Ovatko QR-koodit turvallisia? QR-huijaukset ja niiden välttäminen

Miten QR-koodihuijaukset toimivat

Temppu on aina sama: virallisen näköinen QR-koodi vie sinut paikkaan, jota et odottanut. Yleisiä muotoja:

• Tarrat oikeiden koodien päällä pysäköintimittareissa, sähköautojen latausasemissa, kaupunkipyörissä ja sähköpotkulaudoissa, ravintolapöydissä tai julisteissa, jotka vievät väärennetylle maksusivulle.
• Sähköpostit ja kirjeet, joissa on QR-koodi (”Pakettisi odottaa”, ”Vahvista pankkitilisi”, ”Salasanasi vanhenee tänään”), jotka avaavat väärennetyn kirjautumissivun.
• Väärennetyt pysäköintivirhemaksut tai laskut tuulilasissa tai postissa, ja niissä koodi maksamista varten.
• Koodit, jotka tekevät muutakin kuin avaavat sivun: aloittavat puhelun tai tekstiviestin maksulliseen numeroon, yhdistävät tuntemattomaan Wi-Fi-verkkoon tai asentavat sovelluksen.

Ennen kuin avaat skannatun linkin

Puhelimesi näyttää osoitteen ennen sen avaamista. Käytä kaksi sekuntia sen lukemiseen.

• Vastaako osoite sitä tahoa, joksi sivusto väittää itseään? Pankin, pysäköintiyhtiön tai kaupan pitäisi käyttää tunnettua verkkotunnustaan, ei outoa nimeä, satunnaisia kirjaimia tai harhaanjohtavaa kirjoitusasua, kuten paypa1.
• Onko se lyhennetty linkki (bit.ly tai vastaava) jossakin, mikä pyytää maksua? Ole erityisen varovainen, koska et näe todellista kohdetta.
• Onko jonkin koodin päälle liimattu tarra? Katso tarkkaan, erityisesti kaikkea, minkä kautta maksaisit.
• Saitko koodin odottamatta sähköpostissa, kirjeessä tai tekstiviestissä? Älä skannaa sitä. Mene sen sijaan itse yrityksen verkkosivulle tai sovellukseen.

Varoitusmerkit avaamisen jälkeen

• Sivu pyytää salasanaasi, PIN-koodiasi, kortin numeroa tai verkkopankkitunnuksiasi, vaikka halusit vain lukea ruokalistan tai maksaa pysäköinnin.
• Se painostaa kiireellä: ”Maksa 24 tunnin kuluessa”, ”Tilisi suljetaan”.
• Se pyytää sinua asentamaan sovelluksen tai ”tietoturvapäivityksen”.
• Se avaa tekstiviestin tai puhelun numeroon, jota et tunnista.

Julkisissa paikoissa maksettaessa turvallisin tapa on palveluntarjoajan virallinen sovellus tai itse maksupääte, ei koodi, jota et voi varmistaa.

Jos olet jo syöttänyt tietosi

1. Kortti- tai pankkitiedot: ota heti yhteyttä pankkiisi ja sulje kortti. Tarkista viimeaikaiset maksut.
2. Salasana: vaihda se palvelun oikealla verkkosivustolla ja kaikissa muissa palveluissa, joissa käytit samaa salasanaa. Ota käyttöön kaksivaiheinen tunnistautuminen.
3. Asensit sovelluksen: poista se ja suorita puhelimesi tietoturvatarkistus.
4. Ilmoita asiasta yritykselle, jonka nimissä huijaus tehtiin, sekä kansalliselle kyberturvallisuusviranomaiselle (Suomessa Kyberturvallisuuskeskukselle, Virossa CERT-EE:lle) tai poliisille. Ilmoita väärennetystä tarrasta myös sen paikan omistajalle, josta löysit sen.

Yrityksille: tee QR-koodeja, joihin ihmiset voivat luottaa

Kun huijaukset tulevat tunnetummiksi, varovaiset asiakkaat epäröivät skannata. Nämä tavat pitävät koodisi luotettavan näköisinä ja luotettavina:

• Ohjaa koodit omaan verkkotunnukseesi (yrityksesi.fi/menu), jotta ihmisten näkemä osoite on selvästi sinun.
• Tulosta verkko-osoite myös koodin viereen, jotta ihmiset voivat verrata. Generaattorin kuvausvalinta lisää tekstin koodin alle.
• Käytä staattisia koodeja. Dynaamisten QR-palveluiden koodit kulkevat jonkun toisen palvelimen kautta, joka voi myöhemmin näyttää muuta sisältöä. Katso staattinen vai dynaaminen QR-koodi.
• Lisää logosi koodiin (generaattorin asetukset → Logo), jotta sen päälle liimattu tavallinen tarra erottuu.
• Vaikeuta peukalointia: sijoita koodit lasin taakse tai laminoi ne, tai tulosta ne osaksi kylttiä erillisen tarran sijaan.
• Tarkista julkiset QR-koodit säännöllisesti, etenkin maksamiseen liittyvät, ja skannaa ne itse silloin tällöin.
• Älä koskaan pyydä salasanoja tai korttitietoja sivulla, jonka koodi avaa, ellei asiakas selvästi odota maksavansa siellä.

Lisää: näin skannaat QR-koodin iPhonella ja Androidilla.

Haluatko nähdä, mihin koodi vie, avaamatta sitä? Liitä kuvakaappaus QR-koodinlukijaan.