QR कोड स्कैम (Quishing): सादी नज़र में छिपा खतरा

आप एक पार्किंग गैरेज में जाते हैं, भुगतान कियोस्क पर QR कोड स्कैन करते हैं, और अपनी जगह के लिए भुगतान करने के लिए क्रेडिट कार्ड दर्ज करते हैं। लेनदेन सफल लगता है। उस शाम बाद में, आपका बैंक विदेश से तीन धोखाधड़ी के आरोपों के बारे में कॉल करता है। आपने कार्ड किसी को नहीं दिया। आपने किसी संदिग्ध ईमेल पर क्लिक नहीं किया। आपने जो किया वह बस एक QR कोड स्कैन किया, और वह काफी था। Quishing में आपका स्वागत है: सबसे तेज़ी से बढ़ता हुआ स्कैम जिसके बारे में अधिकांश लोगों ने कभी नहीं सुना।

QR कोड सुविधा के लिए बनाए गए थे, स्कैन करें और जाएँ। लेकिन वही घर्षण-रहित अनुभव जो उन्हें व्यवसायों के लिए आकर्षक बनाता है, स्कैमर्स के हाथों में उन्हें खतरनाक भी बनाता है। एक संदिग्ध ईमेल लिंक के विपरीत जिस पर आप पूर्वावलोकन देखने के लिए होवर कर सकते हैं, एक QR कोड तब तक कुछ नहीं बताता जब तक आप पहले से अपना कैमरा उस पर नहीं लगा चुके हों। जब तक आप गंतव्य URL देखते हैं, कई पीड़ित पहले से 'खोलें' पर टैप कर चुके होते हैं। वही विभाजित-सेकंड अंतराल है जो quishing का फायदा उठाता है।

Quishing क्या है?

Quishing, 'QR' और 'phishing' का संयोजन, QR कोड के अंदर दुर्भावनापूर्ण URL एम्बेड करके पीड़ितों को धोखाधड़ी वाली वेबसाइटों पर रीडायरेक्ट करने की प्रथा है। स्कैम कई रूप ले सकता है: सार्वजनिक स्थानों में एक वैध कोड को नकली स्टिकर से भौतिक रूप से बदलना, ईमेल या टेक्स्ट के माध्यम से QR कोड भेजना जो पारंपरिक स्पैम फ़िल्टर को बाईपास करते हैं, या नकली दस्तावेज़ (इनवॉइस, पार्किंग उद्धरण, पार्सल नोटिस) बनाना जो धोखाधड़ी वाले कोड को प्रमुखता से प्रदर्शित करते हैं।

FBI के इंटरनेट क्राइम कंप्लेंट सेंटर ने 2024 में quishing को एक उभरती प्राथमिकता खतरे के रूप में चिह्नित किया, और तब से संख्याएँ केवल बिगड़ी हैं। साइबर सुरक्षा फर्मों ने 2024 और 2025 के बीच QR कोड-आधारित फ़िशिंग हमलों में 587% की वृद्धि दर्ज की। यह तकनीक संगठित धोखाधड़ी रिंग के बीच लोकप्रिय हो गई है क्योंकि इसे निष्पादित करना सस्ता है, बड़े पैमाने पर पहचानना कठिन है, और विशेष रूप से ईमेल सुरक्षा उपकरणों को दरकिनार करने के लिए इंजीनियर किया गया है जो छवि-एम्बेडेड URL नहीं पढ़ सकते।

Quishing स्कैम रणनीति में मोबाइल-फर्स्ट हमलों की ओर एक व्यापक बदलाव का हिस्सा है। जैसा कि हमने AI स्कैम परिष्कार को कैसे तेज़ कर रहा है के विश्लेषण में दर्ज किया, धोखेबाज़ विशेष रूप से उन उपकरणों और आदतों को लक्षित कर रहे हैं जिन्हें लोगों ने स्मार्टफोन युग में अपनाया है, और QR कोड पिछले पाँच वर्षों की सबसे व्यापक रूप से अपनाई गई मोबाइल आदतों में से एक है।

