کیو آر کوڈ کوئشنگ اسکیم 2026: جعلی کیو آر کوڈ سیکنڈوں میں آپ کی ادائیگی کیسے ہائی جیک کرتا ہے

آپ ایک پارکنگ کی جگہ پر گاڑی لگاتے ہیں، اور میٹر پر ایک صاف ستھرا کیو آر کوڈ ہے جو آپ کو اسکین کر کے فون سے ادائیگی کرنے کو کہتا ہے۔ آپ اسکین کرتے ہیں، ایک جانا پہچانا سا ادائیگی صفحہ کھلتا ہے، آپ اپنا کارڈ نمبر ٹائپ کرتے ہیں اور چلے جاتے ہیں۔ دو دن بعد ایسے چارجز نظر آتے ہیں جو آپ نے کبھی نہیں کیے۔ وہ کوڈ ایک اسٹیکر تھا، جو کسی اجنبی نے اصل کوڈ کے اوپر لگایا تھا، اور آپ نے ابھی اپنا کارڈ ایک کیو آر کوڈ کوئشنگ اسکیم کے حوالے کر دیا۔ یہ اس وقت فشنگ کا سب سے تیزی سے بڑھتا ہوا حربہ ہے: نقطوں کے مربع میں لپٹا ایک نقصان دہ لنک جسے آپ کا اسپیم فلٹر دیکھ ہی نہیں پاتا۔

کوئشنگ اس لیے کام کرتی ہے کیونکہ یہ حملے کو ان چینلز سے ہٹا دیتی ہے جن پر بے اعتباری کرنا ہم سیکھ چکے ہیں، اور اس ایک آلے پر لے آتی ہے جس پر ہم سب سے زیادہ بھروسا کرتے ہیں۔ ای میل گیٹ ویز اور ٹیکسٹ فلٹرز مشکوک یو آر ایل پکڑنے کے لیے تربیت یافتہ ہیں، لیکن کیو آر کوڈ ایک تصویر ہے، اس لیے خطرناک پتہ بغیر پڑھے گزر جاتا ہے۔ 2025 کے ایک دور میں، کیو آر پر مبنی فشنگ ای میلز اگست میں تقریباً 47,000 سے بڑھ کر نومبر میں 249,000 سے زائد ہو گئیں، اور 2025 کے آغاز کے تجزیے نے 4.2 ملین سے زیادہ کیو آر فشنگ خطرات کی نشاندہی کی۔ FBI اور FTC دونوں نے ٹیکسٹ، ای میل اور عوامی مقامات پر غیر تصدیق شدہ کیو آر کوڈز اسکین کرنے کے خلاف صارفین کو انتباہ جاری کیے ہیں۔

فوری جواب

کوئشنگ اسکیم کیا ہے؟ (اور کیو آر کوڈ اسپیم فلٹر کو کیوں مات دیتا ہے)

ایک کوئشنگ اسکیم، جو کیو آر کوڈ فشنگ کا مخفف ہے، لکھے ہوئے لنک کے بجائے ایک اسکین کے قابل کوڈ کے ذریعے فشنگ حملہ پہنچاتی ہے۔ مجرم ایک نقصان دہ ویب پتے کو کیو آر تصویر کے طور پر انکوڈ کرتا ہے اور اسے وہاں رکھتا ہے جہاں آپ کے اسے اسکین کرنے کا امکان ہو: ایک چھپا ہوا اسٹیکر، ایک ٹیکسٹ پیغام، ایک ای میل، ایک فلائر، یا ایک جعلی انوائس۔ جب آپ کا کیمرہ کوڈ پڑھتا ہے، آپ کا فون پتہ کھولنے کی پیشکش کرتا ہے، جو ایک ایسا صفحہ لوڈ کرتا ہے جو کسی بینک، پارسل سروس، ٹول اتھارٹی یا لاگ ان اسکرین جیسا دکھنے کے لیے بنایا گیا ہو۔ اسکین کے بعد سب کچھ عام فشنگ ہے۔ کیو آر کوڈ صرف لپیٹ ہے۔

