QR कोड क्विशिंग स्कैम 2026: कैसे एक नकली QR कोड कुछ ही सेकंड में आपका भुगतान हड़प लेता है

आप एक पार्किंग स्पॉट में गाड़ी लगाते हैं, और मीटर पर एक सुथरा सा QR कोड लगा है जो कहता है कि स्कैन करके फ़ोन से भुगतान करें। आप स्कैन करते हैं, एक जाना-पहचाना सा दिखने वाला भुगतान पेज खुलता है, आप अपना कार्ड नंबर टाइप करते हैं, और चले जाते हैं। दो दिन बाद ऐसे चार्ज दिखते हैं जो आपने कभी किए ही नहीं। वह कोड एक स्टिकर था, जिसे किसी अजनबी ने असली कोड के ऊपर लगा दिया था, और आपने अभी-अभी अपना कार्ड एक QR कोड क्विशिंग स्कैम को सौंप दिया। यह इस समय फ़िशिंग की सबसे तेज़ी से बढ़ती चाल है: बिंदुओं के एक वर्ग के अंदर मुड़ा हुआ एक खतरनाक लिंक जिसे आपका स्पैम फ़िल्टर देख तक नहीं पाता।

क्विशिंग इसलिए काम करती है क्योंकि यह हमले को उन चैनलों से हटा देती है जिन पर हमने संदेह करना सीख लिया है और उस एक डिवाइस पर ले आती है जिस पर हमें सबसे ज़्यादा भरोसा है। ईमेल गेटवे और टेक्स्ट फ़िल्टर संदिग्ध URL पकड़ने के लिए प्रशिक्षित होते हैं, पर QR कोड एक तस्वीर है, इसलिए खतरनाक पता बिना पढ़े ही अंदर घुस जाता है। 2025 के एक दौर में, QR-आधारित फ़िशिंग ईमेल अगस्त में करीब 47,000 से बढ़कर नवंबर में 249,000 से ज़्यादा हो गए, और 2025 की शुरुआत के विश्लेषण ने 4.2 मिलियन से अधिक QR फ़िशिंग खतरों की पहचान की। FBI और FTC दोनों ने उपभोक्ताओं को टेक्स्ट, ईमेल और सार्वजनिक स्थानों पर बिना सत्यापन वाले QR कोड स्कैन करने के खिलाफ़ अलर्ट जारी किए हैं।

त्वरित उत्तर

क्विशिंग स्कैम क्या है? (और क्यों एक QR कोड स्पैम फ़िल्टर को हरा देता है)

एक क्विशिंग स्कैम, जो QR कोड फ़िशिंग का संक्षिप्त रूप है, किसी लिखे हुए लिंक के बजाय एक स्कैन करने योग्य कोड के ज़रिए फ़िशिंग हमला पहुँचाता है। अपराधी एक खतरनाक वेब पते को QR तस्वीर के रूप में एन्कोड करता है और उसे ऐसी जगह रखता है जहाँ आप उसे स्कैन कर सकते हैं: एक छपा हुआ स्टिकर, एक टेक्स्ट संदेश, एक ईमेल, एक फ़्लायर, या एक नकली चालान। जब आपका कैमरा कोड पढ़ता है, तो फ़ोन उस पते को खोलने की पेशकश करता है, जो एक बैंक, पार्सल सेवा, टोल प्राधिकरण या लॉगिन स्क्रीन जैसा दिखने के लिए बना पेज लोड करता है। स्कैन के बाद सब कुछ साधारण फ़िशिंग है। QR कोड तो बस लपेटन है।

वही लपेटन पूरा फायदा है। जो सुरक्षा उपकरण आपके इनबॉक्स और संदेशों की रक्षा करते हैं, वे ज्ञात-खराब और संदिग्ध URL के लिए टेक्स्ट स्कैन करते हैं, पर वे बिना अतिरिक्त मेहनत के किसी तस्वीर के अंदर का पता नहीं पढ़ सकते, इसलिए QR कोड में छिपा लिंक अक्सर सीधा निकल जाता है। स्कैन आपको एक निगरानी वाले वर्क कंप्यूटर से एक निजी फ़ोन पर भी छलांग करा देता है, जिसमें आमतौर पर कमज़ोर फ़िल्टरिंग और एक छोटी स्क्रीन होती है जो असली गंतव्य छिपा देती है। किसी भी पते को परखने के पूरे तरीके के लिए, हमारी गाइड क्या यह वेबसाइट असली है यहाँ बताई हर बात के साथ अच्छी तरह मेल खाती है।