QR कोड स्कैम कैसे काम करते हैं

Quishing हमले के यांत्रिकी भ्रामक रूप से सरल हैं। एक हमलावर एक QR कोड उत्पन्न करता है जो एक दुर्भावनापूर्ण URL को एन्कोड करता है, आमतौर पर बैंक लॉगिन पेज, भुगतान पोर्टल, या सरकारी सेवा का एक क्लोन संस्करण। नकली पेज वैध पेज के समान दिखने के लिए डिज़ाइन किया गया है, पीड़ित द्वारा दर्ज किसी भी क्रेडेंशियल या भुगतान जानकारी को कैप्चर करता है।

भौतिक हमलों में, स्कैमर धोखाधड़ी कोड को एक स्टिकर पर प्रिंट करता है और इसे पार्किंग मीटर, रेस्तरां टेबल टेंट, या सार्वजनिक बुलेटिन बोर्ड पर वैध कोड के ऊपर रखता है। स्विच में सेकंड लगते हैं। हमलावर फिर क्षेत्र छोड़ सकता है और दूरस्थ रूप से चोरी किए गए डेटा को एकत्र कर सकता है। एक व्यस्त पार्किंग मीटर पर एक अच्छी तरह से रखा गया स्टिकर प्रतिदिन दर्जनों पीड़ितों को पकड़ सकता है।

ईमेल-आधारित quishing एक अलग नियमपुस्तिका का पालन करता है। हमलावर बैंकों, HR विभागों, या पार्सल वाहकों का प्रतिरूपण करते हुए संदेश भेजते हैं, जो दावा करते हैं कि प्राप्तकर्ता को अपने खाते को सत्यापित करने या डिलीवरी ट्रैक करने की आवश्यकता है, और 'अतिरिक्त सुरक्षा के लिए अपने फोन से स्कैन करें' के लिए एक QR कोड शामिल करते हैं। यह निर्देश जानबूझकर है: बातचीत को मोबाइल डिवाइस पर ले जाना पीड़ित को उसके सुरक्षा उपकरणों वाले कॉर्पोरेट कंप्यूटर से दूर और कम सुरक्षा वाले व्यक्तिगत फोन पर ले जाता है।

नकली पेज पर पहुँचने पर, पीड़ित एक पॉलिश्ड क्रेडेंशियल-हार्वेस्टिंग फॉर्म का सामना करता है। अधिक उन्नत हमले वास्तविक-समय रिले तकनीकों का उपयोग करते हैं: जैसे ही पीड़ित अपना उपयोगकर्ता नाम और पासवर्ड दर्ज करता है, हमलावर उन क्रेडेंशियल को वास्तविक वेबसाइट में एक साथ डालता है, फिर दो-कारक प्रमाणीकरण संकेत को पीड़ित को वापस रिले करता है, 2FA सुरक्षा को पूरी तरह बाईपास करता है।

QR कोड के लिंक के बारे में अनिश्चित हैं? कोई भी जानकारी दर्ज करने से पहले फ़िशिंग संकेतकों की जाँच के लिए URL को Truvizy में पेस्ट करें।

नकली QR कोड कहाँ दिखाई देते हैं

पार्किंग मीटर और भुगतान कियोस्क अमेरिका में सबसे अधिक लक्षित स्थानों में से हैं। टेक्सास परिवहन विभाग ने 2024 में प्रमुख शहरों में पार्किंग मीटर पर दर्जनों नकली QR कोड स्टिकर का दस्तावेज़ीकरण किया। पीड़ितों ने पार्किंग के लिए भुगतान की उम्मीद में पूरे क्रेडिट कार्ड विवरण दर्ज किए और इसके बजाय अपने वित्तीय डेटा को सीधे स्कैमर्स को सौंप दिया। स्कैम विशेष रूप से काम करता है क्योंकि पार्किंग भुगतान तनावपूर्ण है, ड्राइवर अक्सर जल्दी में होते हैं और भुगतान इंटरफेस को ध्यान से जाँचते नहीं।

