Andmepüügist on saanud üks kiiremini kasvavaid ohte. Idee on lihtne: pealtnäha kahjutu QR-kood peidab petturlikku aadressi. Microsoft on seda kasvu kvantifitseerinud: 2026. aasta märtsis tuvastas ettevõte 18,7 miljonit sellist rünnakut , võrreldes jaanuari 7,6 miljoniga, mis on 146% suurenemine vaid kolme kuuga.
Probleem peitub tegevustes, mis on saanud meie igapäevarutiini osaks. Restoranimenüü skannimine, parkimise eest tasumine, pileti allalaadimine või turismiinfo otsimine on muutunud tavaliseks. Küberkurjategijad kasutavad seda harjumuspärasust ära. Áudea, Logicalis Spaini küberturbeüksuse eksperdid rõhutavad, et veebiaadress jääb peidetuks kuni lingi avamiseni, vähendades seeläbi hoiatusmärke, mida kasutaja esmapilgul võib märgata.
Miks QR-kood peidab pettust ja hüppab arvutist mobiili?
Erinevalt tekstilingist ei kuva QR-kood enne skannimist URL-i. Áudea küberturvalisuse kultuurikonsultant Andrés Cartes Guilarte juhib tähelepanu sellele, et see läbipaistmatus on ründajate jaoks üks suurimaid eeliseid. Kasutaja ei saa kontrollida, kas sihtkoht on seaduslik, ja paljudel juhtudel tehakse skannimine mobiiltelefonist , mis nihutab suhtluse ettevõtte arvutist eemale ja ettevõtte turvakontrollidest kaugemale.
Kui link avatakse, võib ohver sattuda lehtedele, mis matkivad ettevõtte teenuseid, pangandusplatvorme või autentimiskuvasid. Eesmärk sõltub pettuse tüübist, kuid tavaliselt hõlmab see volituste, isikuandmete või finantsteabe hankimist . Selline jäljendamine on usutavam, kui sõnum saabub tuttavas kontekstis, näiteks oletatava sisekommunikatsiooni või teatena üksuselt, mida kasutaja regulaarselt kasutab.
Microsoft tuvastas samal perioodil ka ligikaudu 8.300 miljardit e-posti teel levitatud andmepüügiohtu . Ettevõte kirjeldas quishingi kui selle aja kiiremini kasvavat rünnakuvektorit, mis on trend, mis on kooskõlas QR-koodide kasutamise laienemisega igasugustes keskkondades.
PDF-id, meilid ja Microsoft 365 dokumendid: eelistatud kanalid
Barracuda 2026. aasta e-posti ohtude aruanne paljastab mitu rabavat leidu. 70% analüüsitud pahatahtlikest PDF-failidest sisaldasid QR-koode, mis viisid andmepüügilehtedele. Teisisõnu, dokument toimib varjatuna, et petta ohvrit faili usaldama ja mitte kahtlustama selles olevat koodi.
Samas aruandes täpsustatakse, et 56% pahatahtlikest Microsoft 365 dokumentidest sisaldasid quishingut. Lisaks suurenes 2026. aasta märtsis otse meilide sisusse manustatud koodide arv 336% . Ründajad ei piirdu ainult manustega: nad paigutavad QR-koodi ka sõnumi teksti sisse, et suurendada kellegi teise skannimise võimalust.
ESETi 2026. aasta esimese poole ohuaruanne näitab, et kuni 11% kõigist andmepüügirünnakutest esimesel poolaastal viidi läbi quishing-meetodi abil. Ettevõte hoiatab, et need tehnikad muutuvad üha keerukamaks: mõned kampaaniad püüavad hankida mitmefaktorilisi autentimismärke, installida pahavara, petta ohvreid pahatahtlike rakenduste allalaadimiseks või kasutada pettuse osana seaduslikke telefonirakendusi.
