Het scannen van die QR-code kan gevaarlijker zijn dan u denkt

In plaats van een smerig restaurantmenu met onze blote handen op te pakken, zijn we gewend geraakt aan de hygiëne van QR-codes. Maar die kunnen een beetje vuiler en een stuk gevaarlijker zijn dan je zou denken.

In 2015 een Duitse ketchupliefhebber scande de QR-code op hun fles Heinz en werd rechtstreeks naar een pornosite gestuurd. Dat kan gênant zijn, maar er zijn ergere gevolgen voor het blindelings scannen van QR-codes. Volgens wachtwoordbeheerservice 1Password, QR-codes kunnen telefoongesprekken activeren, uw locatie verraden, een telefoongesprek starten dat uw beller-ID onthult, en meer. Dus wat kunnen we eraan doen?

"We zijn allemaal geconditioneerd om een ​​QR-code te scannen om door een menu te bladeren of zelfs onze rekeningen te betalen, en cybercriminelen spelen hier nu op in door het gebruik van kwaadaardige QR-codes."

Craig Lurey, cyberbeveiligingsexpert en mede-oprichter van Keeper Security, vertelde Lifewire via e-mail. "Dus wat lijkt op een code om voor een parkeermeter te betalen, en de site ziet er ongelooflijk legitiem uit, je voert je creditcardgegevens rechtstreeks in de database van een dief in."

Slechte links

Een QR-code is slechts een snelkoppeling naar een link die kan worden gelezen door de camera van uw telefoon en vervolgens kan worden gedecodeerd. We zijn allemaal getraind om nooit op een link in een e-mail te klikken, zelfs als deze er legitiem uitziet. Maar QR-codelinks zijn net zo gevaarlijk en hebben het extra probleem dat u niet kunt zien waar ze naartoe leiden totdat u ze scant.

Als we aan links denken, denken we aan URL's die ons naar websites leiden. En in het geval van de Heinz ketchup-pornohack was dat het probleem: Heinz liet de domeinnaam vervallen en iemand anders kocht hem en laadde hem vervolgens met vieze foto's. URL's zijn gevaarlijk, zoals Lurey's parkeermeter-phishing-zwendel illustreert, maar links kunnen veel meer doen.

"Een van de grootste problemen is dat, in tegenstelling tot websites, QR-links naar verkorte URL's zelden de bedrijfsnaam identificeren," Monti Knode, voormalig commandant van de 67th Cyberspace Operations Group van de USAF, vertelde Lifewire via e-mail. "Een persoon klikt erop en gaat ervan uit dat het een restaurantmenu, een conferentieagenda of zelfs een liefdadigheidslink zal opleveren, en het kan heel goed een vervalste site zijn of een kwaadaardige link die code naar uw computer of mobiel downloadt apparaat."

Op onze telefoons kunnen links apps activeren. Er opent bijvoorbeeld een Google Maps-link in de kaarten-app. Links kunnen ook telefoongesprekken activeren, contacten toevoegen aan uw adresboek (en daardoor toekomstige oproepen en e-mails legitiem laten lijken), ze kunnen uw locatie delen en meer.

Een ingenieuze zwendel houdt in dat een ne'er-do-well een bestaande, legitieme QR-code wijzigt en die gebruikt om slachtoffers om te leiden. Adverteerder Robert Barrows heeft een verhaal gedeeld over zijn Video Enhanced Gravemarker.

"Ik realiseerde me dat er verschillende problemen konden zijn met QR-codes op grafstenen", vertelde Barrows via e-mail aan Lifewire. "Wat gebeurt er als de inkt op de QR-code na verloop van tijd vergaat? Ga je uiteindelijk naar een totaal andere website linken? Wat gebeurt er als iemand de QR-code verandert met een marker?"

Hetzelfde kan gebeuren met reclameposters, menu's of welke QR-code dan ook.

Jezelf beschermen

Stap één in het beschermen van jezelf is om je bewust te zijn. Scan nooit een QR-code tenzij u zeker weet dat deze veilig is. Wat echt betekent: scan nooit een QR-code.

Maar als je toch moet scannen om in te checken bij een restaurant of bar of een menukaart te bekijken, controleer dan eerst of er niet met de code is geknoeid of er een sticker van een andere QR-code op zit. Een tip is om het automatisch scannen van QR-codes uit te schakelen in de instellingen van je telefoon, indien mogelijk. Maar echt, de beste bescherming is om voorzichtig te zijn.

"Waar mogelijk, net als bij mogelijke phishing-links, zijn de aanbevelingen om rechtstreeks naar de website van de provider te gaan om de informatie op te halen waarnaar u op zoek bent", Dave Cundiff, CISO van cyberbeveiligingsbedrijf Cyvatar, vertelde Lifewire via e-mail. "In de meeste gevallen wordt de informatie op het web gehost en is deze ergens rechtstreeks toegankelijk op de website van de provider."

Als de link niet beschikbaar is, scan hem dan niet. Het is veel minder handig, maar niet zo onhandig als dagen of weken praten over de gevolgen van een kwaadaardige link.