برای پرداخت پارکینگ، دیدن منوی رستوران یا پیگیری بسته، دوربین گوشی را روی یک کد QR می‌گیریم. مشکل اینجاست که ظاهر کد به ما نمی‌گوید مقصد آن معتبر است یا خیر. یک برچسب روی دستگاه واقعی هم می‌تواند به صفحه جعلی برود؛ همان‌طور که لوگوی آشنا در ایمیل، اصالت فرستنده را ثابت نمی‌کند.
مرکز ملی امنیت سایبری نیوزیلند در راهنمای سال ۲۰۲۶ خود، نمونه‌هایی از کدهای جعلی روی پارکومتر و پیام‌های شبیه پست را توضیح داده است. در این مطلب، بدون ادعای وقوع موج تازه در ایران، روش کم‌خطایی برای بررسی کد و واکنش پس از اشتباه ارائه می‌کنیم. هدف، حذف QR از زندگی نیست؛ هدف، اعتماد نکردن صرف به شکل آن است.
کلاهبرداری با کد QR چگونه کار می‌کند؟
در روشی که «کویشینگ» هم نامیده می‌شود، کد شما را به سایتی هدایت می‌کند که برای گرفتن اطلاعات یا فریب به نصب برنامه طراحی شده است. کد ممکن است روی کاغذ، صفحه وب، ایمیل یا دستگاه پرداخت دیده شود. مقصد می‌تواند ظاهری شبیه سرویس اصلی داشته باشد، اما اطلاعات را به مهاجم بدهد.
راهنمای NCSC نیوزیلند از برچسب‌های جعلی روی پارکومترهای کرایست‌چرچ و پیام‌های تقلیدی پست مثال می‌آورد. این نمونه‌ها، شاهدی بر امکان سوءاستفاده از یک رابط آشنا هستند؛ نه مدرکی برای نسبت‌دادن هر پارکومتر یا پیام پستی به کلاهبرداری.
اسکن‌کردن با پرداخت‌کردن فرق دارد
دریافت پیش‌نمایش نشانی، بازکردن صفحه، دانلود فایل و واردکردن اطلاعات، مراحل متفاوتی‌اند. اگر فقط پیش‌نمایش را دیده‌اید، وضعیت شما با کسی که رمز و کد تأیید داده یکسان نیست. هنگام واکنش، دقیقاً مشخص کنید چه اتفاقی افتاده؛ عبارت کلی «QR را اسکن کردم» برای انتخاب اقدام بعدی کافی نیست.
پیش از بازکردن لینک، سه سؤال بپرسید
آیا انتظار این درخواست را داشتم؟
اگر ایمیل می‌گوید برای ادامه کار فوراً حساب را تأیید کنید یا بسته‌ای که انتظارش را ندارید هزینه دارد، عجله نکنید. از مسیر شناخته‌شده خود وارد سرویس شوید. شماره سفارش یا بسته را در حساب واقعی بررسی کنید؛ نام فرستنده و تصویر لوگو به‌تنهایی کافی نیست.
آیا می‌توانم از مسیر مستقل همین کار را انجام دهم؟
برای پرداخت، برنامه‌ای را که قبلاً از منبع معتبر نصب کرده‌اید باز کنید یا نشانی رسمی را مستقل وارد کنید. برای پارکینگ، تابلو و روش پرداخت رسمی محل را بررسی کنید و در صورت ابهام از مسئول مربوط بپرسید. مسیر مستقل، یعنی اطلاعات تماس را از همان پیام مشکوک برندارید.
آیا نشانی نمایش‌داده‌شده با سرویس مورد انتظار سازگار است؟
پیش‌نمایش URL را بخوانید. نام شرکت در بخشی از یک نشانی طولانی لزوماً دامنه اصلی نیست. اگر مطمئن نیستید، برای انجام کار به وب‌سایت شناخته‌شده بروید. وجود HTTPS نیز فقط به اتصال رمزگذاری‌شده مربوط است و اعتبار کسب‌وکار یا درست‌بودن درخواست پرداخت را تضمین نمی‌کند.
برای فهم بهتر همین تفاوت، راهنمای هشدار اتصال امن کروم در فوت و فن را ببینید. قفل یا اتصال امن، جای بررسی مقصد را نمی‌گیرد.
برچسب واقعی به نظر می‌رسد؛ باز هم بررسی کنیم؟
قرارداشتن کد در محل عمومی، به‌تنهایی نشانه تأیید رسمی نیست. اگر لایه‌ای روی برچسب قبلی چسبانده شده یا روش پرداخت ناگهان تغییر کرده، از کانال رسمی محل سؤال کنید. برای بررسی، دستگاه را دست‌کاری نکنید و کد مشکوک را برای «امتحان» بین دیگران نفرستید.
