Quishing: כאשר קוד QR הוא מלכודת
קוד QR מניח שאתה סומך עליו. אתה מרים טלפון, סורק, ומצפה לתפריט, לדף מוצר, לפרופיל — לכל דבר חוץ מאיום אבטחה. ואולם תקיפות "Quishing" (מיזוג המילים QR + Phishing) מנצלות בדיוק את האמון הזה.
Quishing הוא סוג פישינג (דיוג) שבו תוקף מחליף קישור מזויף בקוד QR — על פני שטח פיזי, בדואר אלקטרוני, במסמך — ומוביל קורבנות לאתר מזויף שגונב פרטים.
כיצד עובד מתקפת Quishing?
תרחיש 1: קוד QR על שלט ציבורי
תוקף מדביק מדבקת QR מעל קוד QR לגיטימי — לדוגמה, על מכשיר תשלום חניה, על שלט Wi-Fi ציבורי, על שלט מוסד ממשלתי. הסורק חושב שהוא פותח שירות מוכר, אבל מגיע לדף מזויף שמבקש שם משתמש, סיסמה, או פרטי כרטיס אשראי.
תרחיש 2: קוד QR במייל
מייל שנראה רשמי (מבנק, ממשרד ממשלתי, מחברת שליחויות) מכיל קוד QR: "סרוק לאימות חשבונך" / "סרוק לאישור חבילה." הסורק מגיע לאתר מזויף שדומה להפליא למקור.
הסיבה שמשתמשים בQR ולא בקישור רגיל: תוכנות אנטי-פישינג מסננות URLs חשודים, אבל לא תמיד יכולות לנתח תמונת QR. הקוד "עוקף" את הסינון.
תרחיש 3: QR על חשבונית או מסמך מזויף
מסמך PDF שנראה כחשבונית ממחלקת IT, ספק, או בנק — עם QR "לאישור תשלום" / "לאימות פרטים." לחיצה מובילה לדף גניבת פרטים.
איך לזהות קוד QR חשוד?
בדוק את המקור
לפני שסורקים: האם הקוד הגיע ממקור שאתה מכיר? האם הוא מופיע במקום הגיוני? קוד QR מודבק כמדבקה על גבי שלט מקורי — מחשיד.
בשטח ציבורי: האם הקוד נראה "מוצמד" על הגדרי, מדפסת, מכשיר? חפש סימני הדבקה בשולי הקוד. לוגו מוסד שלא ממש ברור? חשוד.
במייל: האם המייל שלח אליך QR לסרוק? בנקים לגיטימיים לא שולחים QR למייל. זה כמעט תמיד סימן לפישינג.
בדוק את ה-URL לפני שנכנסים
כל קורא QR מודרני מציג לך את ה-URL לפני שפותח אותו. עצור, קרא, ורק אז אשר.
שאל את עצמך:
- האם הדומיין מוכר? (
leumi.co.ilלעומתleumi-secure-verify.com) - האם הדומיין כולל שגיאות כתיב? (
paypa1.comלעומתpaypal.com) - האם כתובת ה-URL ארוכה ומוזרה? (
secure-login.bank.co.il.attacker.ru/...) - האם יש HTTPS? (קידומת
https://— לא ערובה מוחלטת, אבל HTTP בלבד — סימן אזהרה)
אמת דרך ערוץ אחר
אם קיבלת קוד QR "מהבנק" — אל תסרוק. כנס לאתר הבנק ישירות על ידי הקלדת הכתובת בדפדפן, ובדוק שם.
כלים לזיהוי QR חשוד
אפליקציות סריקה עם תצוגת URL מוקדמת
iOS 11+ ו-Android 8+ מציגים תצוגה מקדימה של ה-URL לפני פתיחה. תמיד קרא את ה-URL לפני שמאשרים כניסה.
VirusTotal
אם סרקת URL מ-QR וחשוד בך — הדבק ב-virustotal.com. הכלי בודק מול מאות מנועי אנטי-וירוס בחינם.
Kaspersky QR Scanner / Norton Safe Web
אפליקציות אבטחה שמציגות ניתוח URL בסריקת QR. מתאימות לסביבות עסקיות.
כללי אצבע לשמירה על ביטחון
אל תסרוק QR שלא ציפית לו
קוד QR שלא ידעת שיהיה — במייל, בהודעת WhatsApp, בפוסטר שלא הכרת — ראוי לחשד. הסב גב אם אינך בטוח.
אל תזין פרטים רגישים לאחר סריקת QR
גם אם ה-URL נראה לגיטימי: לאחר סריקת QR, אל תזין סיסמאות, פרטי כרטיס אשראי, קודי SMS. לך לאתר ישירות — לא דרך הQR.
עדכן את מכשירך
iOS ו-Android מחזיקים כלי אבטחה מובנים שמזהים דפים זדוניים. הם יעבדו רק אם המכשיר עדכני.
בסביבה עסקית: הדרך תוקפים
ארגונים צריכים להדריך עובדים שלא לסרוק QR ממיילים לא צפויים. Quishing מזכה בתשומת לב גבוהה של פושעי סייבר כי מגן שכבת המייל אינו מזהה את הסכנה שבתוך התמונה.
Quishing לעומת פישינג קלאסי
| פישינג קלאסי | Quishing |
|---|---|
| קישור URL בטקסט | QR code תמונה |
| מסונן על ידי anti-phishing | עלול לעקוף סינון |
| ניתן לצפות ב-URL ישירות | ה-URL מוסתר בתוך הקוד |
| ריצה על שלב מחשב בלבד | עובד גם ברמת שטח פיזי |
| מוכר ומזוהה | חדש יחסית, פחות מודעות |
קודי QR לגיטימיים — כיצד לדעת?
לא כל QR הוא איום. רוב הקודים שאתה נתקל בהם לגיטימיים לחלוטין. הכלל הפשוט:
- מקור מוכר: שלט של עסק שאתה בתוכו, תפריט של מסעדה, אריזת מוצר שקנית
- הקשר הגיוני: QR בתפריט מסעדה = תפריט; QR על שלט מוזיאון = מידע
- URL הגיוני: לאחר סריקה, ה-URL מתאים למה שציפית
אם כל השלושה מתקיימים — סרוק בביטחון.
QRcito ואבטחה
QRcito עצמה לא שומרת, לא עוקבת ולא מנתחת את הקודים שאתה יוצר. אין שרת שמקבל את הנתונים שלך. הקוד נוצר בדפדפן שלך ומוריד ישירות — ללא מעקב. זוהי הארכיטקטורה הבטוחה ביותר — לא ניתן לגנוב מה שלא קיים.
סיכום
Quishing הוא איום אמיתי שגדל עם הפופולריות של קודי QR. ההגנה הטובה ביותר: מודעות, בדיקת URL לפני כניסה, ואי-הזנת פרטים רגישים לאחר סריקת קוד לא מוכר.
לצור קודי QR לגיטימיים ובטוחים לעסק שלך — ללא מעקב, ללא שמירת נתונים: qrcito.com/he/