QR کوڈ دھوکہ: 2026 میں کیا نہ اسکین کریں

وبائی مرض کے بعد QR کوڈز ہر جگہ ظاہر ہوئے, ریستوران مینو، پارکنگ میٹر، دکان کی ونڈو، ڈاک کی اشیاء, اور دھوکے بازوں نے دیکھ لیا۔ QR کوڈ دھوکہ، یا 'کوئشنگ'، بدنیت URL کو QR کوڈ میں ڈال کر اسے وہاں رکھنا یا بھیجنا ہے جہاں جائز کوڈز پہلے سے موجود ہیں اور لوگوں نے ان پر بھروسہ کرنا سیکھ لیا ہے۔

جو چیز کوئشنگ کو خاص طور پر خطرناک بناتی ہے وہ معیاری سیکیورٹی حفاظتی اقدامات کو نظرانداز کرنا ہے۔ ای میلز اور ٹیکسٹس میں لنکس سپیم فلٹرز اور اینٹی وائرس سافٹ ویئر کے ذریعے اسکین کیے جاتے ہیں۔ QR کوڈز نہیں۔ وہ تصاویر ہیں اور ان کا مواد تب تک غیر مرئی ہے جب تک آپ انہیں اسکین نہ کریں اور آپ کا فون URL ظاہر نہ کرے۔

QR فشنگ (کوئشنگ) کیا ہے؟

کوئشنگ QR فشنگ ہے: دھوکے باز متنی لنکس کی بجائے بدنیت URLs کو QR تصاویر میں انکوڈ کرتے ہیں۔ جب آپ کوڈ اسکین کرتے ہیں تو آپ کا فون آپ کو فشنگ سائٹ، بدنیت ڈاؤن لوڈ یا دھوکہ دہی کی ادائیگی صفحے پر ری ڈائریکٹ کرتا ہے۔

یہ تکنیک کئی وجوہات سے خاص طور پر مؤثر ہے: لوگ عادت کی وجہ سے QR کوڈز پر بھروسہ کرتے ہیں، اسکین تک URL چھپا رہتا ہے، زیادہ تر موبائل براؤزر مختصر URLs دکھاتے ہیں جس سے بدنیت ڈومینز کا پتہ لگانا مشکل ہوتا ہے، اور کارپوریٹ نیٹ ورک سیکیورٹی تحفظ اکثر QR مواد کا تجزیہ نہیں کرتے۔

QR دھوکے کہاں ظاہر ہوتے ہیں: 6 ہائی رسک مقامات

1. پارکنگ میٹر اور نشانات اہم ہدف ہیں۔ دھوکے باز جائز ادائیگی کوڈز کے اوپر QR اسٹیکرز لگاتے ہیں۔ متاثرین سوچتے ہیں وہ پارکنگ کی ادائیگی کر رہے ہیں؛ بجائے اس کے وہ دھوکے بازوں کو پیسے بھیج رہے ہیں یا فشنگ سائٹس پر ادائیگی کی تفصیلات داخل کر رہے ہیں۔

2. ریستوران مینو QR کوڈز کے ساتھ کمزور ہیں کیونکہ گاہک ان پر اسکین کرنے کی توقع رکھتے ہیں۔ دستاویزی حملوں میں جائز کوڈز کے اوپر جسمانی اسٹیکرز یا قریب رکھی جعلی پرنٹ آؤٹس شامل ہیں۔

3. ای میل اور وِشنگ (فون دھوکہ), دھوکے باز ای میلز میں متنی لنکس کی جگہ QR کوڈز کا استعمال بڑھا رہے ہیں، یہ جانتے ہوئے کہ سیکیورٹی فلٹرز تصاویر کو خراب طریقے سے سنبھالتے ہیں۔ کاروباری ای میلز پہلی مشق ہیں: جعلی انوائس، سپلائر اپ ڈیٹ یا مالی فارم 'تصدیق' کے لیے QR کوڈز رکھتے ہیں۔

4. خطوط اور ڈاکی اشیاء, جسمانی ڈاک اب QR دھوکہ پہنچانے کے لیے استعمال ہوتی ہے۔ عام طور پر یہ سرکاری ایجنسیوں، بینکوں یا سروس فراہم کنندگان کی سرکاری نوٹس کی طرح لگتی ہے۔ غیر مطلوب ڈاک جو 'اپنا اکاؤنٹ تصدیق کرنے' کے لیے QR کوڈ اسکین کرنے کا مطالبہ کرے سرخ نشان ہے۔

5. ڈیلیوری اور پارسل نوٹس, جعلی پارسل اطلاعات جسمانی نوٹس یا SMS کے طور پر بھیجی جاتی ہیں جن میں فشنگ ٹریکنگ صفحات کی طرف لے جانے والے QR کوڈز ہوتے ہیں۔

6. کریپٹو اور سرمایہ کاری دھوکے, دھوکے باز ATM مشینوں کے پاس QR کوڈز رکھتے ہیں یہ دعوی کرتے ہوئے کہ 'جمع کرنے کے لیے اسکین کریں'۔ کوڈ ایک دھوکہ دہی والے والیٹ پر ری ڈائریکٹ کرتا ہے۔

اسکین کرنے سے پہلے QR کوڈ کیسے جانچیں

QR کوڈ کیا انکوڈ کرتا ہے جاننے کا واحد طریقہ اسے اسکین کرنا اور جانے سے پہلے URL پیش نظارہ جانچنا ہے۔ آپ کا پروٹوکول یہ ہے:

مرحلہ 1: ایسا اسکینر استعمال کریں جو جانے سے پہلے URL پیش نظارہ دکھائے۔ زیادہ تر معیاری کیمرہ اسکینرز URL دکھاتے ہیں۔ کچھ خاص QR اسکینر ایپس براہ راست جاتی ہیں, انہیں گریز کریں۔

مرحلہ 2: پیش نظارہ میں مکمل ڈومین پڑھیں۔ ڈومین حصہ 'https://' اور اگلے '/' کے درمیان ہے۔ parking-pay.govsite.com کے لیے اصل ڈومین govsite.com ہے parking-pay نہیں۔

مرحلہ 3: پوچھیں کہ کیا ڈومین آپ کی توقعات سے میل کھاتا ہے۔ ریستوران QR مینو کو ریستوران کی ویب سائٹ پر لے جانا چاہیے۔ پارکنگ QR کوڈ کو معروف پارکنگ آپریٹر پر لے جانا چاہیے۔ اگر یہ مختصر URL یا نامعلوم ڈومین پر لے جاتا ہے تو نہ جائیں۔

حقیقی دنیا کے QR کوڈز کے سرخ نشانات

یہ علامات بتاتی ہیں کہ جسمانی QR کوڈ کے ساتھ چھیڑ چھاڑ یا اسے بدلا گیا ہو سکتا ہے:

اصل کوڈز کے اوپر اسٹیکرز: پارکنگ مشینوں یا نشانات پر اسٹیکر کے کونے اٹھائیں۔ دھوکے باز اپنے کوڈز جائز کوڈز کے براہ راست اوپر چپکاتے ہیں۔

خراب سیدھ یا بگڑا ہوا نظارہ: کوڈز جو تھوڑے ترچھے، سکڑے ہوئے، یا عام کاغذ پر چھپے ہوئے اوپر لگائے گئے لگتے ہیں، مشکوک ہیں۔

غیر متوقع سیاق: ATM سے چپکا QR کوڈ، سڑک کے کھمبے پر چپکا، یا غیر مطلوب ڈاک میں شامل کا کوئی جائز سیاق نہیں ہے۔

URL سیاق سے میل نہیں کھاتا: ریستوران مینو جو payme-secure.xyz پر لے جائے یا پارکنگ نشان جو parking-verify.net پر لے جائے واضح علامات ہیں۔

QR دھوکے کے ذریعے حملہ آور کیا چراتے ہیں

QR دھوکے ہدف کے سیاق کے لحاظ سے مختلف قسم کی قیمتی معلومات کو نشانہ بناتے ہیں۔ پارکنگ QR دھوکے باز کریڈٹ کارڈ اور ادائیگی والیٹ کی تفصیلات حاصل کرتے ہیں۔ کاروباری QR دھوکے اکثر B2B سائبر حملوں کے لیے کارپوریٹ تفصیلات کو نشانہ بناتے ہیں۔ سرکاری ایجنسیوں کا بھیس بنانے والے دھوکے باز سوشل سیکیورٹی نمبر یا پاسپورٹ کی تفصیلات حاصل کرتے ہیں۔ جعلی لاگ ان صفحات مزید غیر مجاز رسائی کے لیے صارف نام اور پاس ورڈ اکٹھا کرتے ہیں۔

اگر آپ پہلے ہی مشکوک کوڈ اسکین کر چکے ہیں

اگر آپ نے QR کوڈ اسکین کیا اور کچھ غلط لگ رہا ہے:

جس صفحے پر آپ گئے وہاں کوئی ڈیٹا داخل نہ کریں چاہے یہ جائز لگے۔

براؤزر بند کریں اور براؤزنگ ڈیٹا صاف کریں (Settings > Safari یا Chrome > Clear Browsing Data)۔

فون پر سیکیورٹی اسکین چلائیں۔ موبائل کے لیے زیادہ تر جائز اینٹی وائرس سافٹ ویئر مفت ہے۔

اگر آپ نے ادائیگی کی تفصیلات داخل کیں تو فوری طور پر اپنے بینک یا کارڈ جاری کنندہ کو کال کریں اور کارڈ منجمد کریں۔

اگر آپ نے کارپوریٹ تفصیلات داخل کیں تو فوری IT سے رابطہ کریں اور پاس ورڈ تبدیل کریں۔ ممکنہ خلاف ورزی کو محدود کرنے کے لیے VPN کے ذریعے رسائی حاصل کریں۔

محفوظ اسکیننگ کی عادات

چند استعمال کے بعد محفوظ اسکیننگ کی عادات فطری ہو جاتی ہیں:

ہمیشہ جانے سے پہلے URL کا پیش نظارہ کریں, کبھی اندھا دھند نہیں۔

عوامی مقامات پر کوڈز کی جسمانی سالمیت جانچیں۔ اگر اسٹیکر یا چھیڑ چھاڑ کی علامات ہیں, اسکین نہ کریں۔

ڈاک سے غیر مطلوب QR کوڈز کے بارے میں ڈیفالٹ شک کریں, غیر درخواست شدہ خطوط یا نامعلوم رابطوں سے۔

شک ہو تو براہ راست URL استعمال کریں۔ اگر کسی ریستوران یا کاروبار کی ویب سائٹ ہے تو اسکین کرنے کی بجائے پتہ براہ راست داخل کریں۔