در رستوران نیز میان دیدن منو و درخواست ورود به حساب بانکی تفاوت بگذارید. اگر کاری ساده به درخواست‌های غیرمنتظره مانند نصب برنامه، دادن مجوزهای گسترده یا واردکردن رمز منتهی شد، روند را متوقف کنید. سناریوهای این بخش نمونه آموزشی‌اند و اتهامی به کسب‌وکار مشخص نیستند.
اگر کد در ایمیل کاری یا پیام همکار بود
NCSC بریتانیا درباره QR در ایمیل‌ها توصیه به احتیاط می‌کند؛ بعضی ابزارهای تشخیص فیشینگ همه تصاویر را مانند لینک متنی بررسی نمی‌کنند. اگر پیام ادعا می‌کند برای فعال‌ماندن حساب سازمانی باید کد را اسکن کنید، از واحد فناوری اطلاعات با شماره یا سامانه شناخته‌شده تأیید بگیرید.
تأیید هویت تماس‌گیرنده را هم مستقل انجام دهید. کسی که خودش تماس گرفته و نام همکاران شما را می‌داند، الزاماً پشتیبان واقعی نیست. برای انجام «آزمون امنیت»، کد ورود یا درخواست تأیید حساب را به فرد دیگر منتقل نکنید و ورود غیرمنتظره را تأیید نکنید.
بعد از اشتباه چه کنیم؟ اقدام را با اتفاق واقعی تطبیق دهید
فقط صفحه را باز کرده‌اید
صفحه را ببندید و اطلاعات بیشتری ندهید. اگر فایل یا برنامه‌ای دریافت شده، آن را باز نکنید و وضعیت دانلودها را بررسی کنید. نشانی و زمان رخداد را برای گزارش نگه دارید. صرف بازشدن صفحه به معنی اثبات سرقت حساب نیست، اما بی‌توجهی به اتفاق بعدی هم درست نیست.
رمز حساب را وارد کرده‌اید
از مسیر رسمی و دستگاه قابل اعتماد وارد حساب شوید، رمز را تغییر دهید و نشست‌ها و دستگاه‌های متصل را بررسی کنید. اگر همان رمز جای دیگری استفاده شده، آن حساب‌ها هم نیاز به رسیدگی دارند. برای حساب کاری، زود به مسئول امنیت اطلاع دهید؛ پاک‌کردن شواهد یا پنهان‌کردن اشتباه می‌تواند رسیدگی را سخت کند.
اطلاعات کارت یا کد تأیید پرداخت را داده‌اید
فوراً از کانال رسمی با بانک یا صادرکننده کارت تماس بگیرید و موضوع را توضیح دهید. روش مسدودسازی، بررسی تراکنش و اعتراض به پرداخت در هر بانک متفاوت است؛ دستور بانک خود را دنبال کنید. برای «برگرداندن پول» به فرد ناشناس پول دیگری ندهید و کد تازه‌ای ارسال نکنید.
برنامه‌ای نصب کرده‌اید
از همان دستگاه برای ورود به حساب‌های حساس استفاده نکنید تا بررسی شود. از پشتیبانی معتبر یا مسئول فناوری کمک بگیرید و نام برنامه، منبع نصب و مجوزها را گزارش کنید. واکنش دقیق به سیستم‌عامل و اتفاق رخ‌داده وابسته است؛ یک دستور عمومی برای همه گوشی‌ها کافی نیست.
یک عادت ساده برای خانواده و محل کار
قانون کوتاه بگذارید: «درخواست غیرمنتظره برای پرداخت یا ورود، از مسیر مستقل تأیید می‌شود.» این قانون از حفظ‌کردن ده‌ها شکل ظاهری کلاهبرداری مفیدتر است. همه اعضا باید بدانند اگر اشتباه کردند، می‌توانند سریع اطلاع دهند؛ سرزنش باعث تأخیر می‌شود.
برای تقویت ورود حساب، راهنمای پاس‌کی گوگل را جداگانه بخوانید. ابزار امنیتی جای قضاوت درباره درخواست ناشناس، دستگاه مشترک یا اجازه‌دادن به ورود فرد دیگر را نمی‌گیرد.
پرسش‌های متداول
آیا همه کدهای QR خطرناک‌اند؟
خیر. کد یک روش انتقال اطلاعات است. اعتبار منبع، مقصد و کاری که از شما می‌خواهد باید بررسی شود.
آیا HTTPS یعنی صفحه پرداخت واقعی است؟
خیر. سایت جعلی هم می‌تواند اتصال رمزگذاری‌شده داشته باشد. مقصد را مستقل کنترل کنید.
اگر پول از حساب نرفته، موضوع تمام شده است؟
نه لزوماً. اگر اطلاعات یا رمز داده‌اید، منتظر برداشت نمانید و با سرویس یا بانک مربوط تماس بگیرید.
منابع و تاریخ بررسی
بررسی در ۲۲ اکتبر ۲۰۲۶. نمونه‌های خارجی به محل وقوع خود نسبت داده شده‌اند؛ سناریوهای عملی، توصیه تحریریه برای کنترل درخواست‌اند.
