Quishing: Cum Identifici Coduri QR Malițioase și Te Protejezi

Ce este quishing-ul

Quishing (de la "QR" + "phishing") este o formă de atac cibernetic în care infractorii folosesc coduri QR malițioase pentru a direcționa victimele spre site-uri false, pentru a fura date personale, credențiale bancare sau pentru a instala malware.

Atacul funcționează pe același principiu ca phishing-ul clasic prin email sau SMS, cu o diferență importantă: codul QR este opac — nu poți vedea URL-ul destinație înainte de a-l scana, spre deosebire de un link text pe care îl poți inspecta vizual.

Această opacitate face quishing-ul deosebit de eficient și periculos, mai ales că utilizatorii obișnuiți să scaneze coduri QR în contexte legitime (restaurant, parcare, aeroport) nu sunt în gardă.

Scenarii frecvente de quishing

Coduri QR false aplicate peste cele legitime

Cel mai comun atac fizic: infractorii aplică un autocolant cu un cod QR malițios peste codul QR legitim al unui restaurant, distribuitor de bilete, parcare sau stație de alimentare electrică. Victima crede că scanează codul oficial al locului.

Semne de alarmă:

• Codul QR arată ca un autocolant aplicat, nu ca parte din materialul original
• Codul QR este ușor deplasat sau are colțuri ridicate
• Calitatea imprimării diferă față de restul materialului

Email-uri cu coduri QR

Infractorii trimit email-uri care par să vină de la bănci, instituții fiscale (ANAF), servicii de curierat sau platforme online (eMAG, Netflix). Email-ul conține un cod QR "pentru verificarea identității" sau "accesarea pachetului tău".

De ce email-ul QR ocolește filtrele de spam: filtrele de spam analizează textul și link-urile din email. Un cod QR este o imagine — nu există link text de analizat, deci email-ul trece mai ușor de filtre.

Coduri QR false pe materiale tipărite

Flyere false lăsate la uși, pe parbrizele mașinilor sau în cutiile poștale, care pretind că vin de la operatori de utilități (Enel, E.ON, Digi), de la primărie sau de la servicii de curierat, cu un cod QR "pentru plată urgentă" sau "pentru reconfirmarea adresei".

Coduri QR la evenimente și conferințe

La evenimente cu mulți participanți, un atacator poate plasa materiale false cu coduri QR malițioase: "Wi-Fi gratuit", "Programul conferinței", "Descarcă prezentarea". Victimele scanează fără să verifice sursa materialului.

Coduri QR în reclame și bannere digitale

Pe site-uri de mică reputație sau în reclame afișate fără filtrare strictă, pot apărea reclame cu coduri QR care, scanate, duc la site-uri de phishing sau descărcări de malware.

Cum identifici un cod QR potențial periculos

Înainte de scanare

1. Verifică contextul fizic

• Codul QR este parte integrantă a materialului sau pare lipit ulterior?
• Materialul pare oficial și de calitate sau improvizat?
• Există alte indicii de legitimitate (logo oficial, adresă fizică, număr de telefon)?

2. Verifică sursa materialului

• L-ai primit de la o organizație în care ai încredere?
• Materialul a apărut brusc, fără un motiv clar?
• A fost lăsat fără supraveghere sau trimis nesolicitat?

3. Evaluează urgența artificială Mesajele care creează urgență ("Plătește în 24 ore", "Contul tău va fi suspendat", "Ridică imediat pachetul") sunt un semn clasic de phishing, indiferent de medium.

Imediat după scanare (înainte de a acționa)

4. Citește URL-ul afișat Camerele moderne (iPhone, Android) afișează un preview al URL-ului înainte de a deschide pagina. Citește cu atenție:

• Domeniul principal este corect? (ing.ro vs. ing-ro.com sau ing.security-check.com)
• Există greșeli de ortografie? (paypa1.com vs. paypal.com)
• Protocolul este HTTPS? (deși atenție — HTTPS nu garantează că site-ul este legitim, doar că conexiunea e criptată)
• Domeniul are extensie suspectă? (.tk, .ml, .gq sunt frecvent folosite în atacuri)

5. Nu introduce date personale imediat Dacă pagina deschisă solicită urgent date bancare, CNP, credențiale de autentificare sau date de card — închide imediat și verifică sursa prin alte mijloace (suni la numărul oficial al instituției).

