کیوآرکد جعلی

دستگاه پارکینگ

مثلا فرض کنید ماشین رو توی یه پارکینگ عمومی گذاشتید. روی دستگاه پرداخت نوشته «برای پرداخت سریع، کیوآرکد رو اسکن کنید». اسکن می‌کنید، یه صفحه‌ی پرداخت باز می‌شه، مبلغ رو می‌زنید، اطلاعات کارت رو هم. چند روز بعد، یه جریمه برای پرداخت نکردن پارکینگ میاد، و یه برداشت عجیب از کارتتون.

کسی یه برچسب کیوآرکد جعلی، درست روی کیوآرکد واقعی دستگاه چسبونده بود. شما پول رو به یه صفحه‌ی جعلی دادید، نه به پارکینگ، و اطلاعات کارتتون هم رفت.

کیوآرکد این روزها همه‌جا هست: منوی رستوران، بلیت، کارت ویزیت، بسته‌بندی، تبلیغ، حتی ورود به پیام‌رسان روی کامپیوتر. این درس می‌گه کیوآرکد دقیقا چیه، چرا برای کلاهبردارها جذابه، شکل‌های فریبش کدومه، و چطور هر کیوآرکدی رو امن اسکن کنید.

کیوآرکد چیه

کیوآرکد، که به انگلیسی بهش می‌گن QR code، کوتاه‌شده‌ی Quick Response code، یعنی «کد پاسخ سریع»، یه جور بارکده، ولی دوبعدی. بارکد معمولی روی جنس‌های فروشگاه، فقط چند تا خط عمودیه و چند تا عدد توش جا می‌شه. کیوآرکد یه مربع پر از خونه‌های سیاه و سفیده و خیلی بیشتر توش جا می‌شه: یه نشانی سایت، یه متن، یه شماره تلفن، اطلاعات یه وای‌فای، یا یه کد پرداخت.

وقتی دوربین گوشی رو جلوش می‌گیرید، گوشی اون خونه‌های سیاه و سفید رو می‌خونه و به همون متن برمی‌گردونه. اگه اون متن یه نشانی باشه، که بیشتر وقت‌ها هست، گوشی پیشنهاد می‌ده اون سایت رو باز کنه. به فیشینگی که از راه کیوآرکد انجام می‌شه، به انگلیسی می‌گن Quishing، از QR و Phishing.

کیوآرکد غیر از سایت چی می‌تونه باشه

بیشتر کیوآرکدها یه نشانی سایتن، ولی کیوآرکد می‌تونه خیلی چیزهای دیگه هم باشه، و گوشی برای هر کدوم یه کاری پیشنهاد می‌ده:

• یه مخاطب. اسم و شماره و ایمیل که گوشی پیشنهاد می‌ده ذخیره‌ش کنید. کلاهبردار می‌تونه یه مخاطب با اسم «پشتیبانی بانک» و شماره‌ی خودش توی گوشی شما ذخیره کنه، تا بعدا وقتی زنگ زد، اسم «بانک» روی صفحه بیفته.
• یه تماس یا یه پیامک آماده. گوشی پیشنهاد می‌ده به یه شماره زنگ بزنید یا یه پیامک آماده رو بفرستید؛ گاهی به یه سرشماره‌ی پولی که اشتراک می‌سازه.
• یه وای‌فای. که بالاتر گفتیم.
• نشانی یه کیف پول رمزارز. برای «کمک» یا «پرداخت»؛ هر پولی که به این نشانی بره، برنمی‌گرده.
• لینک دانلود یه برنامه. که اگه به فروشگاه رسمی نبره و یه فایل مستقیم باشه، خیلی خطرناکه؛ درس برنامه‌ی جعلی و فایل APK.

قانون همه‌شون یکیه: گوشی پیش از انجام هر کاری، می‌گه می‌خواد چی کار کنه. اون جمله رو بخونید. اگه یه کیوآرکد روی منوی رستوران می‌خواد یه مخاطب ذخیره کنه یا یه پیامک بفرسته، یه جای کار می‌لنگه.

