קוד QR מזויף: איך מזהים ומה עושים
עודכן: · עם קישור למקור
קוד QR הוא רק קישור שאי אפשר לקרוא בעיניים. לכן לפני שמקלידים פרטים בעמוד שנפתח מקוד, בודקים את הכתובת. חשד מיוחד: מדבקה שהודבקה מעל שלט, קוד על דוח או חבילה שלא ציפיתם להם, וכל עמוד שמבקש תשלום, סיסמה או פרטי כרטיס.
איפה נתקלים בקודים מזויפים
רשות הסחר האמריקאית (FTC) מזהירה מנוכלים שמדביקים קוד משלהם מעל הקוד האמיתי במדחני חניה, ומקודים שמגיעים בהודעות ובמיילים עם סיפור דחוף. ה־FBI מזהיר גם מחבילות שלא הוזמנו, בלי פרטי שולח, שבתוכן קוד שמוביל לבקשת פרטים אישיים ופיננסיים.
בישראל דווח על דוח חניה מזויף שהושאר על רכב, והקוד שעליו הוביל לאתר תשלום מתחזה עם כתובת דומה לאתר האמיתי.
מקור: FTC: קישורים מזיקים בקודי QR · FBI IC3: חבילות לא מוזמנות עם קוד QR · mako: קוד QR מזויף על דוח חניה
מה בודקים בכתובת לפני שנכנסים
הסורק שלנו לא פותח שום דבר לבד: הוא מציג את הכתובת המלאה, מדגיש את שם האתר ומזהיר מפני הסימנים האלה.
- שם האתר האמיתי הוא מה שמופיע ממש לפני הסיומת (.co.il, .gov.il, .com). ב־pay.example-city.com האתר הוא example-city.com, לא העירייה
- אותיות דומות: 0 במקום o, rn במקום m, או אותיות מאלפבית אחר שנראות זהות
- סימן @ באמצע הכתובת: כל מה שלפניו לא קובע לאן נכנסים
- קישור מקוצר (bit.ly וכדומה) מסתיר את היעד. היזהרו במיוחד בעמודי תשלום
- עמוד שמבקש קוד אימות, סיסמה או פרטי כרטיס מיד אחרי סריקה
כללים פשוטים
- בשלט או במדחן: בדקו בעין ובמגע אם יש מדבקה מעל הקוד המקורי
- לתשלום לרשות או לחברה מוכרת: עדיף להיכנס בעצמכם דרך האפליקציה הרשמית או דרך חיפוש
- קוד שהגיע בהודעה או במייל עם לחץ זמן ("החשבון ייחסם היום"): לא סורקים
- חבילה שלא הזמנתם: לא סורקים את הקוד שבתוכה
- אחרי סריקה, אל תאשרו הורדת אפליקציה או הרשאות שלא ציפיתם להן
מקור: FTC: קישורים מזיקים בקודי QR · FBI IC3: חבילות לא מוזמנות עם קוד QR
כבר הקלדתם פרטים? מה עושים
- אם מסרתם פרטי כרטיס אשראי, התקשרו מיד לחברת האשראי או לבנק ובקשו לחסום
- אם הקלדתם סיסמה, החליפו אותה בכל אתר שבו השתמשתם בה, והפעילו אימות דו־שלבי
- אם הותקנה אפליקציה, מחקו אותה ובדקו אילו הרשאות קיבלה
- אם הקוד היה על שלט או מדחן, דווחו לגוף שאחראי עליו כדי שיסירו את המדבקה
שאלות נפוצות
אפשר להידבק בווירוס רק מסריקה של קוד QR?
הסריקה עצמה רק קוראת טקסט. הסכנה מתחילה כשפותחים את הקישור, מקלידים פרטים או מאשרים הורדה. לכן בודקים את הכתובת לפני שנכנסים.
איך יודעים אם קוד על מדחן הוא אמיתי?
בדקו אם יש מדבקה מעל המקור, והשוו את הכתובת לאתר הרשמי של הרשות. אם יש ספק, שלמו דרך אפליקציית החניה שאתם מכירים.
קוד QR בהודעת SMS מהבנק, זה אמיתי?
אל תסרקו ואל תלחצו. היכנסו לאפליקציה או לאתר של הבנק בעצמכם, או התקשרו למספר שמופיע על הכרטיס.
הקוד שלי יכול להיות מזויף?
מישהו יכול להדביק קוד אחר מעל השלט שלכם. בדקו מדי פעם שהשלטים שלכם לא שונו, והוסיפו ליד הקוד את כתובת האתר בטקסט.
ההוראות לטלפונים ולאפליקציות נכתבו לפי דפי העזרה של היצרנים, עם קישור בסעיף הרלוונטי. תפריטים משתנים בין גרסאות, ולכן אם משהו נראה אחרת אצלכם, בדקו בדף העזרה. הקודים באתר סטטיים ונוצרים בדפדפן, בלי הרשמה.