A világjárvány alatt a QR-kódok váltak az alapértelmezett éttermi étlappá, ma beszállókártyáktól parkolás kifizetéséig, a fejlett társadalmak mindennapjainak szinte valamennyi szegmensében megtalálhatók. Hackerek ki is használják a mindenütt-jelenlévőséget.
A látszatra ártalmatlan jeleket a támadók személyek megtévesztésére, rosszindulatú honlapok meglátogatására és érzékeny információk megosztására trükközik meg. A QR-kód alapú, quishing néven ismert csalások száma olyan mértékben nő, hogy az Egyesült Államok Szövetségi Kereskedelmi Bizottsága (FTC) idén figyelmeztetést adott ki kéretlen vagy nem várt, a rajtuk lévő QR-kódra szkennelve a felhasználót adathalász oldalra vivő csomagokról. Másik opció, hogy a szkenneléssel malware-t telepítünk telefonunkra.
Az FTC után szövetségi államok közlekedési, kereskedelmi és bűnügyi szervei is figyelmeztették a lakosságot. Cyberbűnözők nem véletlenül vonzódnak a QR-kódokhoz: relatíve könnyű csalni velük, például hamis matricát ragasztanak parkolóórára, közüzemi figyelmeztető számlára, és a sürgősséget kihasználva, lecsapnak.
Az új csalási opció azért is népszerű, mert több biztonsági technológiával megnehezítették a hagyományos e-mailes adathalászatot, és kellett helyette találni valamit. A NordVPN cyberbiztonsági vállalat szerint az amerikaiak közel háromnegyede (73 százaléka) ellenőrzés nélkül olvassa be a QR-kódokat, és több mint 26 millió személyt irányítottak már át rosszindulatú oldalakra. A technikával bűnözők a kritikus infrastruktúrához tartozó hálózatokra is sikeresen betörtek. Jelentések alapján egyes támadások mögött idegen államok hírszerzése áll, távoli hozzáférésű trójaiakat is terjesztettek már QR-kód trükközéssel.
A csalások androidos készülékek és iPhone-ok ellen egyaránt irányulhatnak, utóbbiak ellen azért sikeresebbek, mert a felhasználók jobban megbíznak az Apple termékeiben. Egy teszten az iPhone-osok 70, az androidosok 63 százaléka szkennelt be vásárlás megkezdéséhez QR-kódot, előbbiek 55, utóbbiak 50 százaléka szerint biztonságos a telefonjuk.
A QR-kód veszélyesebb a hagyományos adathalász e-mailnél – a felhasználó nem tudja elolvasni, ellenőrizni a bele kódolt webcímet. Ugyan emberileg olvasható szöveget tartalmaznak, de a támadók módosíthatnak rajtuk.
A jelenség legnyugtalanítóbb aspektusa, hogy amennyire jelen van a mindennapokban, annyira láthatatlan. Lényegében bármi (szórólapok, poszterek, hirdetőoszlopok, hivatalos dokumentumok) könnyen megtrükközhetők: a támadó egyszerűen kinyomtatja saját QR-kódját, majd fizikálisan vagy digitálisan ráragasztja. A felhasználónak szinte esélye sincs, hogy észrevegye a csalást.