Lừa đảo qua mã QR (Quishing), Nhãn dán đồng hồ đỗ xe giả và URL độc hại¶

Quét mã Phản hồi nhanh (QR) bằng camera trên điện thoại thông minh của bạn đã trở thành thói quen tự động hàng ngày để thanh toán đồng hồ đỗ xe trong thành phố, khởi tạo các trạm sạc xe điện (EV), xem thực đơn nhà hàng, theo dõi việc giao bưu kiện và hoàn thành xác thực đa yếu tố của công ty (MFA). Những kẻ đe dọa khai thác sự tin tưởng ngầm này thông qua Quishing (Lừa đảo mã QR): dán đề can QR giả bằng nhựa vinyl vật lý trực tiếp lên các nhãn dán hợp pháp trên các ki-ốt đậu xe công cộng, gửi bưu thiếp giả mạo "giao hàng lỡ" hoặc nhúng hình ảnh QR được tạo động bên trong các tệp PDF của công ty để vượt qua các cổng bảo mật email của doanh nghiệp.

Vì mã QR chỉ đơn giản là một chuỗi dữ liệu được mã hóa quang học, có khả năng chứa tới 4.296 ký tự chữ và số nên mắt bạn không thể kiểm tra URL đích trước khi hướng máy ảnh vào ma trận. Tệ hơn nữa, việc quét mã QR sẽ chuyển cuộc tấn công từ máy tính xách tay của công ty được giám sát chặt chẽ sang điện thoại thông minh cá nhân của bạn, nơi thanh địa chỉ trình duyệt di động cắt ngắn các tên miền phụ dài và proxy ngược của đối thủ ở giữa (AiTM) có thể lấy được thẻ tín dụng, mã thông báo cấp phép Apple Pay / Google Pay hoặc cookie phiên Microsoft 365 của bạn trong vài giây. Hướng dẫn này nêu chi tiết các bước ngăn chặn ngay lập tức cần thực hiện trong vòng vài phút sau khi quét mã QR độc hại, tùy thuộc vào những gì xảy ra trên màn hình của bạn.