ESET Hispaania uuringute ja teadlikkuse juht Josep Albors selgitab, et ründajad saavad koodi veelgi varjata, manustades selle PDF-failidesse, JPEG-piltidesse või muudesse dokumentidesse või kasutades teenuseid, mis lühendavad URL-e enne QR-koodi genereerimist. Samal ajal võib koodiga kaasnev sõnum sisaldada väga vähe teksti, mis välistab klassikalised vihjed, nagu õigekirjavead, nähtavad lingid või ebatavalised domeenid.
Restoranimenüüst parklasse: füüsiline risk ja kaitsemeetmed
Oht ei piirdu ainult teie postkastiga. Restoranidesse, poodidesse, ühistransporti, parklatesse ja turismiteenustesse paigutatud QR-koodid tekitavad sama probleemi: enne skannimist ei saa kontrollida, millist lehte need kuvavad. Lisaks võib avalikes kohtades koodi olla muudetud või see olla asendatud petturliku koodiga.
Augustis dokumenteeris INCIBE reaalse juhtumi, mis illustreerib riski suurepäraselt. Kasutaja skannis restorani menüü QR-koodi ning pärast lingile klõpsamist ja hüpikakna avamist aktiveeris ta kogemata soovimatu premium-tellimuse . Sama asutuse teistel klientidel tekkisid sarnased olukorrad, mis näitab, et probleem ei olnud üksikjuhtum, mis hõlmas ühte inimest.
Selle tehnoloogia levik selgitab osaliselt seda nähtust. QR TIGERi koostatud andmete kohaselt kasutab umbes 75% restoranidest üle maailma juba QR-koode, et hõlbustada juurdepääsu digitaalsetele menüüdele. Selle tööriista kasutamine turunduses ja reklaamis kasvas aastatel 2021–2023 323%, mis aitab selgitada, miks kurjategijad on sellele keskendunud.
Ettevõtetele soovitab ESET lisada teadlikkuse tõstmise programmidesse ja simulatsiooniharjutustesse vaikimise, et töötajad õpiksid kahtlaseid QR-koode ära tundma. Samuti ei soovitata soovimatutes meilides olevaid koode skannida ja soovitatakse teatada kõigist kahtlastest sõnumitest.
Kui töötaja usub, et sõnum pärineb usaldusväärsest allikast, on soovitatav seda kontrollida sõltumatu kanali kaudu , kasutades kontaktandmeid, mida e-kirjas endas ei leidu. See kontroll hoiab ära olukorra, kus kinnitus tugineb potentsiaalse ründaja saadetud teabele.
Samuti on oluline tehniline kaitse. Mainitud meetmete hulgas on e-posti turvalahendused, mobiilseadmete turvatööriistad, seadmete haldamine MDM-i kaudu, andmepüügikindel mitmefaktoriline autentimine , vähimate privileegide põhimõte, just-in-time juurdepääs, regulaarsed värskendused ja anomaalse käitumise jälgimine. Lisaks on oluline testida intsidentidele reageerimise plaane, et tagada kiire reageerimine rünnaku korral.
- E-posti ja mobiilseadmete turvalisus pahatahtlike linkide ja koodi blokeerimiseks.
- MDM-seadmehaldus miinimumpoliitika rakendamiseks.
- Andmepüügivastane MFA ja vähimate privileegide põhimõte.
- Värskendused, just-in-time juurdepääs ja pideva järelevalve all.
Kõigi nende arvude põhjal ilmnev muster on selge: QR-koodid on leidnud oma niši igapäevaelus, kuna need on mugavad, kiired ja kõikjal levinud. Just see kõikjalolek muudabki nende ohu tuvastamise keeruliseks. Peamine on olla ettevaatlik ootamatuste suhtes , kontrollida enne skannimist konteksti ja rakendada turvameetmeid, mis saadavad kasutajat nii e-posti kui ka mobiilseadmete, sealhulgas dokumentide ja füüsiliste ruumidega.