کیوآرکد ایستا و پویا

کیوآرکدها دو جورن. کیوآرکد ایستا (Static)، خود نشانی رو مستقیم توی خونه‌هاش داره؛ تا ابد همون نشانیه و هیچ‌کس نمی‌تونه عوضش کنه. کیوآرکد پویا (Dynamic)، فقط نشانی یه سرویس واسطه رو داره، و اون سرویس شما رو به هر جایی که صاحبش بخواد می‌فرسته؛ صاحبش می‌تونه هر روز این مقصد رو عوض کنه، بی اینکه کیوآرکد چاپ‌شده عوض بشه.

کیوآرکد پویا برای کسب‌وکارها خیلی کاربردیه، ولی یعنی یه کیوآرکد که دیروز به یه سایت درست می‌رفت، ممکنه امروز به یه جای دیگه بره، اگه حساب صاحبش توی اون سرویس دزدیده بشه یا خود سرویس بسته بشه و دامنه‌ش دست کس دیگه‌ای بیفته. این هم یه دلیل دیگه‌ست که هر بار، پیش از باز کردن، نشانی رو بخونید، حتی برای کیوآرکدی که قبلا اسکنش کردید.

منوی رستوران

منوی کیوآرکدی شاید رایج‌ترین کیوآرکدیه که هر هفته اسکن می‌کنیم. بیشترشون کاملا درستن، ولی چون آدم‌ها عادت کردن بی‌فکر اسکنشون کنن، جای خوبی برای برچسب جعلی هم هستن. یه قانون ساده کمک می‌کنه بدونید چی عادیه و چی نه:

• منو فقط باید منو نشون بده؛ دیدن منو هیچ‌وقت ورود، شماره‌ی موبایل یا کد تایید نمی‌خواد.
• اگه منو امکان سفارش و پرداخت هم داره، صفحه‌ی پرداخت باید از دل همون سفارش باز بشه، و اسم پذیرنده‌ش همون رستوران باشه.
• اگه منو ازتون خواست یه برنامه نصب کنید، یا شما رو به یه صفحه‌ی ورود پیام‌رسان یا ایمیل برد، چیزی نزنید و از کارکنان بپرسید.

اگه شک داشتید، منوی کاغذی بخواید؛ هیچ رستورانی از این ناراحت نمی‌شه.

پرداخت با کیوآرکد

خیلی از فروشگاه‌ها و برنامه‌های پرداخت، کیوآرکد پرداخت دارن: اسکنش می‌کنید و برنامه‌ی پرداخت، مبلغ و گیرنده رو نشون می‌ده. این کار راحت و امنه، به یه شرط: پیش از تایید، اسم گیرنده رو ببینید.

کیوآرکد پرداختی که روی پیشخون یه فروشگاه چسبیده رو هم می‌شه با یه برچسب دیگه عوض کرد، تا پول به جای فروشنده، به حساب یکی دیگه بره. پس وقتی برنامه‌ی پرداخت اسم گیرنده رو نشون داد، ببینید همون فروشگاهیه که ازش خرید می‌کنید یا نه. اگه اسم یه آدم ناشناس بود، از فروشنده بپرسید.

و یه فریب دیگه هم هست: کسی که چیزی ازتون می‌خره، یه کیوآرکد براتون می‌فرسته و می‌گه «برای دریافت پول، اینو اسکن کن». هیچ‌وقت برای گرفتن پول، لازم نیست کیوآرکدی رو اسکن کنید و تایید بزنید؛ کیوآرکد پرداخت، برای پول دادنه.

کیوآرکد وصل کردن دستگاه

بعضی کیوآرکدها، اصلا سایت باز نمی‌کنن؛ یه دستگاه رو به حساب شما وصل می‌کنن. مثلا برای استفاده از نسخه‌ی کامپیوتر یه پیام‌رسان، یه کیوآرکد روی کامپیوتر نشون داده می‌شه و شما با بخش «وصل کردن دستگاه» توی برنامه‌ی گوشی، اسکنش می‌کنید. از اون لحظه، اون کامپیوتر همه‌ی پیام‌های شما رو می‌بینه.