Làm điều này ngay bây giờ¶

1. Xác định ngay những gì bạn đã làm SAU KHI quét mã QR. Chỉ cần mở một trang web tiêu chuẩn trong Apple Safari hoặc Google Chrome trên điện thoại iPhone hoặc Android cập nhật hiếm khi tự cài đặt phần mềm độc hại dai dẳng. Tuy nhiên, nếu bạn đã nhập số thẻ tín dụng, đã nhập email/mật khẩu Microsoft 365/Google và mã 2FA, đã quét mã QR từ bên trong ứng dụng đã đăng nhập (như Discord, WhatsApp hoặc Microsoft Authenticator) hoặc đã cài đặt ứng dụng .apk ứng dụng hoặc .mobileconfig profile, bạn phải thực hiện ngăn chặn có mục tiêu ngay bây giờ.
2. Nếu bạn nhập thẻ tín dụng hoặc thẻ ghi nợ của mình vào trang web đồng hồ đỗ xe, đường thu phí hoặc bộ sạc EV giả, hãy gọi ngay đến số ở mặt sau thẻ của bạn để hủy thẻ VÀ yêu cầu đại lý "Thu hồi tất cả Mã thông báo Mạng VTS/MDES của Ví kỹ thuật số." Các trang phí đỗ xe và bưu kiện giả không chỉ tính phí bạn 3 đô la cho việc đỗ xe; họ chạy tập lệnh nền đăng ký thẻ của bạn vào ví điện thoại thông minh Apple Pay, Google Pay hoặc Samsung Pay của kẻ tấn công bằng mật mã SMS một lần mà bạn đã nhập trên trang thanh toán. Nếu bạn chỉ yêu cầu ngân hàng cấp thẻ nhựa thay thế mà không thu hồi Visa Token Service (VTS) hoặc Mastercard Digital Enablement Service (MDES) token ví kỹ thuật số, ví điện thoại của kẻ tấn công sẽ tự động nhận số thẻ mới của bạn và tiếp tục tính phí tài khoản của bạn.
3. Nếu bạn đăng nhập vào trang đăng nhập Microsoft 365, Google Workspace hoặc ngân hàng sau khi quét mã QR, hãy sử dụng một máy tính sạch để thay đổi mật khẩu VÀ nhấp vào "Đăng xuất khỏi tất cả các phiên / Thu hồi mã thông báo OAuth" ngay lập tức. Email hủy bỏ của công ty được định tuyến thông qua Proxy ngược Evilginx / Modlishka Adversary-in-the-Middle (AiTM) để lấy cắp cookie phiên sau xác thực của bạn ngay cả khi bạn sử dụng ứng dụng xác thực. Theo dõi của chúng tôi Lừa đảo MFA và vượt qua kẻ thù ở giữa hướng dẫn và cảnh báo cho nhóm Bảo mật CNTT/SOC của công ty bạn trong vòng năm phút.
4. Nếu bạn đã quét mã QR bằng máy quét camera tích hợp BÊN TRONG WhatsApp, Discord, Telegram, Steam hoặc WeChat, hãy mở menu "Thiết bị được liên kết" của ứng dụng đó và đăng xuất tất cả các phiên không được nhận dạng ngay lập tức. Quét mã "Đăng nhập QR" của kẻ tấn công từ bên trong ứng dụng nhắn tin hoặc trò chơi đã xác thực sẽ cấp cho kẻ tấn công bản sao phiên WebSocket ngay lập tức của tài khoản của bạn mà không cần mật khẩu hoặc mã 2FA.
5. Nếu mã QR nhắc bạn tải xuống Android .apk tệp hoặc cài đặt Hồ sơ cấu hình iOS (.mobileconfig), hãy đặt điện thoại của bạn vào Chế độ trên máy bay và xóa hồ sơ hoặc ứng dụng đó ngay lập tức. Kiểm tra Cài đặt > Chung > VPN & Quản lý thiết bị trên iOS hoặc Cài đặt > Bảo mật > Cài đặt bảo mật khác > Ứng dụng quản trị thiết bị trên Android và chạy kiểm tra thiết bị đầy đủ bằng cách sử dụng của chúng tôi Phát hiện phần mềm theo dõi, phần mềm gián điệp và keylogger trên điện thoại hướng dẫn.
6. Nếu bạn phát hiện nhãn dán QR giả trên đồng hồ đỗ xe trong thành phố, ki-ốt chuyển tuyến hoặc bộ sạc xe điện, đừng đối đầu với bất kỳ ai lảng vảng gần đó. Di chuyển đến một địa điểm an toàn, thông báo cho người điều hành bãi đậu xe hoặc số thực thi thành phố được in trên thân kim loại sơn của ki-ốt và nếu bạn gặp phải bất kỳ sự đe dọa thể chất nào, hãy gọi đến số khẩn cấp tại địa phương của bạn (911 ở Hoa Kỳ và Canada, 112 trên toàn Liên minh Châu Âu, 999 ở Vương quốc Anh hoặc kiểm tra của chúng tôi số khẩn cấp thư mục).

Cây quyết định phân loại sự cố mã QR độc hại (Quishing)¶

flowchart TD
    Root["Vừa quét mã QR đáng ngờ hoặc độc hại"] --> ActionTaken{"Điều gì đã xảy ra sau khi bạn quét mã QR?"}

    ActionTaken -->|"1. Chỉ trang web được mở: Tab đã đóng mà không cần gõ bất cứ thứ gì hoặc tải xuống"| SafeClean["Rủi ro thấp: Đóng tab trình duyệt -> Xóa dữ liệu trang web/cookie cho tên miền đó -> Kiểm tra thư mục Tải xuống -> Xác minh hệ điều hành iOS/Android đã được cập nhật"]