रेस्तरां टेबल टेंट और मेनू महामारी के बाद संपर्क रहित भोजन के प्रसार के साथ एक प्रमुख वेक्टर बन गए। एक वैध कोड के ऊपर या बगल में रखा धोखाधड़ी QR कोड वाला स्टिकर भोजनकर्ताओं को नकली मेनू या भुगतान पेज पर रीडायरेक्ट कर सकता है। कुछ मामलों में, नकली पेज क्रेडेंशियल-हार्वेस्टिंग फॉर्म पर रीडायरेक्ट करने से पहले एक विश्वासोत्पादक मेनू भी प्रदर्शित करता है जो दावा करता है कि रेस्तरां ने ऑनलाइन ऑर्डरिंग पर स्विच किया।

पार्सल वापसी लेबल एक तेज़ी से बढ़ती हमले श्रेणी का प्रतिनिधित्व करते हैं। पीड़ितों को पार्सल मिलते हैं, कभी-कभी अनचाहे, कभी-कभी नकली पुरस्कार अभियान के भाग के रूप में, QR कोड के साथ वापसी लेबल वाले। कोड स्कैन करने से माना जाता है कि वापसी शुरू होती है लेकिन इसके बजाय एक नकली रिटेलर पोर्टल की ओर ले जाती है जो 'रिफंड प्रोसेसिंग' के बहाने क्रेडिट कार्ड जानकारी माँगती है।

सार्वजनिक परिवहन और बस स्टॉप महत्वपूर्ण जोखिम रखते हैं क्योंकि साइनेज सीमित निगरानी क्षमता वाले नगर पालिकाओं द्वारा प्रबंधित होती है। ट्रांजिट मानचित्रों, टिकटिंग कियोस्क, या किराया भुगतान स्क्रीन पर धोखाधड़ी कोड हटाए जाने से पहले दिनों तक अनदेखे रह सकते हैं। यूके में, Transport for London ने 2025 में स्टेशनों से सैकड़ों धोखाधड़ी QR कोड हटाए।

ईमेल और दस्तावेज़-आधारित हमले उपभोक्ताओं जितना व्यवसायों को लक्षित करते हैं। 'सुरक्षित भुगतान' के लिए QR कोड वाले नकली इनवॉइस, कर्मचारियों को पेरोल जानकारी अपडेट करने के लिए कोड स्कैन करने की आवश्यकता वाली धोखाधड़ी HR सूचनाएँ, और नकली पार्सल डिलीवरी नोटिस सभी सामान्य एंटरप्राइज़ हमले वेक्टर हैं। जैसा कि फ़िशिंग ईमेल पहचान के हमारे गाइड में चर्चा की गई है, ईमेल-आधारित हमले स्वचालित फ़िल्टरिंग से बचने के लिए दृश्य तत्वों के उपयोग में अधिक परिष्कृत हो रहे हैं।

नकली दान और धन संग्रह पर्चे उदारता का फायदा उठाते हैं। प्राकृतिक आपदाओं या बड़े समाचार घटनाओं के बाद, दान QR कोड वाले धोखाधड़ी पर्चे सामुदायिक बुलेटिन बोर्डों, सुपरमार्केट में और सोशल मीडिया पर दिखाई देते हैं। कोड विश्वासोत्पादक नकली दान भुगतान पेजों से लिंक करते हैं जो वास्तविक दान किए बिना दान और कार्ड विवरण कैप्चर करते हैं।

QR स्कैम इतने प्रभावी क्यों हैं

Quishing की प्रभावशीलता एक मौलिक भरोसे की असमानता से उत्पन्न होती है। QR कोड सुविधा और आधुनिकता से जुड़े हैं, उन्हें आधिकारिक सामग्री पर वैध व्यवसायों द्वारा रखा जाता है। लोगों को वर्षों के उपयोग से QR कोड के भौतिक संदर्भ पर एक यादृच्छिक ईमेल लिंक की तुलना में अधिक भरोसा करने के लिए प्रशिक्षित किया गया है। एक रेस्तरां टेबल या पार्किंग मीटर पर एक कोड स्थान से एक अंतर्निहित समर्थन लेता है।