2026 में जिन 6 जगहों पर नकली QR कोड लोगों पर हमला कर रहे हैं

क्विशिंग वहीं दिखती है जहाँ QR कोड पहले से ही सामान्य लगता है। FBI और FTC की सलाहों के अनुसार, 2026 में सबसे ज़्यादा रिपोर्ट लाने वाली ये छह जगहें हैं:

• <strong>पार्किंग मीटर और भुगतान स्टेशन।</strong> ठग असली कोड के ऊपर एक नकली कोड चिपका देते हैं ताकि आपका भुगतान, और आपके कार्ड की जानकारी, उन तक पहुँच जाए।
• <strong>रेस्टोरेंट और बार के मेन्यू।</strong> छेड़छाड़ किया हुआ टेबल स्टिकर आपको एक हूबहू दिखने वाले मेन्यू या "अपना बिल चुकाएँ" पेज पर भेजता है जो आपका कार्ड चुरा लेता है।
• <strong>पार्सल की "फिर से डिलीवरी" वाले टेक्स्ट।</strong> एक संदेश दावा करता है कि पार्सल रोका गया है और एक QR कोड छोटी सी फ़ीस पर उसकी डिलीवरी दोबारा तय करेगा। फ़ीस वाला पेज कार्ड चुरा लेता है।
• <strong>बकाया टोल की सूचनाएँ।</strong> एक टेक्स्ट या पत्र किसी बकाया टोल की चेतावनी देता है और उसे चुकाने के लिए QR कोड देता है, असली टोल एजेंसियों की नकल करते हुए।
• <strong>चालान और ई-ट्रांसफ़र अनुरोध।</strong> एक नकली चालान या भुगतान अनुरोध एक QR कोड रखता है जो आपका पैसा और लॉगिन हमलावर तक पहुँचा देता है।
• <strong>इवेंट टिकट और फ़्लायर।</strong> एक पोस्टर या दोबारा बेचा गया टिकट एक QR कोड का उपयोग करता है जो एक क्रेडेंशियल चुराने वाले या नकली चेकआउट पेज पर ले जाता है।

भौतिक स्टिकर वाला रूप खासतौर पर महँगा है। 2025 के एक मामले में, करीब 200 स्टोर स्थानों पर वैध कोड के ऊपर लगाए गए नकली QR स्टिकरों ने असली स्कैन में 15% की गिरावट और करीब 23 लाख डॉलर की क्षति-नियंत्रण लागत पैदा की। एक स्टिकर की कीमत कौड़ियों में होती है, और यह एक भरोसेमंद सतह को भुगतान के जाल में बदल देता है।

QR स्टिकर स्वैप और टेक्स्ट-आधारित क्विश असल में कैसे काम करते हैं

दो प्रमुख तरीके हैं, और दोनों को जानना ही इनसे आगे रहने का रास्ता है। पहला है स्टिकर स्वैप। एक हमलावर एक QR कोड छापता है जो उसके नियंत्रण वाले डोमेन की ओर इशारा करता है, अक्सर किसी असली भुगतान पेज की करीब-करीब हूबहू नकल, फिर किसी मीटर, मेन्यू या पोस्टर पर लगे वैध कोड को भौतिक रूप से ढक देता है। चूँकि आसपास का साइनबोर्ड असली है, आपकी सतर्कता ढीली रहती है। आप स्कैन करते हैं, नकली पेज लोड होता है, और आप कार्ड या खाते की जानकारी भरते हैं जो सीधे अपराधी तक पहुँच जाती है।

दूसरा है टेक्स्ट-आधारित क्विश, जो पुराने स्मिशिंग टेक्स्ट स्कैम का चचेरा भाई है। यहाँ QR कोड किसी संदेश या ईमेल में आता है, जल्दबाज़ी में लिपटा हुआ: एक पार्सल डिलीवर नहीं हो सकता, एक टोल बकाया है, एक खाते को सत्यापन चाहिए। QR तस्वीर उन URL फ़िल्टरों को चकमा दे जाती है जो एक साधारण लिंक को पकड़ लेते, और फ़ोन की छोटी स्क्रीन उस भद्दे, गलत वर्तनी वाले डोमेन को छिपा देती है जिसकी ओर कोड असल में इशारा करता है।

