Οι QR κωδικοί έχουν γίνει αναπόσπαστο κομμάτι της καθημερινότητάς μας, από τα μενού στα εστιατόρια μέχρι τις ηλεκτρονικές πληρωμές και τα εταιρικά emails. Ωστόσο, αυτή η ευκολία μετατρέπεται πλέον σε σοβαρό κίνδυνο, καθώς οι κυβερνοεγκληματίες αξιοποιούν τους QR codes ως νέο όχημα για phishing επιθέσεις, μια πρακτική που διεθνώς αποκαλείται quishing.
Σύμφωνα με πρόσφατη ενημέρωση που δημοσίευσε το SEPE, οι επιθέσεις phishing μέσω QR κωδικών σημείωσαν εκρηκτική αύξηση μέσα στο 2025. Τα στοιχεία δείχνουν ότι οι ανιχνεύσεις τέτοιων επιθέσεων αυξήθηκαν κατακόρυφα μέσα σε λίγους μήνες, αποδεικνύοντας ότι οι επιτιθέμενοι στρέφονται σε πιο «έξυπνες» και λιγότερο εύκολα ανιχνεύσιμες μεθόδους.
Η βασική διαφορά των QR codes σε σχέση με τους κλασικούς κακόβουλους συνδέσμους είναι ότι κρύβουν τον πραγματικό προορισμό. Ο χρήστης δεν βλέπει το URL πριν το σαρώσει και έτσι δεν μπορεί εύκολα να καταλάβει αν πρόκειται για νόμιμη ή ύποπτη ιστοσελίδα. Αυτό το χαρακτηριστικό τους επιτρέπει να παρακάμπτουν πολλά φίλτρα ασφαλείας που ελέγχουν τα links στα emails.
Πώς λειτουργεί το quishing και γιατί είναι τόσο επικίνδυνο
Στην πράξη, οι κυβερνοεγκληματίες ενσωματώνουν κακόβουλους QR κωδικούς σε emails που μοιάζουν απολύτως αξιόπιστα. Συχνά παρουσιάζονται ως ειδοποιήσεις από τράπεζες, εταιρείες courier, παρόχους ενέργειας ή ακόμα και εσωτερικές ανακοινώσεις εταιρειών. Σε αρκετές περιπτώσεις, ο QR κωδικός βρίσκεται μέσα σε συνημμένο PDF, το οποίο φαίνεται σαν τιμολόγιο ή επίσημο έγγραφο.
Μόλις ο χρήστης σαρώσει τον QR κωδικό με το κινητό του, οδηγείται σε μια πλαστή ιστοσελίδα που μιμείται τέλεια το περιβάλλον μιας πραγματικής υπηρεσίας. Εκεί καλείται να εισαγάγει κωδικούς πρόσβασης, στοιχεία κάρτας ή άλλα ευαίσθητα δεδομένα. Σε πιο προχωρημένες επιθέσεις, η σάρωση μπορεί να οδηγήσει ακόμα και σε αυτόματη λήψη κακόβουλου λογισμικού, ειδικά σε συσκευές χωρίς επαρκή προστασία.
Το φαινόμενο δεν περιορίζεται μόνο στον ψηφιακό χώρο. Οι ειδικοί προειδοποιούν ότι έχουν εμφανιστεί περιπτώσεις όπου κακόβουλοι QR codes τοποθετούνται σε φυσικά σημεία, όπως παρκόμετρα, στάσεις λεωφορείων ή αφίσες, αντικαθιστώντας νόμιμους κωδικούς. Ο ανυποψίαστος πολίτης σαρώνει τον κώδικα θεωρώντας ότι πρόκειται για επίσημη υπηρεσία και παγιδεύεται.
Τι πρέπει να προσέχουν οι χρήστες και οι επιχειρήσεις
Η αύξηση των επιθέσεων μέσω QR κωδικών αναγκάζει τόσο τους απλούς χρήστες όσο και τις επιχειρήσεις να αλλάξουν νοοτροπία. Η σάρωση ενός QR code δεν είναι πλέον μια ουδέτερη ή ακίνδυνη ενέργεια. Οι ειδικοί κυβερνοασφάλειας τονίζουν ότι πρέπει να αντιμετωπίζεται με την ίδια καχυποψία όπως ένα άγνωστο link σε email.
Ιδιαίτερα στον εταιρικό χώρο, το quishing αποτελεί σοβαρό κίνδυνο, καθώς μπορεί να οδηγήσει σε παραβίαση εταιρικών λογαριασμών και διαρροή δεδομένων. Οι οργανισμοί καλούνται να επενδύσουν σε εκπαίδευση προσωπικού, να ενισχύσουν τα συστήματα ανίχνευσης απειλών και να περιορίσουν τη χρήση QR codes σε κρίσιμες επικοινωνίες.
Για τους απλούς χρήστες, η βασική άμυνα παραμένει η ενημέρωση. Η αποφυγή σάρωσης QR κωδικών από άγνωστες πηγές, η προσοχή στα emails που δημιουργούν αίσθημα επείγοντος και η χρήση εφαρμογών ασφαλείας στο κινητό μπορούν να μειώσουν σημαντικά τον κίνδυνο.
Το μήνυμα των ειδικών είναι σαφές: οι QR κωδικοί δεν είναι από τη φύση τους επικίνδυνοι, αλλά στα λάθος χέρια μετατρέπονται σε ένα εξαιρετικά αποτελεσματικό εργαλείο εξαπάτησης. Σε μια εποχή όπου το phishing εξελίσσεται συνεχώς, η καχυποψία παραμένει η καλύτερη άμυνα.