कैमरा ऐप न्यूनतम घर्षण प्रदान करते हैं। अधिकांश स्मार्टफोन स्वचालित रूप से QR कोड पहचानते हैं और एक छोटी URL पूर्वावलोकन प्रदर्शित करते हैं जिसे उपयोगकर्ता बिना पढ़े सहज रूप से खारिज कर देते हैं। पूर्वावलोकन विंडो छोटी है, URL अक्सर लंबी या छोटी होती है, और मस्तिष्क की प्राकृतिक पैटर्न-मिलान प्रवृत्ति का मतलब है कि उपयोगकर्ता अक्सर वह देखते हैं जो वे उम्मीद करते हैं बजाय वहाँ वास्तव में क्या है। एक URL जैसे 'secure-payment-parkingzone.com' एक विचलित उपयोगकर्ता के लिए 'parking' पढ़ता है, भले ही यह एक सावधान व्यक्ति के लिए खतरे का संकेत देता है।

मोबाइल संदर्भ उन कई सुरक्षा उपकरणों को भी हटाता है जो लोगों के पास डेस्कटॉप कंप्यूटर पर होते हैं। कॉर्पोरेट एंडपॉइंट सुरक्षा, फ़िशिंग साइटों को चिह्नित करने वाले ब्राउज़र एक्सटेंशन, और उन्हें पूर्वावलोकन करने के लिए लिंक पर होवर करने की आदत मोबाइल पर अनुवादित नहीं होती। फोन पर, उपयोगकर्ता काफी हद तक अपने दम पर होता है।

नकली QR कोड कैसे पहचानें

कोड को भौतिक रूप से जाँचें। मुद्रित सामग्री के ऊपर रखे स्टिकर देखें। नकली स्टिकर में अक्सर थोड़ा अलग पेपर स्टॉक, आसपास के डिज़ाइन तत्वों के साथ हल्की गलत संरेखण, या दिखाई देने वाले किनारे होते हैं जहाँ स्टिकर मुद्रित टेक्स्ट को ओवरलैप करता है। सतह पर अपनी नाखून चलाएँ, एक स्तरित स्टिकर में आमतौर पर एक सूक्ष्म उभरा हुआ किनारा होगा।

टैप करने से पहले पूरा URL पढ़ें। आपका कैमरा एक कोड स्कैन करने के बाद, एक पूर्वावलोकन सूचना या बैनर दिखाई देता है। उस पर टैप करने से पहले रुकें और पूरा URL पढ़ें। देखें: डोमेन में अपेक्षित व्यवसाय का नाम (प्रत्यय या उपसर्ग नहीं), एक वैध शीर्ष-स्तरीय डोमेन (.com,.gov,.org, असामान्य एक्सटेंशन जैसे.xyz या.top नहीं), और ब्रांड नाम जैसे दिखने वाली चीज़ पर 'secure', 'login', 'verify', या 'payment' जैसे अतिरिक्त शब्दों की अनुपस्थिति।

तात्कालिकता के प्रति संदेहास्पद रहें। 'तुरंत स्कैन करें', 'सीमित समय की पेशकश', या 'पहुँच के लिए आवश्यक' जैसी भाषा के साथ कोड आपको सोचने से पहले कार्य करने के लिए इंजीनियर किए गए हैं। वैध व्यवसाय आमतौर पर QR भुगतान कोड के आसपास तत्काल, उच्च-दबाव वाली भाषा का उपयोग नहीं करते।