चेतावनी के संकेत: स्कैन करने से पहले नकली QR कोड कैसे पहचानें

इनमें से कोई एक भी रुकने की वजह है। दो या ज़्यादा एक साथ हों तो इसका मतलब है कि आप लगभग पक्के तौर पर एक QR कोड क्विशिंग स्कैम देख रहे हैं।

• <strong>स्टिकर के ऊपर स्टिकर।</strong> उखड़ते किनारे, टेढ़ा बैठा कोड, या ऐसा QR लेबल जो जिस साइन पर लगा है उससे मेल न खाता हो।
• <strong>एक अनपेक्षित भुगतान या लॉगिन माँग।</strong> एक इनाम, एक पार्सल फ़ीस, या एक टोल जिसे चुकाने की आपने पहले से उम्मीद नहीं की थी।
• <strong>एक बेमेल प्रीव्यू URL।</strong> स्कैन के बाद, पता एक छोटा किया हुआ लिंक, एक गलत वर्तनी वाला ब्रांड, या ऐसा डोमेन है जिसका उस जगह या कंपनी से कोई लेना-देना नहीं।
• <strong>जल्दबाज़ी और धमकियाँ।</strong> "अंतिम सूचना," "खाता बंद कर दिया जाएगा," या एक उलटी गिनती जो आपको अभी भुगतान करने के लिए धकेलती है।
• <strong>टेक्स्ट, DM या ईमेल से भेजा गया कोड।</strong> असली कूरियर और टोल एजेंसियाँ आमतौर पर पैसे वसूलने के लिए आपको QR कोड टेक्स्ट नहीं करतीं।
• <strong>वन-टाइम पासकोड की माँग।</strong> कोई भी वैध भुगतान पेज आपसे वह कोड पढ़कर बताने को नहीं कहता जो आपके बैंक ने अभी-अभी आपको टेक्स्ट किया है।

किसी टेक्स्ट में कोई QR कोड या लिंक मिला जो कुछ ठीक न लगे? टैप करने या भुगतान करने से पहले उसे Truvizy पर स्कैन करें।

Truvizy QR कोड क्विशिंग स्कैम का पता कैसे लगाता है

क्विशिंग में खतरनाक पल वह सेकंड होता है जो कोड स्कैन करने और अपना कार्ड टाइप करने के बीच होता है, और ठीक वहीं मदद के लिए Truvizy बना है। जब कोई QR कोड आपको एक संदिग्ध पेज पर भेजता है, या जब कोई टेक्स्ट किसी कोड और पार्सल या टोल की कहानी के साथ आता है, तो आप उस संदेश या लिंक पर आँख मूँदकर भरोसा करने के बजाय उसे Truvizy की AI-संचालित पहचान को सौंप सकते हैं। Truvizy का बहु-परत विश्लेषण गंतव्य और संदेश को ज्ञात स्कैम पैटर्न के मुकाबले तौलता है, ताकि आपकी कोई भी जानकारी आपके फ़ोन से निकलने से पहले आपको एक स्पष्ट फ़ैसला मिल जाए।

वही जल्दी की जाँच ही पूरा मकसद है। एक क्विशिंग पेज असली चीज़ जैसा हूबहू दिखने के लिए बनाया जाता है, और छोटी स्क्रीन उन संकेतों को छिपा देती है जो एक डेस्कटॉप पर उसकी पोल खोल देते। संदिग्ध संदेश या लिंक को truvizy.app पर सबमिट करें, और Truvizy आपको बता देगा कि आपको किसी नकली भुगतान या लॉगिन पेज की ओर धकेला जा रहा है या नहीं, जबकि आप अभी भी साफ़ बचकर निकल सकते हैं। जिस साल QR फ़िशिंग ऑनलाइन सबसे तेज़ी से बढ़ते खतरों में से एक है, स्कैन करने से पहले सत्यापन करना ही कंधे उचकाने और चुराए गए कार्ड के बीच का फ़र्क है।