وہی لپیٹ پورا فائدہ ہے۔ سیکیورٹی ٹولز جو آپ کے ان باکس اور پیغامات کی حفاظت کرتے ہیں، متن میں معروف خراب اور مشکوک یو آر ایل تلاش کرتے ہیں، لیکن وہ اضافی محنت کے بغیر یہ نہیں پڑھ سکتے کہ تصویر کے اندر کیا ہے، اس لیے کیو آر کوڈ میں چھپا لنک اکثر سیدھا گزر جاتا ہے۔ اسکین آپ کو ایک نگرانی والے ورک کمپیوٹر سے ذاتی فون پر بھی لے جاتا ہے، جس میں عموماً کمزور فلٹرنگ اور ایک چھوٹی اسکرین ہوتی ہے جو اصل منزل کو چھپاتی ہے۔ کسی بھی پتے کی مکمل جانچ کے لیے، ہماری رہنمائی کہ کیا کوئی ویب سائٹ جائز ہے، یہاں کی ہر بات کے ساتھ اچھی طرح جڑتی ہے۔

2026 میں جعلی کیو آر کوڈ لوگوں پر جن 6 جگہوں پر حملہ کر رہے ہیں

کوئشنگ وہیں ظاہر ہوتی ہے جہاں کیو آر کوڈ پہلے ہی عام محسوس ہوتا ہے۔ FBI اور FTC کی ہدایات کے مطابق، یہ وہ چھ ماحول ہیں جو 2026 میں سب سے زیادہ رپورٹس کا سبب بن رہے ہیں:

• <strong>پارکنگ میٹرز اور ادائیگی اسٹیشنز۔</strong> اسکیمرز اصل کے اوپر جعلی کوڈ چپکا دیتے ہیں تاکہ آپ کی ادائیگی اور آپ کے کارڈ کی تفصیلات ان کے پاس جائیں۔
• <strong>ریسٹورنٹ اور بار کے مینو۔</strong> میز پر چھیڑ چھاڑ کیا گیا اسٹیکر آپ کو ملتے جلتے مینو یا "اپنا بل ادا کریں" صفحے پر بھیجتا ہے جو آپ کا کارڈ اکٹھا کرتا ہے۔
• <strong>پارسل کی "دوبارہ ترسیل" والے ٹیکسٹ۔</strong> ایک پیغام دعویٰ کرتا ہے کہ ایک پارسل روکا گیا ہے اور ایک کیو آر کوڈ اسے چھوٹی فیس پر دوبارہ شیڈول کرے گا۔ فیس والا صفحہ کارڈ چرا لیتا ہے۔
• <strong>غیر ادا شدہ ٹول نوٹسز۔</strong> ایک ٹیکسٹ یا خط زائد المیعاد ٹول سے خبردار کرتا ہے اور اسے ادا کرنے کے لیے ایک کیو آر کوڈ فراہم کرتا ہے، اصل ٹول ایجنسیوں کی نقل کرتے ہوئے۔
• <strong>انوائس اور رقم کی منتقلی کی درخواستیں۔</strong> ایک جعلی انوائس یا ادائیگی کی درخواست ایک کیو آر کوڈ رکھتی ہے جو آپ کی رقم اور لاگ ان حملہ آور کی طرف بھیج دیتا ہے۔
• <strong>ایونٹ ٹکٹ اور فلائرز۔</strong> ایک پوسٹر یا دوبارہ فروخت کردہ ٹکٹ ایسا کیو آر کوڈ استعمال کرتا ہے جو معلومات چرانے یا جعلی چیک آؤٹ صفحے پر لے جاتا ہے۔

جسمانی اسٹیکر والا ورژن خاص طور پر مہنگا ہے۔ 2025 کے ایک واقعے میں، تقریباً 200 اسٹور مقامات پر جائز کوڈز کے اوپر لگائے گئے جعلی کیو آر اسٹیکرز نے حقیقی اسکینز میں 15٪ کمی اور نقصان کے ازالے کے اخراجات میں تقریباً 2.3 ملین ڈالر کا سبب بنے۔ ایک اسٹیکر چند پیسوں کا ہوتا ہے، اور یہ ایک قابلِ اعتماد سطح کو ادائیگی کے جال میں بدل دیتا ہے۔