    ActionTaken -->|"2. Thẻ tín dụng/thẻ ghi nợ đã nhập trên đồng hồ đỗ xe giả, bộ sạc xe điện hoặc trang bưu kiện"| CardComp["1. Gọi ngay cho Phòng chống gian lận ngân hàng để khóa và thay thế thẻ<br/>2. QUAN TRỌNG: Yêu cầu thu hồi tất cả Mã thông báo Ví kỹ thuật số Apple Pay / Google Pay (VTS/MDES)<br/>3. Kiểm tra xem xe của bạn có thực sự chưa thanh toán tại đồng hồ hay không để tránh bị kéo đi"]

    ActionTaken -->|"3. Đã nhập Mật khẩu công việc/Email + Mã 2FA (Microsoft 365, Google, Okta)"| CredComp["1. Giả sử hành vi trộm cắp cookie phiên AiTM (Evilginx)<br/>2. Trên PC sạch, thay đổi mật khẩu và nhấp vào 'Đăng xuất khỏi tất cả các phiên'<br/>3. Xóa các thiết bị MFA giả mạo và quy tắc chuyển tiếp hộp thư đến<br/>4. Thông báo ngay cho SOC CNTT doanh nghiệp"]

    ActionTaken -->|"4. Mã QR được quét bằng máy quét trong ứng dụng (WhatsApp, Discord, Telegram, Steam)"| SocketHijack["Mở Cài đặt ứng dụng -> 'Thiết bị được liên kết' / 'Thiết bị được ủy quyền' -> Chấm dứt ngay lập tức tất cả các phiên web/máy tính để bàn không xác định"]

    ActionTaken -->|"5. Đã cài đặt Ứng dụng (.apk), Hồ sơ cấu hình iOS hoặc Đã nhấp vào 'Cho phép' trên Lời nhắc"| MalwareCheck["1. BẬT ngay Chế độ trên máy bay<br/>2. iOS: Cài đặt > Cài đặt chung > VPN & Quản lý thiết bị -> Xóa cấu hình không xác định<br/>3. Android: Gỡ cài đặt APK giả mạo và thu hồi quyền Truy cập/Quản trị viên"]

Hiểu 5 vectơ tấn công kỹ thuật riêng biệt đằng sau mã QR¶

Mã QR (tiêu chuẩn ISO/IEC 18004) không chỉ mở https:// các trang web. Tùy thuộc vào sơ đồ URI được mã hóa bên trong mô-đun đen trắng, việc quét mã có thể kích hoạt năm hành động hoàn toàn khác nhau trên điện thoại thông minh của bạn:

Trường hợp A: Bạn đã quét nhãn dán QR giả trên đồng hồ đỗ xe, bộ sạc xe điện hoặc thông báo thu phí và nhập chi tiết thanh toán¶

Việc giả mạo lớp phủ QR vật lý đã gia tăng khắp các thành phố ở Bắc Mỹ, Châu Âu, Vương quốc Anh và Úc. Bởi vì nạn nhân thường vội vàng đứng trên vỉa hè đông đúc nên họ hiếm khi nhận thấy một miếng dán vinyl bóng loáng đã được dán lên mặt đồng hồ kim loại được sơn.