حالا فرض کنید یکی، مثلا به اسم پشتیبانی یا یه فروشنده، یه کیوآرکد براتون می‌فرسته و می‌گه «برای تایید حساب، اینو با پیام‌رسانت اسکن کن». اون کیوآرکد، کیوآرکد وصل شدن کامپیوتر خود اونه. با اسکنش، شما خودتون پیام‌رسانتون رو به دستگاه اون وصل کردید.

قانون ساده: با بخش «وصل کردن دستگاه» هیچ برنامه‌ای، فقط کیوآرکدی رو اسکن کنید که همین الان، روی صفحه‌ی دستگاه خودتون، جلوی چشم خودتون باز شده. و هر چند وقت یه بار، توی تنظیمات پیام‌رسان‌ها فهرست دستگاه‌های وصل رو ببینید و هر کدوم رو که نمی‌شناسید، جدا کنید. درس‌های امن‌تر کردن واتساپ و امن‌تر کردن تلگرام جای دقیقش رو می‌گن.

کیوآرکد وای‌فای

کیوآرکد می‌تونه اسم و رمز یه وای‌فای رو هم نگه داره؛ اسکنش کنید، گوشی خودش وصل می‌شه. توی کافه‌ها و هتل‌ها زیاد دیده می‌شه. کیوآرکد وای‌فای جعلی، شما رو به یه وای‌فای دیگه وصل می‌کنه که صاحبش ممکنه ترافیکتون رو ببینه یا شما رو به صفحه‌های جعلی بفرسته.

پیش از وصل شدن، گوشی معمولا اسم وای‌فای رو نشون می‌ده. ببینید با اسم وای‌فای همون مکان، که از کارکنانش می‌پرسید، جوره یا نه. و یادتون باشه، روی هر وای‌فای عمومی، چه درست چه جعلی، کارهای حساس رو با احتیاط انجام بدید؛ درس وای‌فای عمومی.

بسته‌ای که سفارش ندادید

یه شکل عجیب‌تر: یه بسته‌ی کوچیک به نشانی شما میاد که سفارشش رو ندادید، معمولا یه جنس ارزون، با یه کاغذ که روش یه کیوآرکد هست و نوشته «برای دیدن فرستنده» یا «برای نظر دادن» اسکن کنید. کیوآرکد به یه صفحه‌ی جعلی یا یه برنامه‌ی مخرب می‌بره. کنجکاوی، اینجا طعمه‌ست.

کیوآرکد روی بسته، کاغذ یا آگهی‌ای که منتظرش نبودید رو اسکن نکنید. اگه بسته به اسم یه فروشگاه بود، از راه رسمی خود اون فروشگاه بپرسید.

لینک کوتاه پشت کیوآرکد

گاهی پیش‌نمایش دوربین فقط یه لینک کوتاه نشون می‌ده، یعنی نشانی یه سرویس کوتاه‌کننده‌ی لینک، که خودش هیچ‌چیز درباره‌ی مقصد نهایی نمی‌گه. کیوآرکدهای واقعی هم گاهی از این لینک‌ها استفاده می‌کنن، چون کوتاه‌ترن و کیوآرکد ساده‌تری می‌سازن. ولی برای شما معنیش اینه که پیش‌نمایش دیگه کمک نمی‌کنه.

اگه پیش‌نمایش یه لینک کوتاه بود، بعد از باز شدن صفحه، پیش از هر کاری، نشانی خود صفحه رو بخونید. و اگه صفحه رمز یا کارت خواست، هیچ‌چیز نزنید و از راه خودتون برید. درس لینک کوتاه و لینک پنهان کاملش رو می‌گه.