کیو آر اسٹیکر کی تبدیلی اور ٹیکسٹ پر مبنی کوئش دراصل کیسے کام کرتے ہیں

دو غالب طریقے ہیں، اور دونوں کو جاننا ہی وہ راستہ ہے جس سے آپ ان سے آگے رہتے ہیں۔ پہلا اسٹیکر کی تبدیلی ہے۔ ایک حملہ آور ایک کیو آر کوڈ چھاپتا ہے جو اس کے زیرِ کنٹرول ڈومین کی طرف اشارہ کرتا ہے، اکثر کسی حقیقی ادائیگی صفحے کی تقریباً بالکل درست نقل، پھر جسمانی طور پر میٹر، مینو یا پوسٹر پر لگے جائز کوڈ کو ڈھانپ دیتا ہے۔ چونکہ ارد گرد کا سائن اصل ہے، آپ کی چوکسی کم رہتی ہے۔ آپ اسکین کرتے ہیں، جعلی صفحہ لوڈ ہوتا ہے، اور آپ کارڈ یا اکاؤنٹ کی تفصیلات درج کرتے ہیں جو سیدھی مجرم کے پاس بہہ جاتی ہیں۔

دوسرا ٹیکسٹ پر مبنی کوئش ہے، جو کلاسک اسمشنگ ٹیکسٹ اسکیمز کا رشتہ دار ہے۔ یہاں کیو آر کوڈ کسی پیغام یا ای میل میں آتا ہے، جلد بازی میں لپٹا ہوا: ایک پارسل ترسیل نہیں ہو سکتا، ایک ٹول زائد المیعاد ہے، ایک اکاؤنٹ کو تصدیق کی ضرورت ہے۔ کیو آر تصویر ان یو آر ایل فلٹرز کو چکما دیتی ہے جو کسی سادہ لنک کو جھنڈا دکھاتے، اور فون کی چھوٹی اسکرین اس بھدے، غلط ہجے والے ڈومین کو چھپا دیتی ہے جس کی طرف کوڈ دراصل اشارہ کرتا ہے۔

خطرے کی علامات: اسکین کرنے سے پہلے جعلی کیو آر کوڈ کیسے پہچانیں

ان میں سے کوئی ایک بھی رکنے کی وجہ ہے۔ دو یا زیادہ ایک ساتھ ہونے کا مطلب ہے کہ آپ تقریباً یقیناً ایک کیو آر کوڈ کوئشنگ اسکیم دیکھ رہے ہیں۔

• <strong>اسٹیکر کے اوپر اسٹیکر۔</strong> اکھڑتے کنارے، ٹیڑھا بیٹھا کوڈ، یا ایک کیو آر لیبل جو اس سائن سے میل نہ کھائے جس پر وہ لگا ہے۔
• <strong>ایک غیر متوقع ادائیگی یا لاگ ان کا تقاضا۔</strong> ایک انعام، پارسل فیس، یا ایک ٹول جسے ادا کرنے کی آپ کو پہلے سے توقع نہ تھی۔
• <strong>میل نہ کھاتا پیش نظارہ یو آر ایل۔</strong> اسکین کے بعد، پتہ ایک مختصر شدہ لنک، غلط ہجے والا برانڈ، یا ایک ایسا ڈومین ہے جس کا مقام یا کمپنی سے کوئی تعلق نہیں۔
• <strong>جلد بازی اور دھمکیاں۔</strong> "آخری نوٹس،" "اکاؤنٹ بند کر دیا جائے گا،" یا ایک الٹی گنتی جو آپ کو ابھی ادائیگی پر دھکیلے۔
• <strong>ٹیکسٹ، ڈی ایم یا ای میل سے بھیجا گیا کوڈ۔</strong> حقیقی کیریئرز اور ٹول ایجنسیاں عموماً آپ کو رقم اکٹھی کرنے کے لیے کیو آر کوڈ ٹیکسٹ نہیں کرتیں۔
• <strong>ایک بار استعمال ہونے والے پاس کوڈ کی درخواست۔</strong> کوئی جائز ادائیگی صفحہ آپ سے وہ کوڈ دہرانے کو نہیں کہتا جو آپ کے بینک نے ابھی بھیجا ہے۔

