क्विशिंग या क्यूआर कोड घोटालों से कैसे बचें

क्या क्यूआर कोड स्कैन करने से आपका हैक हो सकता है?

पूरे QR कोड खतरे के परिदृश्य को समझना आपको शिकार बनने से पहले खतरों को पहचानने में मदद करता है। यहाँ 2025 में सबसे आम हमले के पैटर्न दिए गए हैं।

नकली स्टिकर की चाल

सबसे व्यापक भौतिक विधि में असली कोड के ठीक ऊपर नकली क्यूआर कोड स्टिकर लगाना शामिल है – जैसे पार्किंग मीटर, रेस्तरां की मेजें, परिवहन संकेत, या खुदरा प्रदर्शनों पर। आपको लगता है कि आप कोई मैप लिंक खोल रहे हैं या किसी भुगतान टर्मिनल पर भुगतान कर रहे हैं। असल में, आपके कार्ड का विवरण सीधे किसी धोखेबाज़ के नकली पोर्टल पर जा रहा है। एक त्वरित भौतिक जांच – यह देखना कि कोड सपाट है या उस पर कोई परत चढ़ी हुई है – आपको इससे पूरी तरह बचा सकती है।

ईमेल और ऑफिस टूल्स के माध्यम से क्विशिंग

चूंकि लोग आमतौर पर अपने फोन से क्यूआर कोड स्कैन करते हैं, इसलिए उनमें एम्बेड किए गए यूआरएल फ़ायरवॉल और एंडपॉइंट यूआरएल ब्लॉकर्स जैसे डेस्कटॉप सुरक्षा उपकरणों को बायपास कर देते हैं। यह ईमेल के माध्यम से क्यूआर कोड हैकिंग को विशेष रूप से प्रभावी बनाता है। संदेश ऐसा दिखता है मानो यह माइक्रोसॉफ्ट, आपके बैंक, या आपकी कंपनी के आईटी विभाग से आया हो – जिसमें लोगो और पेशेवर फ़ॉर्मेटिंग भी शामिल होती है।

इन क्विशिंग हमलों में से एक महत्वपूर्ण 27% नकली मल्टी-फैक्टर ऑथेंटिकेशन अलर्ट का उपयोग करते हैं: "आपका सत्र समाप्त हो गया है – पुनः सत्यापित करने के लिए स्कैन करें।" यह तात्कालिकता आपको दो बार सोचने से रोकने के लिए तैयार की गई है।

दस्तावेज़ों और भौतिक डाक में छिपे क्यूआर कोड

क्यूआर कोड स्कैन करने के अधिक अनदेखे खतरों में से यह एक है: अकेले मध्य-2024 में पीडीएफ अटैचमेंट में एम्बेड किए गए क्यूआर कोड वाले पचास लाख फ़िशिंग ईमेल का पता चला। दस्तावेज़ वैध लगता है - एक चालान, एक लाभ विवरण, एक डिलीवरी सूचना - और अंदर मौजूद क्यूआर कोड एक सुविधाजनक शॉर्टकट प्रतीत होता है। एफटीसी ने भौतिक मेल घोटालों में भी वृद्धि पर झंडे लगाया है, जहाँ क्यूआर कोड मैलवेयर लिंक नकली पैकेज स्लिप या यूटिलिटी बिलों पर मुद्रित होकर आते हैं।

एआई-संचालित क्विशिंग अभियान

क्विशिंग साइबर सुरक्षा खतरों का सबसे नया और सबसे चिंताजनक विकास AI-जनित फ़िशिंग पेजों से संबंधित है जो असली पेजों से लगभग अलग नहीं किए जा सकते। हमलावर अब मिनटों में एक विश्वसनीय नकली बुकिंग या पेपैल लॉगिन पेज बना सकते हैं, जो एक विशिष्ट लक्ष्य के लिए अनुकूलित, यथार्थवादी ब्रांडिंग और व्यक्तिगत संदेश के साथ होता है। इसने व्यक्तियों और संगठनों दोनों के लिए QR कोड धोखाधड़ी की रोकथाम को काफी कठिन बना दिया है।

