QR-koodihuijaus: näin tunnistat ansan ja skannaat turvallisesti

Olet maksamassa pysäköintiä, kun maksuautomaatin kyljessä oleva QR-tarra lupaa hoitaa asian nopeasti. QR-koodihuijaus tarkoittaa sitä, että rikollinen ohjaa koodin avulla väärennetylle verkkosivulle, kalastelulomakkeeseen tai maksupalveluun. Koodin skannaaminen ei itsessään yleensä tartuta puhelimeen haittaohjelmaa, mutta avattu linkki voi johtaa tietojen tai rahojen menetykseen. Tarkista osoite, maksun saaja ja pyydetyt tiedot ennen kuin jatkat.

Miten QR-koodihuijaus toimii?

QR-koodi on kaksiulotteinen viivakoodi, joka voi sisältää tekstin, yhteystiedon tai verkkolinkin. Puhelimen kamera tai erillinen lukija purkaa koodin sisällön ja näyttää usein linkin, jonka käyttäjä voi avata. Koodi itsessään ei kerro, kuka sen on tehnyt tai onko sen sisältämä kohde luotettava.

Huijari voi tulostaa aidon koodin päälle oman tarransa tai lähettää koodin sähköpostissa, tekstiviestissä tai kirjeessä. Koodin takana oleva sivu voi jäljitellä pysäköintipalvelua, ravintolan ruokalistaa, kuljetusyhtiötä tai pankin kirjautumista. Sivusto saattaa näyttää vakuuttavalta, vaikka sen osoite on vain hieman oikeasta poikkeava.

Riski syntyy tavallisesti siitä, mitä teet skannauksen jälkeen: annat korttitiedot, kirjaudut sisään tai lataat sovelluksen. QR-koodin lukeminen ei tavallisesti käynnistä maksua tai anna puhelimelle pääsyä tietoihin ilman erillistä hyväksyntää. Pysähdy siis ennen linkin avaamista ja varsinkin ennen tietojen syöttämistä.

Yleisimmät QR-koodiansat arjessa

Pysäköintimaksu

Pysäköintialueella oleva väärennetty tarra voi ohjata sivulle, joka pyytää rekisteritunnusta ja maksukortin tietoja. Huijari voi kiirehtiä päätöstä väittämällä, että maksu on suoritettava heti tai muuten seuraa sakko. Tarkista, että ohjeet ja palvelun nimi vastaavat maksupisteen virallisia tietoja.

Jos alueella on automaatti, käytä sen näytössä tai virallisessa kyltissä annettuja ohjeita. Voit myös etsiä palvelun sovelluskaupasta itse sen sijaan, että lataat koodin tarjoaman sovelluksen. Epäilyttävästä tai irtonaiselta näyttävästä tarrasta kannattaa kertoa pysäköinnin ylläpitäjälle.

Ravintolan ruokalista

Ravintolan pöydän QR-koodi voi viedä ruokalistaan, mutta huijari voi liimata aidon koodin päälle linkin sivulle, joka pyytää maksutietoja tai kirjautumista. Pelkkä ruokalistan katselu ei yleensä edellytä tilin luomista, korttitietoja tai sovelluksen asentamista. Jos sivu pyytää yllättäviä tietoja, kysy henkilökunnalta painettua listaa tai oikeaa osoitetta.

Pakettiviesti tai toimitusilmoitus

Kirjeessä tai viestissä oleva koodi voi väittää, että paketti odottaa tullimaksua, toimitusajan vahvistusta tai pientä lisämaksua. Tällainen viesti voi käyttää tuttua kuljetusyhtiön nimeä, mutta pyyntö ja linkki voivat olla huijausta. Älä skannaa odottamatonta koodia vain siksi, että lähetys vaikuttaa kiireelliseltä.

Siirry kuljetusyhtiön sivulle itse kirjoittamalla sen osoite selaimeen tai käyttämällä aiemmin asennettua virallista sovellusta. Syötä seurantatunnus itse ja tarkista ilmoitus sitä kautta. Lisää neuvoja epäilyttävien viestien tunnistamiseen löydät oppaasta huijausviestien tunnistamisesta.