अगर आपने नकली QR कोड स्कैन कर लिया तो क्या करें

अगर आपने सिर्फ़ कोड स्कैन किया और कुछ भी भरे बिना पेज बंद कर दिया, तो आप लगभग पक्के तौर पर ठीक हैं। संदेश हटा दें और आगे बढ़ें। अगर आपने जानकारी भर दी है, तो तेज़ी से काम करें और खुद को दोष न दें, क्योंकि ये स्कैम सावधान लोगों को भी हराने के लिए बनाए गए हैं।

तुरंत अपने बैंक या कार्ड जारीकर्ता को कॉल करें। लेनदेन को धोखाधड़ी के रूप में रिपोर्ट करें, छोटी "फ़ीस" समेत किसी भी चार्ज पर विवाद उठाएँ, और आगे की बिलिंग रोकने के लिए एक नया कार्ड नंबर माँगें। क्रेडिट कार्ड पर संघीय चार्जबैक अधिकार आपकी सबसे मज़बूत सुरक्षा हैं।

जिस भी खाते में आपने लॉगिन किया उसे सुरक्षित करें। असली साइट पर पासवर्ड बदलें, टू-फ़ैक्टर ऑथेंटिकेशन चालू करें, और उसके बाद मदद का दावा करते हुए कॉल करने वाले किसी भी व्यक्ति को कभी कोई लॉगिन प्रॉम्प्ट मंज़ूर न करें या वन-टाइम कोड पढ़कर न बताएँ।

इसकी रिपोर्ट करें। FTC को reportfraud.ftc.gov पर और FBI इंटरनेट क्राइम कंप्लेंट सेंटर को ic3.gov पर शिकायत दर्ज करें, जो जाँचकर्ताओं द्वारा उपयोग किए जाने वाले डेटाबेस को भरते हैं। भारत में, I4C के राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल पर भी रिपोर्ट करें। अगर किसी सार्वजनिक मीटर या मेन्यू पर नकली स्टिकर लगा था, तो कारोबार को बताएँ ताकि वे उसे हटा सकें और अगले व्यक्ति की रक्षा कर सकें।

विशेषज्ञ विश्लेषण नोट: क्विशिंग एक छोटी सी चाल से बढ़कर मुख्यधारा का धोखाधड़ी चैनल बन गई है क्योंकि यह उस खाई का फायदा उठाती है जिसे बंद करने के लिए ईमेल और टेक्स्ट फ़िल्टर कभी बनाए ही नहीं गए थे, एक तस्वीर के अंदर छिपा एक खतरनाक पता। इसकी 2025 की विस्फोटक वृद्धि, करीब पाँच गुना, रोज़मर्रा के भुगतानों के मोबाइल फ़ोन पर स्थानांतरण के साथ चलती है, जहाँ छोटी स्क्रीनें गंतव्य छिपा देती हैं और भरोसा ऊँचा रहता है। Truvizy की भूमिका निवारक है: स्कैन और भुगतान करने से पहले कोड या संदेश को सत्यापित करें, क्योंकि एक बार कार्ड नंबर किसी नकली पेज में टाइप हो जाए, तो नुकसान आमतौर पर हो ही चुका होता है।

अक्सर पूछे जाने वाले सवाल

क्विशिंग क्या है और यह सामान्य फ़िशिंग से कैसे अलग है?

क्विशिंग वह फ़िशिंग है जो क्लिक करने योग्य लिंक के बजाय QR कोड के ज़रिए पहुँचाई जाती है। चूँकि खतरनाक पता एक तस्वीर के रूप में एन्कोड होता है, यह उन स्पैम और लिंक फ़िल्टरों से बच जाता है जो ईमेल और टेक्स्ट में ज्ञात खराब URL खोजते हैं। जब आप कोड स्कैन करते हैं, तो आपका फ़ोन एक नकली भुगतान या लॉगिन पेज खोलता है। मकसद फ़िशिंग जैसा ही है, पर QR तस्वीर वह भेस है जो इसे आप तक पहुँचा देता है।

क्या QR कोड स्कैन करने से सचमुच मेरी जानकारी चोरी हो सकती है?