Từng bước ngăn chặn tài chính và phương tiện¶

1. Khóa thẻ bị xâm nhập và xóa Mã thông báo cung cấp ví kỹ thuật số (VTS / MDES):
2. Mở ứng dụng ngân hàng di động của bạn ngay lập tức và chuyển Khóa / Đóng băng thẻ sang BẬT.
3. Gọi đến số gian lận ở mặt sau thẻ của bạn và yêu cầu Bàn gian lận ví kỹ thuật số / mã thông báo.
4. Tại sao việc thay thế thẻ tiêu chuẩn không thành công: Nếu bạn nhập mã SMS hoặc mã email gồm 6 chữ số trên trang đỗ xe giả sau khi nhập số thẻ, bạn đã vô tình ủy quyền cho kẻ tấn công liên kết thẻ của bạn với tài khoản Apple Pay, Google Pay, Garmin Pay hoặc Fitbit Pay của họ. Yêu cầu đại diện ngân hàng:
   1. Xem tất cả Ví kỹ thuật số đang hoạt động / Mã thông báo thiết bị được liên kết với Số tài khoản chính (PAN) của bạn.
   2. Xóa/Chấm dứt tất cả Apple Pay, Google Pay và mã thông báo của người bán không được công nhận.
   3. Chọn không tham gia Trình cập nhật tài khoản Visa (VAU) / Trình cập nhật thanh toán tự động Mastercard (ABU) cho lần phát hành lại này để số thẻ mới không được tự động chuyển tiếp cho những kẻ lừa đảo định kỳ.
5. Thanh toán phí đậu xe của bạn một cách hợp pháp ngay bây giờ để xe của bạn không bị phạt, bị khóa hoặc bị kéo:
6. Hãy nhớ rằng: Vì nhãn dán QR thuộc về một tên tội phạm chứ không phải cơ quan quản lý bãi đậu xe thành phố nên biển số xe của bạn hiện đang được đỗ chưa thanh toán.
7. Không bao giờ quét bất kỳ nhãn dán nào trên máy. Thay vào đó, hãy đi bộ đến đồng hồ và thanh toán bằng đồng xu vật lý/chạm không tiếp xúc trực tiếp trên thiết bị đầu cuối phần cứng hoặc truy cập Apple App Store / Google Play Store chính thức, tải xuống ứng dụng thành phố đã được xác minh (chẳng hạn như ParkMobile, PayByPhone, RingGo, EasyPark hoặc PayStay) và nhập Số vùng gồm 4 đến 6 chữ số được sơn trên cột kim loại.
8. Chụp ảnh nhãn dán giả trước khi báo cáo:
9. Chụp một bức ảnh rõ ràng về đồng hồ đỗ xe hoặc bộ sạc EV hiển thị cả nhãn dán QR giả (tìm các mép dính nổi lên, kích thước phông chữ không khớp hoặc nhãn dán che một phần của biểu trưng chính thức) và số sê-ri/cột đồng hồ.
10. Hãy gọi cho cơ quan quản lý đỗ xe thành phố hoặc mạng lưới sạc xe điện (ChargePoint, Electrify America, EVgo, Ionity, Shell Recharge) số điện thoại dịch vụ khách hàng được in trên ki-ốt để đội bảo trì có thể cạo bỏ các nhãn dán dọc theo toàn bộ dãy phố.

Tình huống B: Bạn đã quét mã QR trong email công việc hoặc PDF và nhập thông tin đăng nhập Microsoft 365, Google hoặc Okta của mình¶

Trong an ninh mạng doanh nghiệp, lừa đảo bằng mã QR là cơ chế phân phối số 1 cho Chiếm quyền điều khiển phiên của kẻ thù trung gian (AiTM). Bởi vì hầu hết nhân viên đọc email công việc trên màn hình máy tính để bàn và nhấc điện thoại thông minh cá nhân của họ để quét mã QR trên màn hình, nên quá trình đăng nhập diễn ra qua kết nối di động 5G của nhân viên, bỏ qua hoàn toàn tác nhân Phát hiện và phản hồi điểm cuối (EDR) của máy tính xách tay của công ty, tường lửa của công ty và tiện ích mở rộng lừa đảo trên trình duyệt.