आधिकारिक चैनलों के साथ क्रॉस-रेफरेंस करें। किसी ईमेल या दस्तावेज़ से QR कोड स्कैन करने से पहले जो दावा करता है कि यह आपके बैंक, HR विभाग, या एक वाहक से है, उनकी आधिकारिक वेबसाइट या ऐप के माध्यम से सीधे संपर्क करके जाँचें कि उस संगठन ने वास्तव में संचार भेजा था। उसी संदेश में दिए गए संपर्क जानकारी का कभी उपयोग न करें जिसमें QR कोड है। संदिग्ध लिंक और अज्ञात स्रोतों से सामग्री का मूल्यांकन करने के लिए, Truvizy का स्कैनिंग टूल किसी भी कार्रवाई के लिए प्रतिबद्ध होने से पहले जोखिम का आकलन करने में आपकी मदद कर सकता है।

उपलब्ध होने पर विकल्प का उपयोग करें। यदि QR कोड पार्किंग मीटर या कियोस्क पर एकमात्र भुगतान विकल्प है, तो भौतिक कार्ड स्लॉट का उपयोग करने, एक सत्यापित ऐप स्टोर से डाउनलोड किए गए एक समर्पित आधिकारिक ऐप के माध्यम से भुगतान करने, या कोई अन्य तरीका खोजने पर विचार करें। जब भुगतान या व्यक्तिगत जानकारी शामिल हो तो सुविधा कभी भी सुरक्षा से ऊपर नहीं होनी चाहिए।

अगर आप ठगे गए तो क्या करें

यदि आपने एक कोड स्कैन किया, लिंक खोला, और जानकारी दर्ज की, जल्दी कार्य करें। देरी का हर मिनट हमलावर को आपके डेटा का उपयोग करने के लिए अधिक समय देता है।

यदि आपने भुगतान कार्ड विवरण दर्ज किए: तुरंत अपने बैंक की धोखाधड़ी लाइन पर कॉल करें (अपने कार्ड के पीछे के नंबर का उपयोग करें, संदिग्ध साइट से किसी नंबर का नहीं)। कार्ड फ्रीज या प्रतिस्थापन का अनुरोध करें। बैंक से आपके द्वारा जानकारी दर्ज करने के क्षण से किसी भी शुल्क को चिह्नित करने के लिए कहें।

यदि आपने लॉगिन क्रेडेंशियल दर्ज किए: किसी अलग, विश्वसनीय डिवाइस से तुरंत अपना पासवर्ड बदलें। यदि यह अभी तक सक्रिय नहीं है तो दो-कारक प्रमाणीकरण सक्षम करें। खाते में लॉग इन किसी भी अपरिचित डिवाइस या सत्र की जाँच करें और उन्हें हटाएँ। यदि आप कहीं और एक ही पासवर्ड का उपयोग करते हैं, उन्हें भी बदलें।

तीन प्रमुख ब्यूरो में से एक (Equifax, Experian, TransUnion) के साथ अपनी क्रेडिट फ़ाइल पर धोखाधड़ी अलर्ट लगाएँ, यह अन्य दो को स्वचालित रूप से सूचित करता है। यदि आपको लगता है कि आपकी पहचान समझौता की गई है, तो क्रेडिट फ्रीज़ पर विचार करें, जो मुफ्त है और आपके नाम पर नए खाते खोलने से रोकता है। पहचान चोरी की रोकथाम पर हमारा व्यापक गाइड पूरी वसूली प्रक्रिया को विस्तार से कवर करता है।

AI-संचालित धोखाधड़ी पहचान के साथ QR कोड स्कैम और अन्य मोबाइल खतरों से खुद को बचाएँ।

आगे खुद को सुरक्षित रखना

सबसे महत्वपूर्ण आदत है टैप करने से पहले रुकें। Quishing का पूरा डिज़ाइन इस तथ्य पर निर्भर करता है कि QR स्कैनिंग स्वचालित और तत्काल लगती है। उस स्वचालित प्रतिक्रिया को तोड़ना, URL पढ़ने के लिए दो सेकंड के लिए भी, हमले को बाधित करता है। इसे एक नियम बनाएँ: पहले URL पूर्वावलोकन, दूसरा खोलें।

