Πώς να αποφύγετε τις απάτες μέσω QR code – Τι να ελέγχετε πριν σκανάρετε

Μία νέα μέθοδος ηλεκτρονικής απάτης έχει εμφανιστεί εδώ και κάποιο διάστημα, η οποία έχει στο επίκεντρό της τους κωδικούς QR, που συναντάμε πλέον παντού γύρω μας, λόγω της ευκολίας που προσφέρουν.

Η τεχνική ονομάζεται «quishing», από τις λέξεις QR και phishing (ηλεκτρονικό ψάρεμα). Ουσιαστικά, το QR code κρύβει έναν σύνδεσμο που δεν μπορεί να διαβαστεί και εκεί έγκειται το πρόβλημα. Σε περίπτωση απάτης, ο κωδικός μπορεί να οδηγεί σε πλαστή ιστοσελίδα που μοιάζει αληθινή, ή να εγκαταστήσει κακόβουλο λογισμικό στη συσκευή σας.

Μάλιστα, όπως εξηγεί εκπρόσωπος της αμερικανικής Ομοσπονδιακής Επιτροπής Εμπορίου (FTC), τα προγράμματα προστασίας, π.χ. στα email, που εντοπίζουν επικίνδυνους συνδέσμους, ίσως δεν αναγνωρίσουν μια εικόνα που κρύβει κάποιον πλαστό σύνδεσμο. Έτσι, εφόσον το QR code είναι εικόνα, υπάρχει και τεχνικός λόγος που η μέθοδος πετυχαίνει.

Πώς δουλεύει η απάτη

Έχουν παρατηρηθεί διάφοροι τρόποι και μέθοδοι χρήσης του QR:

1. Ψεύτικο αυτοκόλλητο πάνω στο αληθινό. Η FTC έχει δεχθεί αναφορές ότι απατεώνες καλύπτουν τα QR codes σε παρκόμετρα με δικά τους. Στη Στουτγάρδη, ο δήμος προειδοποίησε ότι εγκληματίες κολλούν ψεύτικα QR πάνω από τα αληθινά στα μηχανήματα στάθμευσης, και τόνισε ότι η πληρωμή ξεκινά μέσω των επίσημων εφαρμογών και όχι από κάποιο αυτοκόλλητο. Αντίστοιχα, η αστυνομία της Βόρειας Ιρλανδίας ανέφερε ότι οδηγοί έδωσαν στοιχεία κάρτας σε πλαστές πύλες πληρωμής και έγιναν μη εξουσιοδοτημένες χρεώσεις. Παρόμοιο φαινόμενο έχει καταγραφεί και σε σημεία φόρτισης ηλεκτρικών αυτοκινήτων, όπου ψεύτικο αυτοκόλλητο τοποθετείται πάνω από το κανονικό.
2. QR σε email ή SMS. Η αποστολή QR code με μήνυμα ή email είναι επίσης μία συνήθης τακτική και συνοδεύεται από κάποιον λόγο που προκαλεί τον αποδέκτη να το σαρώσει. Οι συνηθισμένες δικαιολογίες είναι μια παράδοση που δεν ολοκληρώθηκε, ένα πρόβλημα στον λογαριασμό ή μια αλλαγή κωδικού λόγω ύποπτης δραστηριότητας. Το κοινό στοιχείο σε όλες τις περιπτώσεις είναι η βιασύνη, δηλαδή ο χρήστης καλείται να προχωρήσει άμεσα σε σάρωση του QR, ώστε να αποφύγει κάποιον κίνδυνο που αναφέρεται στο μήνυμα.
3. Δέμα που δεν παραγγείλατε. Το FBI προειδοποίησε το 2025 για μία πιο «περίεργη» μέθοδο που αφορούσε αδέσποτα δέματα με QR code, τα οποία ζητούσαν από τον παραλήπτη προσωπικά και οικονομικά στοιχεία ή τον ωθούσαν να κατεβάσει κακόβουλο λογισμικό. Συχνά τα δέματα στέλνονται χωρίς στοιχεία αποστολέα.

Τι να ελέγχετε πριν σκανάρετε τον κωδικό

• Πού βρίσκεται ο κωδικός. Αν είναι αυτοκόλλητο πάνω σε άλλη επιφάνεια, μην το εμπιστεύεστε. Όπως επισημαίνεται, οι επίσημοι φορείς σπάνια χρησιμοποιούν αυτοκόλλητα. Περάστε το δάχτυλο στις άκρες για να δείτε αν ξεκολλάει και αποφύγετε να το σαρώσετε.
• Ποιος σας το έστειλε. Εάν λάβατε κάποιο email ή μήνυμα από άγνωστο αποστολέα ή για κάτι που δεν περιμένατε, μην σαρώνετε το QR code, ειδικά αν το μήνυμα σας ασκεί πίεση να δράσετε άμεσα.
• Τσεκάρετε τη διεύθυνση που εμφανίζεται. Οι εφαρμογές ανάγνωσης QR ή οι κάμερες των κινητών δείχνουν τον σύνδεσμο πριν προχωρήσει στο άνοιγμα της σελίδας. Δείτε προσεκτικά τον σύνδεσμο και ελέγξτε τη διεύθυνση πριν επιβεβαιώσετε το άνοιγμα. Η Ομοσπονδιακή Αστυνομία της Αυστρίας αναφέρει ότι οι εγκληματίες βασίζονται στο ότι οι άνθρωποι σαρώνουν και ενεργούν αυτόματα, ωστόσο αξίζει ένας επιπλέον έλεγχος πριν προχωρήσετε. Προσέξτε ορθογραφικά λάθη ή ονόματα που μοιάζουν με το αυθεντικό.
• Τι σας ζητά η σελίδα. Αν μετά το σκανάρισμα ζητούνται κωδικοί, στοιχεία κάρτας ή «επιβεβαίωση» λογαριασμού, σταματήστε. Εάν απαιτείται να συμπληρώσετε φόρμες που ζητούν προσωπικά στοιχεία, κωδικούς και στοιχεία πληρωμών, είναι καλύτερα να επιβεβαιώσετε την εγκυρότητα του συνδέσμου ή να επισκεφθείτε την επίσημη ιστοσελίδα της αντίστοιχης εταιρείας ή του φορέα.
• Εναλλακτική οδός. Αν ο κωδικός φέρεται να προέρχεται από τράπεζα, courier ή εταιρεία, ανοίξτε μόνοι σας την επίσημη ιστοσελίδα ή εφαρμογή.
• Η συσκευή σας. Το ενημερωμένο λειτουργικό σύστημα, οι ισχυροί κωδικοί και η πολυπαραγοντική ταυτοποίηση ενισχύουν την προστασία.

Ένα QR code λειτουργεί όπως ένας σύνδεσμος σε email: δεν ξέρετε πού οδηγεί και καλό είναι να το ελέγξετε, πριν προχωρήσετε σε είσοδο ή πριν δώσετε στοιχεία. Το πιο σημαντικό σημάδι που πρέπει να σας δημιουργεί υποψίες σε κάθε περίπτωση είναι η πίεση χρόνου.