Giao thức ngăn chặn tài khoản ngay lập tức trong 15 phút¶

1. KHÔNG cho rằng Ứng dụng Authenticator đã bảo vệ bạn:
2. Các trang quishing hiện đại sử dụng proxy ngược Evilginx, Modlishka hoặc Muraena. Khi bạn nhập email công ty, mật khẩu và mã Authenticator gồm 6 chữ số (hoặc phê duyệt kết quả Đẩy / số Authenticator trùng khớp) trên trang di động giả mạo, máy chủ của kẻ tấn công sẽ chuyển tiếp thông tin đăng nhập của bạn tới login.microsoftonline.com trong thời gian thực và ghi lại kết quả ESTSAUTH / ESTSAUTHPERSISTENT cookie phiên.
3. Trên máy tính sạch, hãy thay đổi mật khẩu VÀ thu hồi tất cả mã thông báo phiên hoạt động:
4. Microsoft 365 / Entra ID: Đi tới https://mysignins.microsoft.com/security-info. Trước tiên, hãy nhấp vào Đăng xuất ở mọi nơi (để vô hiệu hóa cookie phiên bị đánh cắp). Thứ hai, thay đổi mật khẩu của bạn. Thứ ba, hãy xem kỹ danh sách Phương thức đăng nhập trên trang chính xác đó, những kẻ tấn công sử dụng tập lệnh tự động đăng ký Ứng dụng xác thực hoặc khóa FIDO2 lừa đảo của riêng chúng vào tài khoản của bạn trong vòng 8 giây sau khi đánh cắp cookie của bạn. Xóa mọi thiết bị Authenticator mà bạn không nhận ra.
5. Google Workspace / Gmail: Đi tới https://myaccount.google.com/device-activity, nhấp vào phiên di động/Linux không được nhận dạng -> Đăng xuất, thay đổi mật khẩu của bạn và xác minh các thiết bị Xác minh 2 bước.
6. Kiểm tra hộp thư đến email của bạn để biết sự tồn tại của "Quy tắc / Chuyển tiếp" im lặng:
7. Những kẻ tấn công chiếm quyền điều khiển hộp thư công ty thông qua mã QR sẽ ngay lập tức tạo Quy tắc hộp thư đến ẩn trong Outlook Web (Settings > Mail > Rules và Forwarding) định tuyến mọi email đến có chứa các từ như "Invoice", "Wire", "Payment", "ACH"hoặc "DocuSign" vào thư mục Đăng ký RSS hoặc Lưu trữ trong khi đánh dấu nó là đã đọc. Kiểm tra và xóa tất cả các quy tắc chưa biết bằng cách sử dụng tài khoản email bị tấn công, quy tắc chuyển tiếp và khôi phục hướng dẫn.
8. Thông báo ngay cho Bộ phận trợ giúp CNTT hoặc Trung tâm điều hành bảo mật (SOC) của công ty bạn:
9. Đừng bao giờ che giấu việc quét QR vô tình tại nơi làm việc vì xấu hổ. Gọi cho bộ phận CNTT trong vòng 5 phút cho phép quản trị viên nhấp vào "Thu hồi phiên" và "Yêu cầu đăng ký lại MFA" trong Entra ID / Okta trước khi kẻ tấn công có thể khởi chạy Lừa đảo qua đường dây thỏa hiệp qua email doanh nghiệp (BEC) tấn công vào khách hàng của bạn.

Tình huống C: Bạn đã quét mã QR bằng Máy quét trong ứng dụng (WhatsApp, Discord, Telegram, Steam)¶

Nếu một người bạn, máy chủ trò chơi "Xác minh Bot" hoặc trang quà tặng giả mạo bảo bạn "Mở Discord / WhatsApp / Steam -> Mở Máy quét QR -> Quét mã này để nhận phần thưởng hoặc xác minh tuổi của bạn", thì bạn không truy cập trang web, bạn chỉ ủy quyền Đăng nhập máy tính từ xa / Máy khách web (QRLJacking):