کمی تاریخ

کیوآرکد سال ۱۹۹۴ توی ژاپن ساخته شد. یه مهندس به اسم ماساهیرو هارا و تیمش توی یه شرکت سازنده‌ی قطعه‌ی خودرو، دنبال راهی بودن که قطعه‌ها توی کارخونه سریع‌تر از بارکدهای معمولی اسکن بشن، از هر زاویه‌ای. سازنده‌ش تصمیم گرفت از حق اختراعش برای گرفتن پول استفاده نکنه، و همین باعث شد هر کسی بتونه رایگان کیوآرکد بسازه و بخونه.

سال‌ها کیوآرکد بیشتر توی کارخونه‌ها و ژاپن بود، تا وقتی که دوربین گوشی‌ها خودشون کیوآرکدخوان شدن و دیگه برنامه‌ی جدا لازم نبود. بعد، توی همه‌گیری کرونا، که همه دنبال راه‌های بی‌تماس بودن، منوی رستوران‌ها، پرداخت‌ها و بلیت‌ها کیوآرکدی شدن، و آدم‌ها عادت کردن هر کیوآرکدی رو بی‌فکر اسکن کنن. کلاهبردارها هم دقیقا از همین عادت استفاده کردن. گروه جهانی مبارزه با فیشینگ، APWG، هم توی گزارش سال ۲۰۲۵ کیوآرکد رو کنار پیامک و شبکه‌های اجتماعی، از راه‌هایی گفت که فریب‌ها ازشون رشد کردن.

برنامه‌های کیوآرکدخوان

خیلی‌ها برای خوندن کیوآرکد، یه برنامه‌ی جدا از فروشگاه نصب می‌کنن. امروز دیگه این کار لازم نیست؛ دوربین خود گوشی این کار رو می‌کنه. و بعضی از این برنامه‌های کیوآرکدخوان رایگان، پر از تبلیغن، دسترسی‌هایی می‌خوان که لازم ندارن، مثل مخاطب‌ها و مکان، و گاهی نشانی رو پیش از باز کردن نشون نمی‌دن.

اگه گوشیتون خیلی قدیمیه و دوربینش کیوآرکد نمی‌خونه، سراغ برنامه‌ای برید که از یه سازنده‌ی معتبره، کمترین دسترسی رو می‌خواد، و نشانی رو پیش از باز کردن نشون می‌ده. درس دسترسی برنامه‌ها می‌گه چطور دسترسی‌های یه برنامه رو ببینید.

اسکن از روی عکس

گاهی کیوآرکد روی صفحه‌ی خود گوشیتونه، مثلا توی یه عکس یا یه پیام، و نمی‌شه با دوربین همون گوشی اسکنش کرد. گوشی‌های امروزی می‌تونن کیوآرکد رو از روی یه عکس هم بخونن: توی آیفون، با نگه داشتن انگشت روی عکس یا از برنامه‌ی عکس‌ها؛ و توی اندروید، با ابزار جستجوی تصویر گوگل (Google Lens) که توی دوربین یا برنامه‌ی عکس‌ها هست.

همون قانون‌ها اینجا هم برقرارن: پیش از باز کردن، نشانی رو بخونید. و یه نکته‌ی بیشتر: کیوآرکدی که یه غریبه توی یه پیام براتون فرستاده، از همه‌ی کیوآرکدها مشکوک‌تره، چون کسی که فرستاده، دقیقا می‌دونه داخلش چیه و چرا می‌خواد شما اسکنش کنید.

کیوآرکد و حریم خصوصی

حتی کیوآرکدهای واقعی هم گاهی ردیابن. خیلی از کیوآرکدهای تبلیغاتی، به جای نشانی مستقیم، شما رو اول به یه سرویس واسطه می‌برن که ثبت می‌کنه کی، کجا و با چه گوشی‌ای اسکن کردید، و بعد شما رو به سایت اصلی می‌فرسته. برای همینه که یه تبلیغ می‌تونه بفهمه چند نفر اسکنش کردن و از کدوم شهر.

