QR Code Phishing (Quishing) — Ang Scam na Nakatago sa Harap ng Iyong Mata

Mag-scan ka ng QR code sa isang restaurant para makita ang menu. Mag-scan ka ng isa sa parking meter para magbayad. Mag-scan ka ng code mula sa delivery notification para ma-track ang iyong package. Parang walang masamang mangyayari. Pero paano kung hindi pala tunay ang QR code na iyon?

Tumaas nang 270% buwan-buwan ang mga QR phishing attacks noong 2025-2026, at 12% ng lahat ng phishing attacks ngayon ay may kasamang QR codes. Nagbabala na rin ang FBI tungkol sa mga North Korean hackers na gumagamit ng mga mapanganib na QR codes. Panahon na para tratuhin ang mga QR code nang may parehong pag-iingat tulad ng mga kahina-hinalang link.

Ano ang Quishing?

Quishing = QR + Phishing

Ang tradisyonal na phishing ay nagpapadala sa iyo ng pekeng link sa pamamagitan ng email o Messenger. Ang quishing naman ay gumagamit ng pekeng QR code para i-redirect ka sa isang mapanganib na website. Ang pangunahing pagkakaiba? Hindi mo mababasa ang QR code gamit ang iyong mga mata — kaya mas mapanganib pa ito kaysa sa text-based na link.

Mga Tunay na Quishing Scam

1. Mga Pekeng QR Code sa Parking Meter

Naglalagay ang kriminal ng sticker sa ibabaw ng lehitimong QR code
→ Ini-scan mo at napupunta sa pekeng payment page
→ Nilalagay mo ang mga detalye ng iyong card → nanakaw agad

Sa buong US, lumitaw ang mga pekeng QR sticker sa mga parking meter, bike-share station, at EV charging station. Nag-isyu ng mga pampublikong babala ang mga lungsod tulad ng Austin, San Antonio, at Houston.

2. Mga Pekeng QR Code ng Menu sa Restaurant

Naglalagay ang mga scammer ng pekeng QR sticker sa ibabaw ng totoong menu code ng restaurant. Sa halip na menu, dinadala ka sa isang page na humihingi ng personal na impormasyon o detalye ng pagbabayad — lalo na sa mga lugar na nangangailangan ng pre-ordering.

3. Mga QR Code sa Phishing Emails

"Nangangailangan ng security verification ang iyong account — i-scan ang QR code sa ibaba"
→ Pekeng login page
→ Ninakaw ang corporate credentials

Ginagamit na ngayon ang mga AI at LLM tools para gumawa ng napaka-kapani-paniwalang phishing emails na may mga naka-embed na QR code. Nakakalusot ang mga ito sa mga tradisyonal na email filter dahil nakatago ang mapanganib na URL sa loob ng imahe.

4. Mga Pekeng Delivery Notification QR Code

"Na-reschedule ang delivery — i-scan ang QR code na ito para i-update ang iyong address"
→ Pekeng carrier website
→ Kinukuha ang pangalan, address, at impormasyon sa pagbabayad

Ang mga text message at email na nagpapanggap na mula sa FedEx, UPS, o USPS na may QR codes ay naging isa sa pinakamabilis na lumalaking scam vectors.

5 Palatandaan ng Pekeng QR Code

#	Babala	Ano ang Dapat Hanapin
1	Pisikal na sticker na nakalagay sa ibabaw ng orihinal	Hawakan ang ibabaw — kung may sticker na nakapatong, malamang peke ito
2	Hindi tugma ang URL sa inaasahang domain	Dapat tugma ang na-scan na URL sa negosyo (hal., parking-city.gov, hindi p4rking-pay.net)
3	Agad humihingi ng personal info o bayad	Bihirang humingi ang mga lehitimong QR code ng detalye ng card kaagad
4	Walang HTTPS	Kung nagsisimula ang URL sa http:// sa halip na https://, hindi secure ang koneksyon
5	Nagre-redirect sa pamamagitan ng mga shortened URL	Maraming redirect na nagtatago ng final destination ay red flag

Paano Mag-scan ng QR Codes nang Ligtas

Hakbang 1: Gamitin ang Built-In Camera ng Iyong Telepono

Nagpapakita ng URL preview ang camera ng iyong iPhone o Android bago buksan ang link. Huwag kailanman gumamit ng third-party QR apps na awtomatikong nagbubukas ng mga link.