• WhatsApp: Mở ngay WhatsApp trên điện thoại của bạn -> nhấn Cài đặt (hoặc ba dấu chấm ⋮ trên Android) -> nhấn Thiết bị được liên kết -> nhấn vào mọi thiết bị được liệt kê Google Chrome (Windows/Linux/Mac) hoặc phiên không xác định -> nhấn Đăng xuất.
• Discord: Mở Discord ngay lập tức -> nhấn Cài đặt -> Thiết bị -> Đăng xuất tất cả các thiết bị đã biết và thay đổi mật khẩu Discord của bạn (việc thay đổi mật khẩu Discord của bạn sẽ tự động vô hiệu hóa thông tin bị đánh cắp Authorization mã thông báo trong trình duyệt của kẻ tấn công).
• Telegram: Mở Telegram -> Cài đặt > Thiết bị -> Chấm dứt tất cả các phiên khác.
• Steam: Mở Ứng dụng Steam Mobile -> chạm vào biểu tượng Tấm khiên (Steam Guard) -> biểu tượng Bánh răng -> Thiết bị được ủy quyền -> Xóa quyền truy cập khỏi mọi PC không được nhận dạng.

Tình huống D: Bạn chỉ quét mã QR và mở trang web (Không gõ gì cả)¶

Nếu bạn hướng máy ảnh iPhone hoặc Android của mình vào một mã QR đáng ngờ, nhấn vào biểu ngữ URL màu vàng, thấy một trang web tải sơ sài trong Safari hoặc Chrome và ngay lập tức đóng nó mà không cần nhập bất kỳ mật khẩu, thẻ tín dụng hoặc nhấp vào "Cài đặt":

1. Hít một hơi thật sâu: Việc khai thác trình duyệt không cần nhấp chuột từ nhãn dán đỗ xe trên đường là cực kỳ hiếm. Việc khai thác trình duyệt di động không cần nhấp chuột thương mại tốn hàng triệu đô la và được các cơ quan tình báo quốc gia dành riêng cho hoạt động gián điệp có chủ đích chứ không phải lừa đảo trên đồng hồ đỗ xe hàng loạt.
2. Đóng tab trình duyệt và xóa bộ nhớ trang web:
3. iOS (Safari): Đóng tab, sau đó mở Cài đặt > Ứng dụng > Safari > Nâng cao > Dữ liệu trang web, tìm kiếm tên miền đáng ngờ và vuốt sang trái để Xóa cookie và bộ đệm của tên miền đó.
4. Android (Chrome): Nhấn vào biểu tượng ổ khóa / giai điệu ở bên trái thanh địa chỉ -> Cookie và dữ liệu trang web -> Xóa (hoặc đi tới Cài đặt > Quyền riêng tư và bảo mật > Xóa dữ liệu duyệt web -> Giờ trước).
5. Kiểm tra xem trình duyệt của bạn có âm thầm kích hoạt spam thông báo đẩy hoặc tải xuống tệp không:
6. Trong Android Chrome, hãy đi tới Cài đặt > Cài đặt trang web > Thông báo và xác minh rằng không có trang web lạ nào được cấp quyền gửi cho bạn cửa sổ bật lên thông báo đẩy "Đã phát hiện vi rút" giả mạo.
7. Mở thư mục Tệp / Tải xuống trên điện thoại của bạn và xóa mọi .apk, .pdf, .ics (thư rác lịch), hoặc .mobileconfig tệp được tải xuống tự động khi tải trang.
8. Xác minh rằng không có Chuyển tiếp cuộc gọi GSM nào được kích hoạt (nếu mã QR đã mở Trình quay số điện thoại của bạn):
9. Mở bàn phím điện thoại của bạn và quay số *#21# (kiểm tra trạng thái chuyển tiếp cuộc gọi vô điều kiện). Nếu bất kỳ số nào được liệt kê, hãy quay số ##002# và nhấn Gọi để xóa tất cả các quy tắc chuyển tiếp cuộc gọi GSM trên đường dây của nhà mạng.