این به‌تنهایی خطرناک نیست، ولی یعنی اسکن هر کیوآرکد، یه ردپای کوچیک از شما می‌سازه. اگه براتون مهمه، کیوآرکدهای تبلیغاتی رو اسکن نکنید و اسم سایت رو خودتون جستجو کنید.

اگه خودتون کیوآرکد می‌سازید

اگه کسب‌وکار دارید و برای منو، پرداخت یا صفحه‌ی اینستاگرامتون کیوآرکد گذاشتید، چند تا کار امنیت مشتری‌هاتون رو بیشتر می‌کنه: کیوآرکد رو جایی بذارید که کسی نتونه راحت روش برچسب بچسبونه، مثلا زیر شیشه یا چاپ‌شده روی خود منو، نه یه برچسب جدا؛ هر چند وقت یه بار ببینید کسی روش چیزی نچسبونده؛ و نشانی سایتتون رو هم کنارش بنویسید تا هر کی خواست، خودش تایپش کنه.

برای ساختن کیوآرکد هم از ساخت‌کننده‌هایی استفاده کنید که نشانی شما رو مستقیم توی کیوآرکد می‌ذارن، نه از راه یه لینک واسطه‌ی خودشون؛ چون اگه اون سرویس یه روز بسته بشه یا اون لینک رو عوض کنه، همه‌ی کیوآرکدهای چاپ‌شده‌ی شما خراب می‌شن یا به جای دیگه‌ای می‌رن.

اگه اسکن کردیم

اسکن کردن و باز شدن صفحه به‌تنهایی معمولا خطری نداره. اگه کاری کردید، به ترتیب:

1. اطلاعات کارت زدید؟ کارت رو همین الان از برنامه‌ی بانک مسدود کنید.
2. رمز یه حساب رو زدید؟ از راه درست رمز رو عوض کنید و از همه‌ی دستگاه‌ها خارج بشید.
3. با پیام‌رسان یه کیوآرکد اسکن کردید که خودتون باز نکرده بودید؟ فهرست دستگاه‌های وصل رو ببینید و دستگاه ناشناس رو جدا کنید.
4. برنامه‌ای نصب کردید؟ پاکش کنید و رمزهای مهم رو از یه دستگاه دیگه عوض کنید.
5. اگه برچسب جعلی روی یه دستگاه عمومی بود، به صاحب اون مکان خبر بدید.

تمرین

1. یه کیوآرکد از روی یه بسته‌بندی، با دوربین خود گوشی اسکن کنید و فقط نشانی پیش‌نمایش رو بخونید، بی اینکه بازش کنید.
2. توی پیام‌رسان‌هاتون، فهرست دستگاه‌های وصل رو پیدا کنید.
3. اگه برنامه‌ی کیوآرکدخوان جدا دارید، ببینید چه دسترسی‌هایی داره؛ اگه دوربین گوشی کافیه، پاکش کنید.

اشتباه‌های رایج

• «روی دستگاه خود پارکینگ بود، پس درسته.» روی هر کیوآرکد عمومی می‌شه برچسب چسبوند؛ لمسش کنید.
• «کیوآرکد توی ایمیل شرکت بود.» کیوآرکد از فیلتر ایمیل رد می‌شه؛ برای ورود، از راه خودتون برید.
• «پشتیبانی گفت این کیوآرکد رو با پیام‌رسانم اسکن کنم.» این یعنی وصل کردن دستگاه اون به حساب شما.
• «برای گرفتن پول، کیوآرکد رو اسکن کردم.» کیوآرکد پرداخت برای پول دادنه، نه گرفتن.
• «نشانی رو نخوندم، چون عجله داشتم.» پیش‌نمایش دوربین فقط یه ثانیه وقت می‌گیره.
• «یه برنامه‌ی کیوآرکدخوان نصب کردم.» دوربین خود گوشی کافیه و دسترسی اضافه نمی‌خواد.