Hakbang 2: Suriin ang URL Bago I-tap

Basahin nang mabuti ang URL. Tugma ba ito sa inaasahang negosyo? Ligtas ang cityparking.gov. Hindi ligtas ang c1ty-parking-pay.com.

Hakbang 3: Huwag Kailanman Maglagay ng Detalye ng Bayad mula sa QR-Scanned Link

Kung nagdadala ang isang QR code sa isang payment page, isara ito. Diretso ka na lang sa opisyal na app o website para magbayad.

Hakbang 4: Gumamit ng QR Scanner App na May URL Checking

Ang mga security-focused na QR scanner ay maaaring mag-flag ng mga kilalang mapanganib na URL bago mo buksan ang mga ito.

Hakbang 5: Pisikal na Suriin ang QR Code

Sa mga pampublikong lugar, suriin kung ang QR code ay isang sticker na nakapatong sa isa pa. Kung nakataas, nagbabalat, o hindi nakahanay — huwag i-scan.

Mga Ligtas na QR Code vs Mapanganib na QR Code

Mga Lehitimong Gamit

• Pagbabahagi ng Wi-Fi: Mga cafe at hotel na nagbibigay ng Wi-Fi credentials sa pamamagitan ng QR
• Mga opisyal na menu: Mga QR code ng restaurant na naka-integrate sa kanilang ordering system
• Mga pinagkakatiwalaang pagbabayad: Mga QR code na na-generate sa loob ng opisyal na banking o payment apps
• Pagbabahagi ng LOCK.PUB link: Password-protected QR links na may pinagkakatiwalaang lock.pub domain

Mga Mapanganib na Red Flag

• Mga QR code sa mga hindi hinihinging email
• Mga sticker na inilagay sa mga pampublikong espasyo ng hindi kilalang pinagmulan
• Mga QR code sa mga random na flyer, poster, o business card
• Mga QR code na natanggap sa Messenger mula sa hindi kilalang mga nagpadala

Ano ang Gagawin Kung Nag-scan Ka ng Kahina-hinalang QR Code

Huwag mag-panic. Sundin kaagad ang mga hakbang na ito:

1. Isara ang browser — kung hindi ka naglagay ng anumang impormasyon, malamang ligtas ka
2. Kung naglagay ka ng credentials, palitan kaagad ang iyong password
3. Kung naglagay ka ng impormasyon sa pagbabayad, makipag-ugnayan sa iyong bangko o card issuer para ma-freeze ang card
4. Suriin kung may mga hindi kilalang apps na maaaring na-install at burahin ang mga ito
5. I-report ito sa FTC (reportfraud.ftc.gov) o sa iyong lokal na cybercrime authority

Paano Ginagamit ng LOCK.PUB ang mga QR Code nang Ligtas

Pinapayagan ka ng LOCK.PUB na magbahagi ng mga link sa pamamagitan ng QR codes — pero may mga built-in na safety feature na nagpapanibago rito:

• Password protection: Kahit pagkatapos mag-scan ng QR code, kailangan pa rin ng password para ma-access ang content
• Pinagkakatiwalaang domain: Palaging nagreresolba sa lock.pub — madaling i-verify
• Expiration: Awtomatikong nade-deactivate ang mga link pagkatapos ng itinakdang panahon
• Pagsubaybay ng access: Makita nang eksakto kung sino ang nagbukas ng iyong link at kailan

Hindi ang QR codes mismo ang problema — ito ang mga hindi na-verify na QR code mula sa hindi kilalang pinagmulan. Manatili sa mga QR code mula sa mga pinagkakatiwalaang pinagmulan, at palaging suriin ang URL bago i-tap.

Konklusyon

Nasa lahat ng dako ang mga QR code dahil maginhawa ang mga ito. Pero ang kaginhawahang iyon mismo ang sinasamantala ng mga scammer. Isang scan lang ang maaaring mag-abot ng iyong detalye ng credit card, mga login credentials, o access sa iyong corporate network.

Bago ka mag-scan ng anumang QR code, maglaan ng 3 segundo para i-verify ito. Ang 3 segundo na iyon ay maaaring magligtas ng iyong pagkakakilanlan, pera, at katahimikan ng isip.

Simulan ang Ligtas na Pagbabahagi ng mga Link -->