Väärennetty kirjautumissivu

QR-koodia voidaan käyttää kirjautumisen aloittamiseen, esimerkiksi työpaikan palvelussa tai tapahtumassa. Huijaussivu voi jäljitellä Microsoftin, Googlen tai pankin kirjautumista ja pyytää salasanaa sekä kertakäyttökoodia. Tarkista verkkotunnus huolellisesti ja vältä kirjautumista sivulle, jonka osoite tuli odottamattomasta koodista.

Tarkistuslista ennen linkin avaamista tai maksamista

Käy nämä kohdat läpi joka kerta, kun koodi johtaa verkkosivulle tai maksupyyntöön:

1. Tarkista ympäristö. Katso, onko koodi kiinteä osa kylttiä vai erillinen tarra sen päällä. Vaurio, päälle liimattu paperi tai epäsiisti painatus ei todista huijausta, mutta on syy tarkistaa asia henkilökunnalta tai palveluntarjoajalta.
2. Lue esikatselussa näkyvä osoite. Älä avaa linkkiä ennen kuin olet vilkaissut verkkotunnusta. Kirjoitusvirhe, ylimääräinen sana tai pääte, joka ei kuulu palvelulle, voi paljastaa jäljitelmän.
3. Varmista palvelu itsenäisesti. Etsi palveluntarjoajan virallinen verkkosivu tai avaa sen ennestään tuttu sovellus. Älä käytä koodissa tai viestissä annettuja yhteystietoja varmennukseen.
4. Mieti, mitä tietoja pyydetään. Ruokalista ei tarvitse pankkitunnuksiasi, eikä paketin seuranta yleensä edellytä sähköpostisalasanaa. Pysähdy, jos pyyntö ei sovi tilanteeseen.
5. Tarkista maksun tiedot. Varmista maksunsaaja, summa ja tarkoitus ennen hyväksymistä. Pieneltä näyttävä maksu voi olla keino saada korttitiedot tai käynnistää toistuvia veloituksia.
6. Älä asenna koodin ehdottamaa ohjelmaa kiireessä. Hae sovellus itse puhelimen virallisesta sovelluskaupasta ja tarkista kehittäjän nimi. Älä asenna tuntemattomia tiedostoja verkkosivulta.

HTTPS-lukon näkyminen selaimessa tarkoittaa, että yhteys sivustoon on salattu; se ei todista sivustoa aidoksi. Myös huijaussivusto voi käyttää salausta. Siksi osoitteen ja pyynnön arviointi on tärkeämpää kuin pelkkä lukon tarkistaminen.

Näin skannaat QR-koodin turvallisemmin

Puhelimen oma kamera riittää tavalliseen QR-koodin lukemiseen. Kun koodi tunnistuu, katso näytölle ilmestyvää osoitetta ennen napauttamista. Jos osoite lyhenee tai näyttää epäselvältä, älä avaa sitä. Voit kirjoittaa tunnetun verkkotunnuksen selaimeen käsin ja etsiä tarvitsemasi sivun sieltä.

Pidä puhelimen käyttöjärjestelmä ja selain ajan tasalla, sillä päivitykset korjaavat tietoturvaongelmia. Käytä näytön lukitusta ja laitteesi tarjoamaa suojausta, ja asenna sovelluksia vain virallisesta sovelluskaupasta. QR-koodin skannaamiseen ei tavallisesti tarvita erillistä lukusovellusta, joten vältä tuntemattomia lukijoita, jotka pyytävät tarpeettomia käyttöoikeuksia.

Jos palvelu vaatii kirjautumisen tai maksun, avaa se mieluummin itse sovelluksesta tai kirjoita osoite selaimeen. Tarkista ennen maksun hyväksymistä summa ja saajan nimi sekä pankin vahvistusnäkymä. Älä koskaan luovuta pankkitunnuksia tai vahvistuskoodia sivulle, jonka aitoudesta et ole varma.

Yleiset virheet ja tilanteen mukaan arviointi

Yksi tavallinen virhe on ajatella, että fyysinen koodi on automaattisesti luotettava. Tarran voi vaihtaa julkisessa paikassa, ja aidon yrityksen logo tai tuttu väri on helppo kopioida. Myös tutulta ihmiseltä tullut koodi voi olla epäilyttävä, jos viesti tai pyyntö poikkeaa hänen tavastaan toimia.

