Tehnika naljepnice
Metoda je razoružavajuće jednostavna. Kriminalac uđe u restoran, uoči stalke s QR kodovima na stolovima ili na ulazu i preko njih zalijepi svježe otisnutu naljepnicu: s vlastitim QR kodom. Cijela operacija traje manje od trideset sekundi po stolu.
Lažna stranica koja se otvori gotovo je savršena kopija stranice za naručivanje ili plaćanje: pravi logotipi, prave boje brenda, ponekad čak i naziv restorana. Uvjeren da pregledava današnji jelovnik, gost na prijevarnoj web-stranici unosi podatke svoje bankovne kartice.
Tehnika nije ograničena na restorane: Cybermalveillance.gouv.fr, francuska državna platforma za pomoć žrtvama kiberkriminala, upozorava i na lažne QR kodove nalijepljene na parkirne automate i punionice za električna vozila.
Restorani koji prelaze na digitalne jelovnike bez fizičke zaštite (ugravirani QR kodovi, zaključani stalci) glavne su mete. Mali lokali koji svoje stalke sami tiskaju na običnom papiru najranjiviji su.
Kako to prepoznati
Prije skeniranja fizički pregledajte QR kod. Lažne naljepnice često su blago pomaknute, s rubovima koji se preklapaju ili s kvalitetom ispisa koja se razlikuje od ostalih materijala u restoranu.
Koristite čitač QR kodova koji prije otvaranja poveznice prikazuje cijeli URL. Nativna aplikacija Kamera na iOS-u i ugrađeni čitači na Androidu obično prikazuju URL, odvojite trenutak da ga pročitate. Napadači se služe typosquattingom: 'carte-restaurant-lyon.com' umjesto službene web-stranice lokala.
Budite osobito oprezni ako stranica koja se otvori traži podatke bankovne kartice samo da biste pogledali jelovnik. Nijedan legitiman restoran ne uvjetuje pristup jelovniku plaćanjem.
Ako ste u dvojbi, zamolite člana osoblja da vam izravno pokaže jelovnik ili QR kod prikazan u svojem administratorskom sučelju: a ne onaj na stalku na stolu.
Što radi Trasimène
Trasimène ima ugrađen skener QR kodova. Svaku poveznicu koju taj skener pročita naši poslužitelji provjeravaju prije otvaranja: u popisima phishing stranica i stranica sa zlonamjernim softverom koje vodi Trasimène, u Google Safe Browsingu te prema konačnom odredištu eventualnih preusmjeravanja.
Ako se poveznica prepozna kao opasna, ne otvara se: pojavljuje se upozorenje, a vi odlučujete hoćete li je ipak otvoriti. Datum registracije domene, kad je poznat, prikazuje se kao pomoć u procjeni, ali se ne uračunava u presudu.
Ta se provjera odvija u skeneru aplikacije: otvorite ga prije nego što kameru usmjerite prema QR kodu. QR kod pročitan kamerom telefona ne provjerava se. Ako je uključen opcionalni VPN Trasimènea, naknadno prepoznaje posjet stranici koja je već na našim popisima i upozorava vas na to u aplikaciji. Sam ne blokira stranicu: samo Quad9, švicarska usluga kojoj prepušta razrješavanje naziva, sa svoje strane odbacuje zlonamjerne domene koje poznaje.
Oprez je i dalje prva linija obrane. Kratak pogled prije skeniranja, čitanje URL-a prije nego što nešto upišete, postavljanje pitanja kad ste u dvojbi: te jednostavne navike dovoljne su da poraze veliku većinu napada putem QR kodova. A uz pravu sigurnosnu aplikaciju, nema razloga da ih ne automatizirate.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Zaštitite se od QR phishinga