Parchezi în centru, vrei să plătești parcarea și vezi pe parcometru un cod QR: "Scanează și plătește rapid". Îl scanezi, se deschide o pagină care arată ca a primăriei și îți cere datele cardului. Doar că autocolantul a fost lipit de altcineva, peste cel adevărat, iar pagina nu duce nicăieri în afară de buzunarul unui escroc.

Ce este quishing-ul și de ce funcționează

Quishing-ul este phishing realizat prin coduri QR -- numele vine din "QR" plus "phishing". În loc să-ți trimită un link suspect prin SMS sau e-mail, escrocul îți pune în față un pătrat alb-negru pe care îl scanezi singur, cu camera telefonului. Rezultatul e același: ajungi pe o pagină falsă care îți cere date sau bani.

Trucul psihologic e subtil. Mulți oameni au învățat să se uite cu suspiciune la un link scris -- observă adresa ciudată, literele în plus, domeniul care nu se potrivește. Dar un cod QR nu arată nimic. E doar un model grafic, ilizibil pentru ochi. Nu poți "citi" un QR ca pe un link, așa că suspiciunea naturală dispare. Scanezi pe încredere, iar adresa reală o vezi abia după ce camera o deschide -- uneori prea târziu.

Unde apar codurile QR false

Quishing-ul prinde mai ales acolo unde te aștepți deja să plătești sau să confirmi ceva. Câteva locuri în care apare frecvent:

  • Parcometre și stații de plată -- un autocolant cu QR fals lipit peste cel oficial, care duce spre o pagină ce-ți cere cardul
  • "Amenzi" pe parbriz -- o hârtie care imită o înștiințare de la poliția locală, cu un QR pentru "plata rapidă a amenzii"
  • Notificări false de colet -- un bilet de "relivrare" în cutia poștală, cu un QR pentru a "reprograma livrarea" și a plăti o mică taxă
  • Meniuri, pliante și afișe -- coduri lipite peste cele reale în localuri sau pe panouri, care redirecționează spre site-uri capcană

Numitorul comun e contextul plauzibil. Nimeni nu se mai miră că un parcometru sau un meniu are cod QR -- exact de asta abuzează escrocul. El nu inventează un comportament nou; doar deturnează unul cu care te-ai obișnuit.

Cum verifici un cod QR înainte să-i dai curs

Cheia apărării e o pauză de două secunde între scanare și acțiune. Majoritatea telefoanelor, atât pe Android cât și pe iPhone, îți arată o previzualizare a adresei web înainte să o deschidă -- un mic banner cu URL-ul. Citește-l. Dacă vrei să plătești parcarea într-un anumit oraș, adresa ar trebui să corespundă instituției respective, nu unui domeniu ciudat, scurtat sau cu cuvinte fără legătură.

Uită-te și la suportul fizic. Un autocolant lipit strâmb, peste alt autocolant, cu margini care se desprind, e un semn clar că a fost adăugat ulterior. La parcometre și la stațiile oficiale, codul e de obicei imprimat direct pe carcasă sau integrat în design, nu lipit deasupra.

Regula de fond rămâne aceeași ca la orice link primit din exterior: nu-ți introduce datele cardului pe o pagină în care ai ajuns scanând un QR de pe stradă. Dacă ai de plătit o parcare, o amendă sau un colet, intră direct în aplicația oficială sau tastează tu adresa cunoscută a instituției. Un QR e o comoditate, nu o garanție.

De ce e diferit de smishing

Quishing-ul și smishing-ul împărtășesc același scop -- să te ducă pe o pagină falsă -- dar diferă prin vector. Smishing-ul vine ca text, printr-un SMS pe care îl poți citi, analiza și raporta; semnele lui le-am descris în ghidul despre SMS-urile false de tip smishing. Quishing-ul ocolește tocmai pasul cititului: nu vezi niciun text, doar un pătrat, și de aceea apărarea trebuie mutată după scanare, în momentul în care telefonul îți arată adresa.

Mai e o diferență importantă. Un SMS fals are nevoie de numărul tău; un QR fals e public și anonim -- oricine trece pe lângă parcometru îl poate scana. Nu există un "expeditor" pe care să-l blochezi. De aceea, în cazul codurilor QR, singura ta linie de apărare ești tu, la pasul previzualizării.

Ce faci dacă ai scanat și ai introdus date

Dacă ți-ai trecut datele cardului pe o pagină ajunsă printr-un QR, tratează situația ca pe orice scurgere de date de plată. Sună imediat banca, blochează cardul și verifică tranzacțiile recente. Dacă ai aprobat un cod primit prin SMS, spune băncii exact ce ai confirmat. Schimbă parolele conturilor legate de cardul respectiv. Pașii detaliați îi găsești în ghidul despre ce faci dacă ai dat date personale unui escroc.

Raportează apoi incidentul la Poliția Română -- înșelăciunea este prevăzută de art. 244 din Codul penal, iar frauda informatică de art. 249. Dacă autocolantul fals e pe un parcometru sau pe un suport public, anunță și administratorul acelui spațiu, ca să-l înlăture și să prevină alte victime.

Întrebări frecvente

E periculos doar să scanez un cod QR? Scanarea în sine, de regulă, doar deschide o adresă web. Pericolul vine din ce faci după -- dacă introduci date de card sau parole pe pagina deschisă. De aceea, citește adresa din previzualizare înainte de orice.

Cum văd unde mă duce un QR fără să dau date? După scanare, telefonul afișează adresa web înainte de a o deschide complet. Oprește-te acolo și citește URL-ul. Dacă nu se potrivește cu instituția pe care o aștepți, nu continua.

Pot avea încredere în codul QR de pe un parcometru? Doar dacă pare parte din carcasă, nu un autocolant lipit deasupra, și doar dacă adresa afișată corespunde orașului sau operatorului de parcare. La cel mai mic dubiu, plătește prin aplicația oficială.

Pe scurt

Quishing-ul folosește coduri QR false ca să te ducă pe pagini capcană, profitând de faptul că un QR nu poate fi "citit" cu ochiul și ocolește suspiciunea pe care o ai față de linkurile scrise. Apărarea e una singură și e gratuită: după ce scanezi, citește adresa din previzualizare înainte să faci orice și nu introduce niciodată datele cardului pe o pagină ajunsă printr-un cod de pe stradă. Două secunde de atenție îți țin banii în cont.