Quishing: Paano Tukuyin ang Mapanganib na QR Code at Maiwasan ang Scam

Sa panahon ngayon, ang QR code ay nasa lahat ng dako — sa mga restaurant menu, sa mga ATM, sa mga parcel delivery, at kahit sa mga email. Ngunit kasabay ng pagiging popular ng QR code, lumitaw na rin ang isang bagong uri ng scam: ang quishing, o QR code phishing.

Sa artikulong ito, pag-aralan natin kung ano ang quishing, kung paano ito gumagana, at kung paano ninyo mapoprotektahan ang inyong sarili at ang inyong pamilya mula sa ganitong uri ng cyberattack.

Ano ang Quishing?

Ang salitang "quishing" ay pinagsamang "QR code" at "phishing." Ito ay isang uri ng cyberattack kung saan gumagamit ang mga scammer ng mapanlinlang na QR code para dayain ang mga biktima na:

• Bisitahin ang isang pekeng website na mukhang lehitimo (hal. pekeng GCash login page, pekeng bangko website)
• Mag-download ng malware o malicious na app
• Ibigay ang kanilang personal na impormasyon, username at password, o credit card details

Ang dahilan kung bakit epektibo ang quishing ay ang QR code ay hindi kaagad mapabasa ng tao. Hindi mo makikita kung saan nag-li-link ang isang QR code bago mo ito i-scan — kabilang ang mga mapanganib na link.

Mga Karaniwang Paraan ng Quishing

1. Fake na QR Codes sa Pampublikong Lugar

Ang mga scammer ay naglalagay ng pekeng QR code sticker sa ibabaw ng mga lehitimong QR code sa:

• Mga parking meter at parking area
• Mga ATM machine
• Mga restaurant at kainan
• Mga bus stop at tren station
• Mga pampublikong charging station

Kapag na-scan ng biktima ang pekeng QR, napupunta sila sa isang phishing website sa halip na sa orihinal na destinasyon.

Halimbawa sa Pilipinas: Isang pekeng GCash QR code sticker na nakadikit sa ibabaw ng tunay na GCash QR ng isang tindahan. Kapag na-scan ng customer, napupunta sila sa isang pekeng GCash login page na nagnanakaw ng kanilang username at password.

2. Quishing sa Email at SMS

Ang mga scammer ay nagpapadala ng email o SMS na naglalaman ng QR code na may mga mensaheng tulad ng:

• "Kailangang i-verify ang inyong account. I-scan ang QR code para mapanatili ang access sa inyong GCash."
• "May naghihintay na pakete para sa inyo. I-scan para ma-track ang inyong delivery."
• "Nanalo kayo ng premyo! I-scan ang QR para ma-claim."

Ang mga email quishing attack ay partikular na mapanganib dahil nilalampasan nito ang mga traditional na email security filters — ang filter ay naghahanap ng suspicious na links sa text, ngunit hindi makikita ang link na nakatago sa loob ng QR code image.

3. Fake na QR Code sa mga Flyer at Poster

Ang mga scammer ay gumagawa ng mga flyer o poster na mukhang lehitimong advertisement (hal. para sa isang job opportunity, isang promosyon, o isang event) na naglalaman ng mapanlinlang na QR code.

4. Quishing sa Corporate Environment

Sa mga opisina, ang mga scammer ay gumagamit ng social engineering para maglagay ng pekeng QR codes sa mga meeting room, sa mga elevator, o kahit sa mga official-looking na memo na may QR code para sa "important company updates."

Paano Tukuyin ang Mapanganib na QR Code

1. Suriin ang Pisikal na QR Code

Bago mag-scan, tingnan nang mabuti ang QR code:

• May sticker ba sa ibabaw? Ang mga pekeng QR codes sa mga tindahan o public spaces ay madalas na nakalagay bilang sticker sa ibabaw ng orihinal. Subukang itaas ang sulok ng QR — kung may layer na sticker, ito ay red flag.
• Mukhang tampered ba? Kung ang QR code ay mukhang hindi maganda ang pagkakalagay o may kalituhan sa design ng lugar, maging maingat.
• Sa opisyal na lugar ba ito? Ang QR code sa isang ATM na hindi mukhang opisyal na disenyo ng bangko ay dapat paghinalaang.

2. I-preview ang URL Bago Mag-tap

Kapag na-scan ang QR code, karamihan ng smartphone ay nagpapakita ng preview ng URL bago mo awtomatikong ma-navigate dito. Basahin ang URL nang maingat bago mag-tap!

