QR-koodit ovat tulleet osaksi arkea: niitä käytetään ravintolamenuihin tutustumiseen, maksamiseen ja nopeaan kirjautumiseen eri palveluihin. Mutta juuri tämä tuttuus tekee niistä vaarallisia. Rikolliset ovat alkaneet hyödyntää QR-koodeja huijauksiin, joissa ihmiset johdatellaan huomaamatta väärennetyille sivustoille. Näillä sivuilla uhrilta kalastellaan henkilökohtaisia tietoja – kuten pankkitunnuksia – tai pyritään asentamaan haittaohjelmia hänen laitteelleen.

Kyberturvayhtiö Panda Security varoittaa, että QR-huijaukset ovat yleistymässä nopeasti ja muuttumassa entistä taitavammiksi. Erityisen petolliseksi nämä huijaukset tekee se, ettei QR-koodin sisältöä voi nähdä ennen sen skannaamista. Usein koodi näyttää täysin viattomalta – aivan kuten ravintolan menuun johtava linkki.

- Fyysinen ympäristö on tärkeässä roolissa näissä huijauksissa. Rikolliset hyödyntävät todellisia paikkoja ja tilanteita saadakseen ihmiset ansaan, sanoo Panda Securityn kyberturva-asiantuntija Hervé Lambert.

QR-huijaus toimii yksinkertaisuudessaan näin: ensin rikollinen luo QR-koodin, joka sisältää linkin huijaussivustolle. Tämä sivusto on usein taitavasti tehty kopio esimerkiksi verkkopankin, sosiaalisen median alustan tai viranomaisen verkkosivusta. Se näyttää aidolta, mutta sen tarkoitus on huijata käyttäjä luovuttamaan henkilökohtaisia tietoja. Tämän jälkeen rikollinen levittää koodia eri tavoin. Koodi voidaan liimata fyysisesti esimerkiksi ravintolan pöytään tai parkkimittariin, lähettää sähköpostin liitteenä tai tulostaa virallisen näköiseen kirjeeseen. Kun uhri skannaa koodin esimerkiksi puhelimellaan, hän siirtyy suoraan huijaussivulle. Sivulla voidaan pyytää esimerkiksi pankkitunnuksia, salasanoja tai maksutietoja. Kun uhri syöttää tietonsa, ne päätyvät suoraan rikollisten haltuun. Tiedot voidaan käyttää rahojen varastamiseen, identiteettivarkauteen tai myydä eteenpäin esimerkiksi pimeässä verkossa.

Esimerkkejä QR-huijauksista

• Sveitsissä rikolliset lähettivät kirjeitä, jotka näyttivät tulevan valtion viranomaisilta. Kirjeissä oli QR-koodi, joka ohjasi tekaistulle sivulle, jossa pyydettiin pankkitietoja. Useita ihmisiä onnistuttiin huijaamaan.

• Mainosjulisteita on käytetty myös huijauksiin. Rikolliset painattivat feikkejä kampanjoita, joissa luvattiin osallistumista arvontoihin QR-koodin kautta. Osallistumisen yhteydessä uhrit syöttivät omat yhteystietonsa ja muut henkilökohtaiset tietonsa.

• Pysäköintipaikoilla huijarit liimasivat omia QR-koodejaan virallisten maksukoodien päälle. Kun autoilija skannasi koodin ja syötti maksutiedot, rahat päätyivät huijarille. Yhdessä tapauksessa uhri menetti yli 14 000 euroa.

Pandan mukaan itseään ja laitteitaan voi suojella, jos toimii huolellisesti. Ei pidä skannata QR-koodeja, joiden alkuperästä et ole varma. Jos koodi vaikuttaa epäilyttävältä, se kannattaaa jättää väliin. QR-koodin avaamalle sivulle ei pidä antaa mitään tunnuksia tai maksutietoja. Lisäksi laitteet ja sovellukset pitää pitää ajan tasalla. Monet hyökkäykset perustuvat haavoittuvuuksiin, jotka voi estää päivityksillä.

Yksi keino on käyttää turvallista QR-koodin lukijaa. Esimerkiksi Pandan Secure QR Scanner tunnistaa ja estää vaaralliset linkit jo ennen kuin ne avautuvat.