کوئی کیو آر کوڈ یا ٹیکسٹ میں لنک ملا جو کچھ گڑبڑ لگ رہا ہے؟ ٹیپ کرنے یا ادائیگی سے پہلے اسے Truvizy پر اسکین کریں۔

Truvizy کیو آر کوڈ کوئشنگ اسکیمز کا پتہ کیسے لگاتا ہے

کوئشنگ میں خطرناک لمحہ وہ سیکنڈ ہے جو کوڈ اسکین کرنے اور اپنا کارڈ ٹائپ کرنے کے درمیان ہوتا ہے، اور بالکل یہیں Truvizy مدد کے لیے بنایا گیا ہے۔ جب کوئی کیو آر کوڈ آپ کو کسی مشکوک صفحے پر بھیجے، یا جب کوئی ٹیکسٹ کوڈ اور پارسل یا ٹول کی کہانی لے کر آئے، تو آپ اسے آنکھیں بند کر کے بھروسا کرنے کے بجائے وہ پیغام یا لنک Truvizy کی AI پر مبنی تشخیص کے حوالے کر سکتے ہیں۔ Truvizy کا کثیر پرتی تجزیہ منزل اور پیغام کو معروف اسکیم پیٹرنز کے مقابلے میں تولتا ہے، تاکہ آپ کے فون سے کوئی تفصیل نکلنے سے پہلے آپ کو ایک واضح فیصلہ مل جائے۔

وہی ابتدائی جانچ اصل نکتہ ہے۔ ایک کوئشنگ صفحہ اصل چیز جیسا بالکل دکھنے کے لیے ڈیزائن کیا جاتا ہے، اور چھوٹی اسکرین وہ نشانیاں چھپا دیتی ہے جو اسے ڈیسک ٹاپ پر بے نقاب کر دیتیں۔ مشکوک پیغام یا لنک truvizy.app پر جمع کرائیں، اور Truvizy آپ کو بتائے گا کہ آیا آپ کو کسی جعلی ادائیگی یا لاگ ان صفحے کی طرف دھکیلا جا رہا ہے، جبکہ آپ اب بھی صاف بچ کر جا سکتے ہیں۔ ایسے سال میں جب کیو آر فشنگ آن لائن سب سے تیزی سے بڑھتے خطرات میں سے ایک ہے، اسکین کرنے سے پہلے تصدیق کرنا کندھے اچکانے اور چوری شدہ کارڈ کے درمیان فرق ہے۔

اگر آپ نے جعلی کیو آر کوڈ اسکین کر لیا تو کیا کریں

اگر آپ نے صرف کوڈ اسکین کیا اور کچھ درج کیے بغیر صفحہ بند کر دیا، تو آپ تقریباً یقیناً ٹھیک ہیں۔ پیغام حذف کریں اور آگے بڑھ جائیں۔ اگر آپ نے تفصیلات درج کیں، تو تیزی سے حرکت کریں اور خود کو مورد الزام نہ ٹھہرائیں، کیونکہ یہ اسکیمیں محتاط لوگوں کو بھی مات دینے کے لیے بنائی گئی ہیں۔

فوراً اپنے بینک یا کارڈ جاری کنندہ کو کال کریں۔ ٹرانزیکشن کو فراڈ کے طور پر رپورٹ کریں، چھوٹی "فیسوں" سمیت کسی بھی چارج کو چیلنج کریں، اور مزید بلنگ روکنے کے لیے نیا کارڈ نمبر مانگیں۔ وفاقی چارج بیک حقوق کریڈٹ کارڈ پر آپ کا سب سے مضبوط تحفظ ہیں۔