Sfaturi de securitate pentru utilizatori

Folosește aplicații de scanare cu previzualizare URL

Aplicațiile de scanare de calitate (Google Lens, aplicația nativă iOS) afișează URL-ul înainte de a-l deschide. Nu sări direct la pagina deschisă — citește URL-ul și decide conștient dacă îl accesezi.

Nu scana coduri QR din email-uri nesolicitate

Băncile, ANAF și instituțiile oficiale nu trimit coduri QR prin email pentru acțiuni urgente. Dacă primești un astfel de email:

• Nu scana codul QR
• Accesează direct site-ul oficial al instituției (tastează manual URL-ul)
• Sună la numărul de telefon oficial pentru a verifica

Verifică codurile QR la parcare și stații de alimentare

Escrocheriile cu coduri QR false la parcări și stații de alimentare electrică au crescut exponențial în toată Europa. Înainte de a scana:

• Verifică vizual dacă codul QR pare parte integrantă din dispozitiv sau este un autocolant
• Caută aplicația oficială a operatorului în App Store/Google Play
• Dacă ceva pare ciudat, plătește prin altă metodă

Activează autentificarea în doi pași (2FA)

Chiar dacă ești victima unui quishing și introduci credențialele pe un site fals, 2FA poate opri atacatorul să acceseze contul tău — dacă nu are acces la dispozitivul tău fizic pentru codul OTP.

Sfaturi pentru organizații care folosesc coduri QR

Dacă afacerea ta folosește coduri QR (restaurant, eveniment, parcare, servicii), ești responsabil și pentru securitatea clienților tăi.

Utilizează URL-uri din domenii proprii

Nu folosi scurtători de URL generici (bit.ly, tinyurl) pe materialele oficiale — clienții nu pot vedea destinația reală. Folosește domenii proprii sau subdomenii ale site-ului oficial.

Exemplu: qr.restaurantultau.ro/meniu în loc de bit.ly/3Xk7pQm

Verifică periodic integritatea codurilor QR fizice

Fă un control regulat al materialelor cu coduri QR: autocolante aplicate, tente, roll-up-uri. Un autocolant fals poate fi aplicat rapid și trece neobservat.

Informează clienții

Un text simplu pe materialele cu cod QR: "Codul QR oficial duce la [domeniu]. Nu introduceți date bancare." educă clienții și le dă un punct de referință.

Protejează cu laminare sau sigiliu

Codul QR laminat sau imprimat direct pe suport rigid (plexiglas, metal, lemn) este mult mai greu de falsificat decât unul tipărit pe hârtie simplă.

Quishing și GDPR

Dacă clienții tăi devin victime ale unui quishing care exploatează materialele afacerii tale (de exemplu, un atacator a aplicat un cod QR fals pe meniurile tale), există implicații legale:

• Dacă există o breșă de date personale cauzată indirect, ai obligații de notificare conform GDPR (Art. 33–34)
• Este recomandat să îl raportezi imediat la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Cum raportezi un cod QR malițios în România

• CERT-RO (Centrul Național de Răspuns la Incidente de Securitate Cibernetică): cert.ro — raportări online
• DIICOT — pentru fraude informatice grave
• Poliția Română — sesizare la secția locală sau online pe politiaromana.ro
• ANSPDCP — pentru breșe de date personale

---

Codurile QR sunt o tehnologie utilă și sigură în contextele corecte. Vigilența și puțin scepticism înainte de a scana un cod dintr-o sursă necunoscută sunt suficiente pentru a evita marea majoritate a atacurilor de quishing.

Creează coduri QR sigure, fără tracking, GDPR compliant, gratuit pe qrcito.com/ro/.