Pirmasis visiškai atviras naujienų portalas
Pirmasis visiškai atviras naujienų portalas
 | 2026-09-18 |
QR kodai tapo tokia įprasta kasdienybės dalimi, kad prieš juos nuskaitydami retai stabtelime ir susimąstome, kur būsime nukreipti. Peržiūrėti meniu, sumokėti už automobilio stovėjimą ar atidaryti renginio programą telefonu daugeliui jau yra beveik automatinis veiksmas. Būtent šiuo pasitikėjimu ir įpročiu vis aktyviau naudojasi kibernetiniai nusikaltėliai. Kaip apsisaugoti?
Tarptautinės kibernetinio saugumo bendrovės ESET pasaulinės telemetrijos duomenimis, 2026 m. pirmąjį pusmetį QR kodai buvo naudojami maždaug 11 proc. visų bendrovės aptiktų duomenų viliojimo (fišingo) el. laiškų. Vidutiniškai per mėnesį visame pasaulyje fiksuota apie 100 tūkst. tokių atvejų, o didžiausias aktyvumas registruotas balandį.
Nors QR kodų fišingas ypač pavojingas įmonėms, nes gali atverti kelią į darbines sistemas ir duomenis, su panašiomis apgavystėmis susiduria ir gyventojai. Sukčiai gali bandyti išvilioti prisijungimo prie el. pašto, socialinių tinklų ar banko duomenis, taip pat mokėjimo kortelės informaciją.
Nuoroda, kurios nemato nei žmogus, nei dalis apsaugos sistemų
QR kodų fišingo principas iš esmės nesiskiria nuo tradicinio fišingo. Nusikaltėlių tikslas išlieka tas pats – nukreipti žmogų į suklastotą svetainę ir išvilioti prisijungimo, mokėjimo ar kitus jautrius duomenis. Keičiasi būdas, kuriuo kenksminga nuoroda pasiekia auką.
Įprastame duomenų viliojimo laiške nuorodą galima matyti, patikrinti jos adresą, o įmonės el. pašto apsaugos sistemos gali ją analizuoti dar prieš laiškui pasiekiant darbuotoją. QR kodo atveju interneto adresas paslepiamas vaizde.
„QR kodas vizualiai paslepia puslapio adresą – žmogus nemato, kur iš tikrųjų bus nukreiptas. Su nuorodomis jau išmokome būti atsargesni, o QR kodams tokio paties įtarumo dar dažnai netaikome“, – pastebi „Baltimax“ vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Lukas Apynis.
Tai apsunkina ir techninį atakos aptikimą. Saugumo sistema pirmiausia turi atpažinti patį QR kodą, iškoduoti jame esančią informaciją ir tik tuomet patikrinti interneto adresą.
Verta atkreipti dėmesį, kad QR kodų grėsmė neapsiriboja vien elektroniniu paštu. Sukčiai gali pasitelkti ir realiose vietose matomus kodus. Pavyzdžiui, darbuotojas, atvykęs pietauti į miestą, ant automobilių stovėjimo aikštelės mokėjimo automato gali pamatyti QR kodą, jį nuskenuoti ir vietoje oficialaus mokėjimo puslapio patekti į sukčių sukurtą jo kopiją. Užpuolikai tokį kodą gali tiesiog užklijuoti ant tikrojo lipduko, todėl iš pirmo žvilgsnio jis atrodo visiškai įprastai.
„Tokioje situacijoje žmogus dažnai net neturi priežasties suabejoti – QR kodas yra būtent ten, kur jo ir tikiesi, tačiau jį nuskenavus galima patekti į svetainę, kurioje prašoma įvesti mokėjimo kortelės duomenis ar kitą jautrią informaciją“, – sako L. Apynis.
Panašūs būdai gali būti naudojami ir prie dalijimosi dviračiais ar paspirtukais stotelių, taip pat suklastotuose pranešimuose apie baudas ar kelių mokesčius. Todėl svarbu vertinti ne tik patį QR kodą, bet ir po nuskaitymo atsidariusio puslapio adresą.