جس بھی اکاؤنٹ میں آپ لاگ ان ہوئے اسے مقفل کریں۔ اصل سائٹ پر پاس ورڈ تبدیل کریں، ٹو فیکٹر تصدیق آن کریں، اور کبھی بھی کسی لاگ ان درخواست کو منظور نہ کریں یا کسی ایسے شخص کو ایک بار استعمال ہونے والا کوڈ نہ بتائیں جو بعد میں آپ کو کال کر کے مدد کا دعویٰ کرے۔

اس کی اطلاع دیں۔ FTC کو reportfraud.ftc.gov اور FBI کے انٹرنیٹ کرائم کمپلینٹ سینٹر کو ic3.gov پر شکایت درج کرائیں، جو ان ڈیٹا بیسز کو فیڈ کرتے ہیں جنہیں تفتیش کار استعمال کرتے ہیں۔ اگر کوئی جعلی اسٹیکر کسی عوامی میٹر یا مینو پر تھا، تو کاروبار کو بتائیں تاکہ وہ اسے ہٹا کر اگلے شخص کی حفاظت کر سکیں۔

ماہرانہ تجزیہ نوٹ: کوئشنگ ایک محدود حربے سے مرکزی دھارے کے فراڈ چینل میں منتقل ہو چکی ہے کیونکہ یہ ایک ایسے خلا کا فائدہ اٹھاتی ہے جسے بند کرنے کے لیے ای میل اور ٹیکسٹ فلٹرز کبھی ڈیزائن ہی نہیں کیے گئے تھے، یعنی ایک تصویر کے اندر چھپا نقصان دہ پتہ۔ اس کی 2025 میں دھماکہ خیز نمو، تقریباً پانچ گنا، روزمرہ ادائیگیوں کے موبائل فونز کی طرف منتقل ہونے کے ساتھ مطابقت رکھتی ہے، جہاں چھوٹی اسکرینیں منزل کو چھپاتی ہیں اور بھروسا زیادہ ہوتا ہے۔ Truvizy کا کردار احتیاطی ہے: اسکین اور ادائیگی سے پہلے کوڈ یا پیغام کی تصدیق کریں، کیونکہ ایک بار کارڈ نمبر کسی جعلی صفحے میں ٹائپ ہو جائے تو نقصان عموماً ہو چکا ہوتا ہے۔

اکثر پوچھے جانے والے سوالات

کوئشنگ کیا ہے اور یہ عام فشنگ سے کیسے مختلف ہے؟

کوئشنگ ایسی فشنگ ہے جو قابلِ کلک لنک کے بجائے کیو آر کوڈ کے ذریعے پہنچائی جاتی ہے۔ چونکہ نقصان دہ پتہ ایک تصویر کے طور پر انکوڈ ہوتا ہے، یہ ان اسپیم اور لنک فلٹرز سے بچ نکلتا ہے جو ای میل اور ٹیکسٹ میں معروف خراب یو آر ایل تلاش کرتے ہیں۔ جب آپ کوڈ اسکین کرتے ہیں، آپ کا فون ایک جعلی ادائیگی یا لاگ ان صفحہ کھول دیتا ہے۔ مقصد فشنگ جیسا ہی ہے، لیکن کیو آر تصویر وہ بھیس ہے جو اسے آپ تک پہنچاتا ہے۔

کیا کیو آر کوڈ اسکین کرنا واقعی میری معلومات چرا سکتا ہے؟

صرف اسکین کرنا عموماً بس ایک ویب صفحہ کھولتا ہے، لیکن وہی صفحہ جال ہے۔ ایک کوئشنگ صفحہ کسی حقیقی بینک، ٹول یا پارسل سائٹ کی نقل کرتا ہے اور آپ کا کارڈ نمبر، لاگ ان یا ایک بار استعمال ہونے والا کوڈ مانگتا ہے۔ جس لمحے آپ یہ تفصیلات درج کرتے ہیں، مجرم انہیں پکڑ لیتے ہیں۔ FTC کے مطابق، اسکیمرز نقصان دہ لنکس کو کیو آر کوڈز میں اسی لیے چھپاتے ہیں تاکہ آپ کو ان سائٹس پر بھیجیں جو آپ کی معلومات چرانے کے لیے بنائی گئی ہیں۔

