¶

Kung nakatanggap ka ng kahina-hinalang PDF o email na naglalaman ng QR code at gusto mong makita kung saan ito hahantong nang hindi ito hinahawakan gamit ang iyong smartphone, gamitin ang mga ligtas na command-line o mga sandboxed na pamamaraan sa desktop computer:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Pag-uulat ng pisikal at digital na pag-atake ng Quishing sa mga opisyal na awtoridad¶

Ang pag-uulat ng nakakahamak na QR code ay parehong maaalis ang pisikal na sticker ng mga crew ng lungsod at ang pinagbabatayan na domain ng phishing na na-sinkhol ng mga pandaigdigang blocklist ng browser (Google Safe Browsing at Microsoft SmartScreen):

1. Iulat ang nakakahamak na URL sa Google Safe Browsing at Cloudflare Radar: Isumite ang na-decode na URL sa safebrowsing.google.com/safebrowsing/report_phish/ at radar.cloudflare.com/scan. Kapag na-flag na, ang bawat iPhone Safari at Android Chrome browser sa buong mundo ay magpapakita ng full-screen na pulang "Mapanlinlang na Site sa Nauna" na babala sa loob ng 15 hanggang 30 minuto sa tuwing i-scan ng susunod na pedestrian ang sticker ng metro ng paradahan.
2. Maghain ng opisyal na ulat sa cybercrime:
3. Estados Unidos: Maghain ng ulat sa FBI Internet Crime Complaint Center (ic3.gov) at ang Federal Trade Commission (reportfraud.ftc.gov), at abisuhan ang iyong lokal na awtoridad sa paradahan ng lungsod.
4. United Kingdom: Ipasa ang pagtanggal ng mga email sa report@phishing.gov.uk (National Cyber ​​Security Center) at iulat ang pagkawala ng pananalapi sa Action Fraud (actionfraud.police.uk).
5. European Union, Canada, at Australia: Mag-ulat sa Canadian Anti-Fraud Center (antifraudcentre-centreantifraude.ca), Australian Scamwatch (scamwatch.gov.au), o ang iyong pambansang computer emergency response team (CERT).

Paano ligtas na suriin ang anumang QR code BAGO bisitahin ang URL (Checklist sa Pag-iwas)¶

Hindi mo na kailangang hulaan kung saan hahantong ang isang QR code. Sundin ang limang panuntunang ito sa tuwing makakatagpo ka ng QR code sa publiko o sa pamamagitan ng koreo:

• Patakbuhin ang iyong kuko sa mga pisikal na QR code sa mga parking meter, EV charger, at restaurant table: Ang mga lehitimong parking kiosk at EV charger QR code ay alinman sa silk-screened direkta papunta sa metal faceplate o selyadong sa ilalim ng malinaw na polycarbonate protective sheet. Kung nahuli ng iyong kuko ang nakataas na gilid ng isang papel o vinyl sticker na nakadikit sa ibabaw ng karatula, huwag na itong i-scan.
• Basahin ang buong preview ng URL sa iyong native camera app at huwag pansinin ang mga URL shortener: Parehong ang built-in na iOS Camera app at Android Camera ay nagpapakita ng maliit na banner ng tableta na nagpapakita ng domain name bago buksan ang browser. Kung ang metro ng paradahan ng munisipyo o abiso sa bangko ay nagpapakita ng pinaikling o generic na URL (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.in, o page.link), huwag i-tap ito, hindi kailanman gumagamit ang mga ahensya ng gobyerno at malalaking bangko ng mga third-party na link shortener sa mga payment kiosk.
• I-OFF ang "Awtomatikong Buksan ang Mga Link" sa mga setting ng camera ng iyong telepono: Tiyaking hinihiling sa iyo ng iyong camera app na manual na basahin at i-tap ang banner ng preview ng URL sa halip na ilunsad ang browser sa sandaling pumasok ang isang QR code sa frame.
• Huwag kailanman mag-scan ng QR code na dumarating sa loob ng hindi hinihinging pisikal na liham o postcard ("USPS / Royal Mail / Amazon Mystery Package"): Nagpapadala ang mga scammer ng mga pisikal na pakete na naglalaman ng mura at hindi nakaayos na item (tulad ng isang plastic na singsing o charger ng telepono, isang "Brushing Scam") na may kasamang card na nagbabasa "I-scan ang QR code na ito upang makita kung sino ang nagpadala sa iyo ng regalong ito." Itapon ang iyong QR card.
• Mag-download ng paradahan at EV charging app nang direkta mula sa App Store / Play Store: Sa halip na mag-scan ng QR code sa kalye, buksan ang opisyal na ParkMobile, PayByPhone, RingGo, o ChargePoint app at i-type ang Zone Number na naka-print sa sign.

Mga madalas itanong¶