Toinen virhe on luottaa pelkkään verkkosivun ulkoasuun tai HTTPS-lukkoon. Sivun kopioiminen on helppoa, joten tarkista tarkka verkko-osoite ja se, sopiiko pyydetty tieto tilanteeseen. Älä anna kiireen, uhkauksen tai erikoistarjouksen painostaa sinua ohittamaan tarkistuksia.

Kaikki QR-koodit eivät silti ole vaarallisia. Ravintolan ruokalista tai tapahtumalippu voi toimia aivan tavallisesti, mutta luottamus kannattaa perustaa lähteeseen ja sivun pyyntöihin, ei koodin olemassaoloon. Jos olet epävarma, kysy palveluntarjoajalta muuta tapaa hoitaa asia.

Jos skannasit epäilyttävän koodin

Jos vain avasit sivun etkä antanut tietoja, sulje se. Älä lataa mitään tai hyväksy ilmoituksia, profiileja tai käyttöoikeuksia, joita et odottanut. Tarkkaile laitteen toimintaa ja poista mahdollinen tuntematon sovellus; jos laite käyttäytyy oudosti, hae apua luotettavasta teknisestä tuesta.

Jos annoit salasanan, vaihda se heti palvelun virallisessa sovelluksessa tai itse kirjoittamallasi oikealla osoitteella. Vaihda sama salasana myös muista palveluista, jos olet käyttänyt sitä muualla, ja ota käyttöön monivaiheinen tunnistautuminen. Jos annoit pankkitietoja tai hyväksyit maksun, ota viipymättä yhteys pankkiisi sen virallista kanavaa pitkin ja pyydä neuvoa kortin tai maksun turvaamiseen.

Jos maksu tehtiin, tallenna viesti, sivun osoite ja maksutiedot ilmoitusta varten. Ilmoita huijauksesta myös koodin sijainnista vastaavalle yritykselle tai kiinteistön ylläpitäjälle, jotta koodi voidaan tarkistaa tai poistaa. Jos henkilötietoja tai rahaa on menetetty, tee tarvittaessa ilmoitus poliisille.

Yhteenveto: pysähdy ennen kuin jatkat

QR-koodihuijaus onnistuu usein silloin, kun kiireinen käyttäjä luottaa koodiin tarkistamatta sen avaamaa osoitetta. Skannaa vain tarpeeseen, tarkista linkki ennen avaamista ja varmista maksun saaja sekä pyydettyjen tietojen tarkoitus. Jos jokin tuntuu tilanteeseen sopimattomalta, sulje sivu ja siirry palveluun itsenäisesti.

Jaa tarkistuslista läheiselle, joka maksaa pysäköintiä, seuraa paketteja tai käyttää QR-menuja. Voit lukea lisää turvallisten ostospaikkojen arvioinnista oppaasta luotettavan verkkokaupan tunnistamiseen.

Usein kysyttyä QR-koodihuijauksista

Voiko QR-koodin skannaaminen itsessään hakkeroida puhelimen?

Pelkkä tavallisen QR-koodin lukeminen ei yleensä anna koodille pääsyä puhelimen tietoihin. Vaara liittyy useimmiten avattuun haitalliseen linkkiin, tietojen antamiseen tai sovelluksen asentamiseen.

Mistä tiedän, onko QR-koodin linkki turvallinen?

Lue esikatselussa näkyvä verkkotunnus, tarkista kirjoitusasu ja varmista palvelu virallisesta sovelluksesta tai itse kirjoitetusta osoitteesta. HTTPS-lukko yksin ei takaa sivun aitoutta.

Mitä teen, jos annoin korttitietoni QR-koodin avaamalla sivulla?

Ota heti yhteys pankkiisi sen virallisesta sovelluksesta tai tunnetusta puhelinnumerosta. Kerro, mitä tietoja annoit ja hyväksyitkö maksun, ja noudata pankin ohjeita kortin tai maksujen suojaamiseksi.

Tarvitsenko erillisen sovelluksen QR-koodien skannaamiseen?

Useimpien puhelimien oma kamera tunnistaa QR-koodit. Käytä erillistä sovellusta vain, jos sille on selvä tarve, ja tarkista sen julkaisija sekä pyytämät käyttöoikeudet.