Codurile QR au devenit un instrument de zi cu zi pentru efectuarea de plăți, accesarea meniurilor și conectarea la servicii digitale. Însă această familiaritate a fost exploatată și de infractorii cibernetici pentru a da un nou impuls fraudei online. Compania de securitate ESET a detectat o creștere semnificativă a quishing-ului, o variantă de phishing care folosește aceste coduri punctate pentru a direcționa utilizatorii către site-uri web rău intenționate fără ca aceștia să poată citi adresa URL de destinație.
Ultimele cifre vorbesc de la sine : Raportul ESET privind amenințările din primul semestru al anului 2026 indică faptul că codurile QR malițioase apar în 11% din totalul e-mailurilor de phishing, cu o medie de peste 100.000 de detectări pe lună. De fapt, Spania ocupă locul al doilea în lume ca număr de atacuri de acest tip, după Statele Unite.
Ce este quishing-ul și de ce este în plină expansiune?
Quishing-ul este în esență o variantă a phishing-ului clasic, dar cu un element suplimentar: linkul malițios este ascuns într-un cod QR. Utilizatorul scanează imaginea și ajunge pe un site web fraudulos care îi poate fura parolele bancare, datele de autentificare sau chiar instala programe malware pe dispozitivul său.
Unul dintre motivele succesului său este că destinația linkului nu este imediat vizibilă. Într-un e-mail suspect, puteți vedea domeniul nelegitim; aici, totul este comprimat într-un pătrat de pixeli. În plus, aceste coduri sunt încorporate în mesaje ca imagine atașată sau PDF, ocolind multe filtre de securitate pentru e-mail. Iar trucul este și mai eficient, deoarece mută comunicarea de la computerul de serviciu la telefonul mobil, un dispozitiv care adesea nu are același nivel de protecție.
Ingineria socială joacă, de asemenea, un rol semnificativ. Infractorii folosesc imaginea unor mărci cunoscute, precum DocuSign sau Microsoft, și exploatează situațiile urgente, de exemplu, avertizând că respectivul cont va fi suspendat dacă nu este autentificat. Drept urmare, mesajul ajunge în inbox, iar angajatul nu găsește niciunul dintre indicatorii obișnuiți de phishing, deoarece linkul nu conține text de citit.
Quishing în Spania, o alertă care nu se oprește
Spania a devenit un focar major pentru acest tip de fraudă. ESET estimează că 17% din detecțiile globale de fraudă prin quishing sunt concentrate în țară, ceea ce confirmă că tehnica a găsit un teren fertil. Unul dintre cele mai reprezentative cazuri a fost rezolvat datorită intervenției Institutului Național de Securitate Cibernetică (INCIBE). Un client al unui restaurant a scanat codul QR din meniu, care fusese modificat, și s-a abonat fără să știe la un serviciu premium.
OCU (Organizația Consumatorilor Spanioli) a evidențiat, de asemenea, problema codurilor QR false aplicate pe mașini pentru a simula amenzile de circulație. Când victima scanează codul pentru a plăti amenda, aceasta își transmite datele cardului unui site web fraudulos. Aceste escrocherii nu se opresc aici: au fost observate autocolante cu coduri QR frauduloase care acoperă codurile autentice ale parcometrelor și bicicletelor partajate. Atacatorii acoperă originalul cu un cod tipărit care indică propriul lor domeniu.
Laboratoarele ESET indică faptul că aprilie 2026 a marcat vârful detectărilor, deși seria temporală începuse deja să arate o creștere constantă. Securitatea mobilă și e-mailul corporativ sunt principalul scut, dar obiceiurile neglijente ale utilizatorilor fac restul.
Celelalte aspecte ale fraudei cu coduri QR
Nu este vorba doar despre fraude masive împotriva clienților restaurantelor. Serviciul Fiscal American (IRS) a detectat, de asemenea, campanii care implică scrisori fizice deghizate în notificări fiscale, conținând un cod QR care promite verificări ale conturilor sau documentație pentru proprietarii de criptomonede. Scanarea codului duce victima la un site web care solicită fraze de pornire sau chei private - elementul care acordă controlul asupra fondurilor digitale.
Rolul statelor se află și în spatele acestor capcane . Un aviz al FBI din ianuarie 2026 menționa grupul Kimsuky, presupus legat de Coreea de Nord, ca fiind responsabil pentru atacuri de ciberspionaj cu coduri QR în care aceștia foloseau pretexte precum documente sau formulare guvernamentale pentru a obține acces la organizații de cercetare. Cu alte cuvinte, tehnica s-a infiltrat și în arsenalul grupurilor APT, cu scopul de a compromite rețele de mare valoare.
Cum să te protejezi împotriva quishing-ului
Principala apărare împotriva acestei fraude este ceva la fel de elementar precum învățarea scepticismului. INCIBE recomandă o pauză înainte de scanarea oricărui cod QR afișat într-un loc public. Dacă autocolantul pare să se dezlipească, prezintă semne de modificare sau se află direct peste un alt cod, nu ar trebui utilizat. În cazul e-mailurilor, fiți atenți la orice mesaj nesolicitat care vă îndeamnă să scanați un cod QR, mai ales dacă conține o presiune excesivă asupra timpului.
De asemenea, este o idee bună să verificați adresa URL la care duce codul. Dacă telefonul dvs. oferă o previzualizare a linkului, căutați greșeli de scriere, domenii prescurtate sau variante ciudate ale site-urilor web familiare. Dezactivarea deschiderii automate a linkului la scanarea unui cod QR este un alt nivel util de protecție, atât pe sistemele iOS, cât și pe cele Android. Și nu furnizați niciodată informații de plată, acreditări sau detalii despre portofel fără a verifica printr-un alt canal că solicitarea este legitimă.
Pentru companii, experții ESET recomandă includerea quishing-ului în programele de conștientizare și simulările de phishing. Tehnologia este un alt element cheie: filtrele de e-mail capabile să extragă și să analizeze codurile QR din fișiere, protecția dispozitivelor mobile corporative și autentificarea rezistentă la phishing pentru conturile cu privilegii ridicate. Aplicarea principiului privilegiilor minime și menținerea software-ului actualizat sunt pași suplimentari care împiedică o scanare rău intenționată să devină o compromitere critică a rețelei.
Popularitatea codurilor QR nu este nimic nou, dar nici amenințarea pe care o reprezintă. Quishing-ul s-a consacrat ca o amenințare care mută datele printr-un ecran și un cod binar, iar măsurile care funcționează pentru phishing-ul bazat pe text funcționează și aici dacă sunt aplicate cu bun simț. Spania este deja în vizor, iar diferența dintre a deveni victimă și a evita o sperietură depinde de acel simplu obicei de a verifica, înainte de scanare, dacă destinația nu este o înșelătorie.