میں کیسے جانوں کہ پارکنگ میٹر یا مینو پر لگا کیو آر کوڈ جعلی ہے؟

اصل کوڈ کے اوپر لگے اسٹیکر، اکھڑتے کناروں، یا ایسے کوڈ کو تلاش کریں جو مقام کی برانڈنگ سے میل نہ کھاتا ہو۔ اسکین کرنے کے بعد، لوڈ ہونے سے پہلے یو آر ایل کا پیش نظارہ دیکھیں: ایک جائز پارکنگ یا مینو لنک سرکاری ڈومین استعمال کرتا ہے، نہ کہ مختصر شدہ یا غلط ہجے والا۔ اگر صفحہ فوراً کوئی ایسی ادائیگی یا لاگ ان مانگے جس کی آپ کو توقع نہ تھی تو اسے بند کر دیں۔ شک ہونے پر مشین پر ادائیگی کریں یا عملے سے اصل لنک پوچھیں۔

کیا وہ "پارسل کی دوبارہ ترسیل" یا "غیر ادا شدہ ٹول" والا کیو آر ٹیکسٹ اسکیم ہے؟

تقریباً ہمیشہ، ہاں۔ جائز کیریئرز اور ٹول ایجنسیاں پارسل چھڑانے یا چارج صاف کرنے کے لیے چھوٹی فیس مانگتا کیو آر کوڈ ٹیکسٹ نہیں بھیجتیں۔ یہ پیغامات جلد بازی کا فائدہ اٹھاتے ہیں تاکہ آپ کو اسکین اور ادائیگی کی طرف دھکیلیں۔ FBI بارہا غیر متوقع ٹیکسٹ میں کیو آر کوڈز سے خبردار کر چکی ہے۔ اسے اسکین نہ کریں۔ تصدیق کے لیے براہِ راست کیریئر یا ٹول اتھارٹی کی سرکاری ایپ یا ویب سائٹ پر جائیں۔

اگر میں کیو آر کوڈ اسکین کرنے کے بعد اپنی تفصیلات پہلے ہی درج کر چکا ہوں تو مجھے کیا کرنا چاہیے؟

تیزی سے عمل کریں۔ اپنے بینک یا کارڈ جاری کنندہ کو کال کریں، ٹرانزیکشن کو فراڈ کے طور پر رپورٹ کریں، کسی بھی چارج کو چیلنج کریں، اور نیا کارڈ نمبر مانگیں۔ جعلی صفحے پر جس بھی اکاؤنٹ میں لاگ ان ہوئے اس کا پاس ورڈ تبدیل کریں اور ٹو فیکٹر تصدیق آن کریں۔ بعد میں آنے والی اسکیم کالز یا پیغامات پر نظر رکھیں، اور فراڈ کی اطلاع FTC کو reportfraud.ftc.gov اور FBI کو ic3.gov پر دیں۔

کیو آر کوڈ اسکیمز: اسکیننگ آپ کا بینک اکاؤنٹ کیسے خالی کر سکتی ہے — کیو آر کوڈ فراڈ کا وسیع تر منظرنامہ اور خود کو کیسے محفوظ رکھیں

اسمشنگ ٹیکسٹ اسکیمز: جعلی ٹیکسٹ پیغام کیسے پہچانیں — اسکیم ٹیکسٹ کیوں کام کرتے ہیں اور ہر مشکوک ایس ایم ایس میں خطرے کی علامات

کیا یہ ویب سائٹ جائز ہے؟ کسی بھی یو آر ایل کو چیک کرنے کے 7 مفت طریقے — اپنی تفصیلات درج کرنے سے پہلے کسی بھی لنک یا منزل کی تصدیق کریں