Tình huống E: Mã QR của ví phần cứng tiền điện tử giả và nhãn dán "AirDrop / Claim" giả¶

Một vectơ Quishing khác đang phát triển nhanh chóng nhắm mục tiêu vào chủ sở hữu tiền điện tử thông qua các bưu phẩm vật lý và bao bì giả mạo:

1. Sổ cái giả mạo / Trezor / Phụ kiện đóng gói Coldcard:
2. Kẻ lừa đảo mua ví phần cứng, chèn một thẻ hướng dẫn giả nhiều lớp có chứa mã QR đọc "Quét để chạy Kiểm tra tính toàn vẹn của chương trình cơ sở bắt buộc hoặc khởi tạo hạt giống khôi phục 24 từ của bạn", bọc hộp lại và gửi lại cho các thị trường bán lẻ của bên thứ ba.
3. Quy tắc vàng: Ví phần cứng hợp pháp không bao giờ yêu cầu bạn nhập cụm từ khôi phục BIP-39 12 từ hoặc 24 từ vào trang web trên điện thoại thông minh hoặc quét mã QR yêu cầu các từ gốc của bạn. Nếu bạn nhập cụm từ hạt giống của mình sau khi quét mã QR, ví của bạn đã được giám sát bởi bot quét tự động; thực hiện của chúng tôi Rút ví tiền điện tử và thỏa hiệp cụm từ hạt giống giao thức ngay lập tức.
4. Kết nối ví (wc:) Mã QR DApp Drainer độc hại:
5. Đang quét một wc: Mã QR từ bên trong MetaMask, Phantom, Rabby hoặc Trust Wallet kết nối ví Web3 của bạn với ứng dụng phi tập trung (DApp) của bên thứ ba. Nếu trang web ngay lập tức hiện lên yêu cầu chữ ký (Permit2, setApprovalForAllhoặc increaseAllowance), nhấp vào Từ chối và ngắt kết nối phiên WalletConnect trong Cài đặt > Trang web được kết nối / Phiên WalletConnect.

Pháp y: Cách giải mã và kiểm tra hình ảnh mã QR đáng ngờ một cách an toàn mà không cần quét bằng điện thoại¶

Nếu bạn nhận được một tệp PDF hoặc email đáng ngờ có chứa mã QR và muốn xem nó dẫn đến đâu mà không cần chạm vào nó bằng điện thoại thông minh, hãy sử dụng các phương pháp dòng lệnh hoặc hộp cát an toàn sau trên máy tính để bàn:

# 1. Decode the raw text/URL inside a QR code image offline using 'zbarimg' (Linux/macOS):
# (Does NOT connect to the internet; simply prints the decoded string to your terminal)
zbarimg --raw suspicious_qr_image.png

# 2. Trace all HTTP 301/302 redirect hops without executing JavaScript or loading the page:
curl -sIL --max-redirs 10 "https://suspicious-short-url.example/xyz" | grep -iE "^(HTTP/|location:)"

# 3. Inspect DNS registration age (Quishing domains are almost always <14 days old):
whois suspicious-parking-domain.com | grep -iE "Creation Date|Registrar:"

Báo cáo các cuộc tấn công Quishing vật lý và kỹ thuật số cho cơ quan chức năng¶

Việc báo cáo mã QR độc hại sẽ khiến cả nhóm thành phố xóa nhãn dán vật lý và miền lừa đảo cơ bản bị chìm trong danh sách chặn trình duyệt toàn cầu (Google Safe Browsing và Microsoft SmartScreen):