एक समर्पित QR स्कैनर ऐप का उपयोग करें जो डीकोड किए गए URL पर वास्तविक समय सुरक्षा जाँच करता है इससे पहले कि आप उसे प्रस्तुत करें। ये ऐप्स, प्रमुख सुरक्षा विक्रेताओं से मुफ्त में उपलब्ध, आपके स्कैन वर्कफ़्लो में निर्मित URL-चेकर की तरह काम करते हैं। ये क्लिक करने से पहले किसी लिंक पर होवर करने के मोबाइल समकक्ष हैं।

अपने फोन के OS और ब्राउज़र को अपडेट रखें। सुरक्षा पैच अक्सर उन कमज़ोरियों को बंद करते हैं जो drive-by download हमले एक दुर्भावनापूर्ण साइट पर जाने पर इस्तेमाल करते हैं। बिना पैच वाला फोन quishing हमले के दूसरे चरण के प्रति काफी अधिक संवेदनशील है, भले ही आपके क्रेडेंशियल सुरक्षित रहें।

एक प्रमाणीकरण ऐप का उपयोग करके दो-कारक प्रमाणीकरण सक्षम करें, SMS नहीं। जैसा कि हमने smishing और टेक्स्ट स्कैम पर अपने गाइड में नोट किया है, SMS-आधारित 2FA को इंटरसेप्ट किया जा सकता है। एक प्रमाणीकरण ऐप आपके डिवाइस पर स्थानीय रूप से कोड उत्पन्न करता है, जिससे वास्तविक-समय रिले हमले काफी कठिन हो जाते हैं।

जहाँ भी आप पाएँ संदिग्ध कोड की रिपोर्ट करें। यदि आप सार्वजनिक QR कोड पर एक स्टिकर देखते हैं जो संदिग्ध लगता है, तो स्थान की फोटो खींचें और व्यवसाय या स्थानीय अधिकारियों को रिपोर्ट करें। घंटों के भीतर एक दुर्भावनापूर्ण स्टिकर हटाने से दर्जनों अन्य संभावित पीड़ितों की रक्षा हो सकती है।

QR कोड कहीं नहीं जा रहे, और न ही उनका फायदा उठाने वाले स्कैमर्स। जैसे-जैसे संपर्क रहित भुगतान, डिजिटल मेनू और मोबाइल-फर्स्ट सेवाएँ दैनिक जीवन में अधिक एम्बेडेड होती हैं, quishing अधिक परिष्कृत और अधिक व्यापक होगा। इसका इलाज जागरूकता है: यह जानना कि कोई भी भौतिक QR कोड बदला जा सकता है, ईमेल में कोई भी कोड कहीं भी लिंक कर सकता है, और टैप करने से पहले एक URL पढ़ने में लगने वाले दो सेकंड वे दो सेकंड हो सकते हैं जो आपको एक बहुत महंगा सबक से बचाते हैं।

Truvizy की सुरक्षा योजनाओं में संदिग्ध URL और लिंक का विश्लेषण करने के लिए उपकरण शामिल हैं, किसी भी QR कोड से डीकोड किए गए URL को खोलने से पहले Truvizy में पेस्ट करें और इसकी वैधता का तत्काल AI-संचालित मूल्यांकन प्राप्त करें। एक खतरे के परिदृश्य में जहाँ स्कैमर्स छवियों के अंदर दुर्भावनापूर्ण लिंक छिपा रहे हैं, एक उपकरण जो वास्तविक गंतव्य की जाँच करता है वह अब वैकल्पिक नहीं है, यह आवश्यक है।

स्मिशिंग: आपके बैंक से वह टेक्स्ट संभवतः एक स्कैम क्यों है — टेक्स्ट-आधारित फ़िशिंग जो quishing के समान मनोवैज्ञानिक नियमपुस्तिका साझा करती है।

फ़िशिंग ईमेल पहचान — ईमेल-आधारित हमलों की पहचान कैसे करें, जिनमें वे भी शामिल हैं जो फ़िल्टर को बाईपास करने के लिए QR कोड का उपयोग करते हैं।

सोशल इंजीनियरिंग हमले — quishing और सभी आधुनिक स्कैम के पीछे मनोवैज्ञानिक हेरफेर तकनीकें।