Mga bagay na dapat bantayan sa URL:

• Domain name: Ang pekeng GCash website ay maaaring may domain na gcash-login.com, gcashph.net, o g-cash.ph — hindi ang tunay na gcash.com
• HTTP vs HTTPS: Ang mga lehitimong website ng mga bangko at financial institutions ay palaging may https:// at green padlock. Ang http:// ay red flag.
• Mga typo o extra character: payma1.ph (may number 1) vs paymaya.ph, bdo-online.ph vs bdo.com.ph
• Sobrang haba ng URL: Ang mga scam URL ay madalas na may mahabang random na characters

3. Huwag Mag-scan ng QR Codes mula sa Hindi Kilalang Pinagkukunan

• Sa email: Huwag mag-scan ng QR code sa email mula sa isang hindi kilalang sender, lalo na kung nagsasabi ito ng urgent action (hal. "verify agad ang inyong account")
• Sa SMS: Ang mga lehitimong bangko at government agencies ay hindi nagpapadala ng QR codes sa SMS para sa account verification
• Sa social media: Mag-ingat sa mga QR codes na na-share sa Facebook, Instagram, o Viber group chats

4. Gamitin ang Dedicated na QR Scanner App

Ang ilang QR scanner apps — tulad ng Kaspersky QR Scanner o ang built-in na scanner ng ilang security-focused na browser — ay may built-in na URL safety checking. Bago ikaw madala sa destination ng QR, sinusuri muna ng app kung ang URL ay nasa listahan ng mga kilalang phishing sites.

5. Suriin ang Destination Website

Kapag napunta na kayo sa website mula sa QR code:

• Huwag agad mag-login. Basahin muna ang URL sa address bar.
• Hanapin ang green padlock at suriin kung ang domain ay talagang tama.
• Pag may doubt, huwag mag-proceed. Mas mabuting maging overcautious.

Mga Red Flag na Dapat Bantayan

Ang isang QR code ay dapat paghinalaang kung:

• Ang destination website ay humihingi ng inyong username at password para sa GCash, Maya, o inyong online banking
• Ang website ay humihingi ng inyong OTP (one-time password) — walang lehitimong website ang hihilingin ito
• Ang website ay humihingi ng inyong credit card number, CVV, o expiry date nang walang sapat na konteksto
• Ang destination ay hindi gusto ng inyong browser at nagpapakita ng security warning
• Ang QR code ay nanggaling sa isang unsolicited na mensahe (email, SMS, o Viber)

Ano ang Gagawin Kung Na-scam Ka na

Kung naniniwala kang naging biktima ka ng quishing attack:

1. Huwag mag-enter ng anumang karagdagang impormasyon sa pekeng website.
2. Palitan agad ang password ng lahat ng affected na accounts (GCash, Maya, online banking, email).
3. Iulat sa GCash o Maya ang insidente sa pamamagitan ng kanilang official na customer support channels.
4. Iulat sa inyong bangko kung may posibilidad na na-compromise ang inyong bank account.
5. I-report sa DICT o NBI Cybercrime Division ang phishing incident: cybercrime.gov.ph
6. Ipaalam sa inyong mga kakilala para maiwasan din nila ang parehong scam.

Paano Ligtas na Gumamit ng QR Code

Ang sagot sa quishing ay hindi ang pag-iwas sa lahat ng QR codes — ito ay ang pagiging mapanuri at maingat:

• I-scan lang ang mga QR code mula sa mga pinagkakatiwalaang pinagkukunan (opisyal na website, physical na establisimyento na kilala ninyo)
• Laging i-preview ang URL bago mag-tap
• Huwag mag-login sa anumang account mula sa isang QR code na nanggaling sa email o SMS — pumunta na lang direkta sa opisyal na website o app
• I-install ang isang security app sa inyong smartphone na may URL checking feature
• I-educate ang inyong pamilya — lalo na ang mga nakatatanda na maaaring hindi pamilyar sa ganitong uri ng scam

Gumamit ng Ligtas na QR Generator

Kapag kayo mismo ang gumagawa ng QR codes — halimbawa para sa inyong negosyo o personal na gamit — tiyakin na gumagamit kayo ng mapagkakatiwalaang QR generator.

Ang QRcito ay gumagana nang 100% sa inyong browser — walang data na isinasend sa server, walang tracking, walang nire-record na links. Kapag gumawa kayo ng QR code sa QRcito, tanging kayo lang ang nakakaalam ng nilalaman nito.

Bisitahin ang qrcito.com/tl/ para sa ligtas, libre, at private na QR code generation. At laging maging maingat sa mga QR code na hini-scan ninyo online at offline — ang isang segundong pag-iingat ay maaaring makapag-save ng inyong hard-earned na pera!