अकेले स्कैन करने से आमतौर पर सिर्फ़ एक वेब पेज खुलता है, पर वही पेज जाल है। एक क्विशिंग पेज किसी असली बैंक, टोल या पार्सल साइट की नकल करता है और आपका कार्ड नंबर, लॉगिन या वन-टाइम कोड माँगता है। जिस पल आप ये जानकारी टाइप करते हैं, अपराधी उन्हें पकड़ लेते हैं। FTC के अनुसार, ठग जानबूझकर QR कोड में हानिकारक लिंक छिपाते हैं ताकि आपको ऐसी साइटों पर भेजा जा सके जो आपकी जानकारी चुराने के लिए बनी हैं। भारत में, यदि आपको धोखा हुआ है तो CERT-In और भारतीय साइबर अपराध समन्वय केंद्र (I4C) के राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल पर भी शिकायत दर्ज करें।

मैं कैसे जानूँ कि पार्किंग मीटर या मेन्यू पर लगा QR कोड नकली है?

असली कोड के ऊपर लगे किसी स्टिकर, उखड़ते किनारों, या किसी ऐसे कोड की तलाश करें जो जगह की ब्रांडिंग से मेल न खाता हो। स्कैन करने के बाद, लोड होने से पहले प्रीव्यू URL जाँचें: एक वैध पार्किंग या मेन्यू लिंक आधिकारिक डोमेन का उपयोग करता है, किसी छोटे किए हुए या गलत वर्तनी वाले डोमेन का नहीं। अगर पेज तुरंत भुगतान या ऐसा लॉगिन माँगता है जिसकी आपने उम्मीद नहीं की थी, तो उसे बंद कर दें। संदेह होने पर मशीन पर भुगतान करें या स्टाफ़ से असली लिंक माँगें।

क्या "पार्सल की फिर से डिलीवरी" या "बकाया टोल" वाला QR टेक्स्ट एक स्कैम है?

लगभग हमेशा, हाँ। वैध कूरियर कंपनियाँ और टोल एजेंसियाँ किसी पार्सल को छुड़ाने या शुल्क चुकाने के लिए छोटी सी रकम माँगते हुए QR कोड टेक्स्ट नहीं करतीं। ये संदेश जल्दबाज़ी का फायदा उठाकर आपको स्कैन करने और भुगतान करने के लिए दबाव डालते हैं। FBI ने अनपेक्षित टेक्स्ट में QR कोड के बारे में बार-बार चेतावनी दी है, और CERT-In भी ऐसे संदेशों की जाँच किए बिना स्कैन न करने की सलाह देता है। इसे स्कैन न करें। जाँच के लिए सीधे कूरियर या टोल प्राधिकरण के आधिकारिक ऐप या वेबसाइट पर जाएँ।

अगर मैंने QR कोड स्कैन करने के बाद पहले ही अपनी जानकारी भर दी है तो मुझे क्या करना चाहिए?

तेज़ी से काम करें। अपने बैंक या कार्ड जारीकर्ता को कॉल करें, लेनदेन को धोखाधड़ी के रूप में रिपोर्ट करें, किसी भी शुल्क पर विवाद उठाएँ, और नया कार्ड नंबर माँगें। नकली पेज पर आपने जिस भी खाते में लॉगिन किया, उसका पासवर्ड बदलें और टू-फ़ैक्टर ऑथेंटिकेशन चालू करें। बाद में आने वाली धोखाधड़ी की कॉल या संदेशों से सावधान रहें, और धोखाधड़ी की रिपोर्ट FTC को reportfraud.ftc.gov पर और FBI को ic3.gov पर करें। भारत में, I4C के राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल पर भी शिकायत दर्ज करें।

QR कोड स्कैम: कैसे स्कैनिंग आपका बैंक खाता खाली कर सकती है — QR कोड धोखाधड़ी का व्यापक परिदृश्य और खुद को कैसे बचाएँ

स्मिशिंग टेक्स्ट स्कैम: एक नकली टेक्स्ट संदेश कैसे पहचानें — स्कैम टेक्स्ट क्यों काम करते हैं और हर संदिग्ध SMS में चेतावनी के संकेत

क्या यह वेबसाइट असली है? किसी भी URL को जाँचने के 7 मुफ़्त तरीके — अपनी जानकारी भरने से पहले किसी भी लिंक या गंतव्य को सत्यापित करें