Imituoja kasdienius prašymus
QR kodų fišingas remiasi ne tik techninėmis spragomis, bet ir socialine inžinerija. Sukčiai mėgdžioja mums įprastus veiksmus ir kuria skubos jausmą: gali siųsti pranešimą apie neva pristatomą siuntą, nesumokėtą baudą, artėjantį slaptažodžio galiojimo pabaigos terminą ar prašymą peržiūrėti dokumentą. Įmonių darbuotojams tokie laiškai dažnai atrodo kaip vidinės sistemos, kolegos ar vadovo žinutė.
Pasak kibernetinio saugumo eksperto L. Apynio, tarp dažniausiai naudojamų pretekstų – perspėjimai, kad netrukus baigsis slaptažodžio galiojimo laikas, prašymai peržiūrėti dokumentą, patvirtinti sąskaitą ar prisijungti prie susitikimo.
Gavėjas raginamas nuskenuoti QR kodą telefonu. Atsidariusi svetainė gali atrodyti kaip banko, siuntų bendrovės, „Microsoft 365“, „Google Workspace“ ar kitos pažįstamos paslaugos prisijungimo langas. Įvedus duomenis, jie atitenka užpuolikams.
Pasekmės įmonei gali būti gerokai didesnės nei vienos paskyros praradimas. Kompromituota darbuotojo paskyra gali suteikti prieigą prie vidinės komunikacijos, dokumentų, kontaktų ar debesijos paslaugų, o kartu tapti atspirties tašku tolimesnėms atakoms organizacijos viduje.
Gyventojams pasekmės taip pat gali būti skaudžios – prarasta prieiga prie el. pašto ar socialinių tinklų paskyros, neteisėti mokėjimai kortele ar sukčių pasisavinti asmens duomenys. Todėl QR kodą verta vertinti ne kaip nekaltą paveikslėlį, o kaip nuorodą, kurią būtina patikrinti.
Šiuolaikiniai el. pašto apsaugos sprendimai gali atpažinti laiškuose esančius QR kodus, iškoduoti juose paslėptas nuorodas ir patikrinti, ar jos nesusijusios su fišingu, kenkėjiškomis programomis ar kitomis grėsmėmis. Aptikus rizikingą nuorodą, toks laiškas gali būti pažymėtas, užblokuotas arba perkeltas į karantiną dar prieš darbuotojui nuskenuojant kodą.
Prieš nuskaitant – patikrinti
QR kodą verta vertinti taip pat atsargiai kaip ir el. laiške ar žinutėje pateiktą nuorodą. Ypač tuomet, kai juo prašoma prisijungti prie sistemos ar paskyros, patvirtinti mokėjimą, pakeisti slaptažodį arba pateikti asmens duomenis. Jei kyla abejonių, geriau pačiam atsidaryti oficialią paslaugos programėlę ar svetainę, o ne spausti ar skenuoti gautą kodą.
Net jei laiškas atrodo atsiųstas kolegos, vadovo ar gerai žinomos sistemos vardu, neįprastą prašymą verta patikrinti kitu kanalu. Pavyzdžiui, susisiekti su kolega atskirai arba prie sistemos jungtis per įprastą, žinomą adresą, o ne naudojant laiške pateiktą QR kodą.
QR kodų populiarumas greičiausiai niekur nedings – jie pernelyg patogūs tiek verslui, tiek vartotojams. Pats QR kodo nuskenavimas savaime dar nereiškia, kad duomenys jau nutekėjo ar prisijungimai buvo pavogti. Rizika kyla tuomet, kai po nuskaitymo atsidariusiame puslapyje žmogus įveda slaptažodį, mokėjimo kortelės ar kitus jautrius duomenis.
Todėl svarbu ugdyti paprastą įprotį: QR kodą el. laiške vertinti taip pat atsargiai kaip ir įprastą nuorodą. Jei kodu prašoma prisijungti prie sistemos, pakeisti slaptažodį ar patvirtinti mokėjimą, saugiau prie paslaugos jungtis įprastu, žinomu adresu, o ne per laiške pateiktą kodą.
Parengta pagal pranešimą spaudai
Norėdami komentuoti, turite prisijungti.
Parašykite komentarą