लेकिन खतरा नकली लॉगिन पेजों से कहीं ज़्यादा आगे तक जाता है। हमले की प्रक्रिया के हर चरण में अब एआई का उपयोग किया जा रहा है - लक्ष्य चयन से लेकर डिलीवरी और बचाव तक।

• अत्यधिक व्यक्तिगत प्रलोभन। पारंपरिक फ़िशिंग सामान्य चारे पर निर्भर करती थी - "आपका खाता निलंबित कर दिया गया है।" एआई-संचालित अभियान सार्वजनिक रूप से उपलब्ध डेटा का उपयोग करते हैं: आपका नियोक्ता, आपका शहर, आपकी हाल की खरीदारी। परिणाम एक ऐसा क्यूआर कोड घोटाला होता है जो ऐसा लगता है मानो विशेष रूप से आपके लिए लिखा गया हो, क्योंकि एक तरह से, ऐसा ही होता है। एक ऐसे विक्रेता के नाम से एक नकली चालान जिसे आप पहचानते हैं। एक "मिसड डिलीवरी" पर्ची जो आपके वास्तविक पते से मेल खाती है। विशिष्टता का यही स्तर आधुनिक क्विशिंग फिशिंग को एक नज़र में खारिज करना इतना मुश्किल बना देता है।
• वॉयस और डीपफेक सुदृढ़ीकरण। उच्च-मूल्य वाले हमलों में – आमतौर पर वित्त या एचआर के कर्मचारियों को लक्षित करते हुए – अब दुर्भावनापूर्ण क्यूआर कोड से पहले एआई-जनित वॉयस कॉल या डीपफेक वीडियो संदेश भेजे जाते हैं। कॉल विश्वास स्थापित करती है ("हाय, यह आईटी सपोर्ट है – आपको जल्द ही एक सत्यापन कोड मिलेगा"), और कुछ ही पलों बाद ईमेल या एसएमएस द्वारा क्यूआर कोड आ जाता है। जब तक लक्ष्य इसे स्कैन करता है, तब तक उन्हें पहले ही पालन करने के लिए तैयार कर दिया गया होता है।
• बड़े पैमाने पर स्वचालित बुनियादी ढांचा। जिसे पहले स्थापित करने के लिए तकनीकी विशेषज्ञता की आवश्यकता होती थी – जैसे नकली डोमेन, एसएसएल प्रमाणपत्र, एक जैसे दिखने वाली वेबसाइटें – अब उन्हें स्वचालित रूप से बनाया और बदला जा सकता है। हमलावर एक साथ सैकड़ों अल्पकालिक फ़िशिंग पेज तैनात करते हैं, और ब्लॉकलिस्ट से आगे रहने के लिए इतनी तेज़ी से डोमेन बदलते रहते हैं। यही कारण है कि पारंपरिक URL-आधारित सुरक्षा उपकरण संघर्ष करते हैं: जब तक किसी डोमेन को चिह्नित किया जाता है, तब तक उसे पहले ही बदल दिया जाता है।
• डिज़ाइन में अंतर्निहित बचाव। सुरक्षा पहचान पैटर्न पर प्रशिक्षित एआई मॉडल अब विशेष रूप से फ़िल्टर को ट्रिगर करने से बचने के लिए बनाए गए क्यूआर कोड और लैंडिंग पेज उत्पन्न कर सकते हैं। वे उच्च सटीकता के साथ वैध पेजों की दृश्य संरचना की नकल करते हैं – सही फ़ॉन्ट वेट, प्रामाणिक दिखने वाले फ़ॉर्म फ़ील्ड, गलत क्रेडेंशियल दर्ज करने पर यथार्थवादी त्रुटि संदेश (कई पासवर्ड प्रयासों को इकट्ठा करने की एक क्लासिक चाल)।

व्यावहारिक निहितार्थ सीधा है: वे दृश्य और संदर्भगत संकेत जो कभी लोगों को घोटाले की पहचान करने में मदद करते थे, वे अब अविश्वसनीय होते जा रहे हैं। अब केवल दिखावे पर ही नहीं, बल्कि स्रोत के बारे में संदेह ही अधिक महत्वपूर्ण फ़िल्टर है।