1. Báo cáo URL độc hại tới Google Safe Browsing & Cloudflare Radar: Gửi URL đã được giải mã tới safebrowsing.google.com/safebrowsing/report_phish/ và radar.cloudflare.com/scan. Sau khi được gắn cờ, mọi trình duyệt iPhone Safari và Android Chrome trên toàn thế giới sẽ hiển thị cảnh báo "Trang web lừa đảo phía trước" màu đỏ toàn màn hình trong vòng 15 đến 30 phút bất cứ khi nào người đi bộ tiếp theo quét nhãn dán đồng hồ đỗ xe đó.
2. Gửi báo cáo tội phạm mạng chính thức:
3. Hoa Kỳ: Gửi báo cáo cho Trung tâm Khiếu nại Tội phạm Internet của FBI (ic3.gov) và Ủy ban Thương mại Liên bang (reportfraud.ftc.gov) và thông báo cho cơ quan quản lý đỗ xe ở thành phố địa phương của bạn.
4. Vương quốc Anh: Chuyển tiếp email yêu cầu đến report@phishing.gov.uk (Trung tâm An ninh mạng Quốc gia) và báo cáo tổn thất tài chính cho Hành động gian lận (actionfraud.police.uk).
5. Liên minh Châu Âu, Canada và Úc: Báo cáo cho Trung tâm chống gian lận Canada (antifraudcentre-centreantifraude.ca), Theo dõi Lừa đảo Úc (scamwatch.gov.au) hoặc nhóm ứng phó khẩn cấp máy tính quốc gia (CERT) của bạn.

Cách kiểm tra bất kỳ mã QR nào một cách an toàn TRƯỚC KHI truy cập URL (Danh sách kiểm tra phòng ngừa)¶

Bạn không bao giờ phải đoán mã QR dẫn đến đâu. Hãy thực hiện theo năm quy tắc sau mỗi khi bạn gặp mã QR ở nơi công cộng hoặc qua thư:

• Chạy móng tay của bạn trên mã QR vật lý trên đồng hồ đỗ xe, bộ sạc xe điện và bàn nhà hàng: Kiosk đỗ xe hợp pháp và mã QR của bộ sạc xe điện được sàng lụa trực tiếp trên tấm mặt kim loại hoặc được niêm phong bên dưới tấm bảo vệ bằng polycarbonate trong suốt. Nếu móng tay của bạn chạm vào cạnh nhô lên của giấy hoặc nhãn dán vinyl bị kẹt trên của biển hiệu, đừng bao giờ quét nó.
• Đọc bản xem trước URL đầy đủ trong ứng dụng máy ảnh gốc của bạn và bỏ qua các công cụ rút ngắn URL: Cả ứng dụng Máy ảnh iOS tích hợp và Máy ảnh Android đều hiển thị một biểu ngữ viên thuốc nhỏ hiển thị tên miền trước khi mở trình duyệt. Nếu đồng hồ đỗ xe của thành phố hoặc thông báo ngân hàng hiển thị một URL rút gọn hoặc chung chung (bit.ly, tinyurl.com, qrco.de, t.co, lnkd.inhoặc page.link), không nhấn vào, các cơ quan chính phủ và ngân hàng lớn không bao giờ sử dụng công cụ rút gọn liên kết của bên thứ ba trên các ki-ốt thanh toán.
• TẮT "Tự động mở liên kết" trong cài đặt camera trên điện thoại của bạn: Đảm bảo ứng dụng camera của bạn yêu cầu bạn đọc và nhấn theo cách thủ công biểu ngữ xem trước URL thay vì khởi chạy trình duyệt ngay khi mã QR lọt vào khung.
• Không bao giờ quét mã QR đến bên trong một lá thư hoặc bưu thiếp không được yêu cầu ("USPS / Royal Mail / Amazon Mystery Package"): Kẻ lừa đảo gửi các gói vật lý có chứa một mặt hàng rẻ tiền, không có thứ tự (như vòng nhựa hoặc bộ sạc điện thoại, "Lừa đảo đánh răng") kèm theo thẻ đọc "Quét mã QR này để xem ai đã gửi cho bạn món quà này hoặc xử lý việc trả lại của bạn." Vứt thẻ QR vào thùng rác.
• Tải xuống ứng dụng đỗ xe và sạc xe điện trực tiếp từ App Store / Play Store: Thay vì quét mã QR trên đường phố, hãy mở ứng dụng ParkMobile, PayByPhone, RingGo hoặc ChargePoint chính thức và nhập Số vùng được in trên biển hiệu.

Câu hỏi thường gặp¶