QR-koodid
QR-kood (Quick Response code) ehk ruutkood on ruudukujuline mustvalge kood, mida saab lugeda nutitelefoni kaamera või QR-lugejaga. QR-koode kasutatakse üha laialdasmalt, sest see võimaldab koodi skaneeriva kasutaja mugavalt ja kiiresti suunata soovitud veebilehele. QR-koode kasutatakse näiteks info jagamiseks, maksmiseks, piletiteks ja teenustele ligipääsuks.
QR-koode kasutatakse üha enam ka isikusamasuse tuvastamiseks. Näiteks saab Eesti äpis QR-koodi kasutades tõendada oma isikusamasust. Kasutaja avab äpis dokumendi, kus on nupp “Kuva isikutuvastuse kood” ning kasutaja seadmes avaneb unikaalne QR-kood, mis kehtib 3 minutit ja on loetav ainult Eesti äpiga. Täpsemat tuvastamise protsessi on kirjeldatud videos. Samuti on täienenud Smart-ID rakendus Smart-ID+ funktsionaalsusega, kus sisselogimiseks kasutatakse QR-koodi skaneerimist isikukoodi sisestamise ja kinnituskoodide võrdlemise asemel.
Kuivõrd QR-kood on väga mugav vahend kasutajate teenuse juurde suunamiseks, on selle kasutusele võtnud ka küberkurjategijad, et pahaaimamatuid kasutajaid rünnata.
Millal QR-kood võib olla ohtlik?
QR-kood iseenesest ei ole küberturvalisuse vaatest ohtlik tehnoloogia. Kuid QR-koodi skanneerides ei näe avatavat linki enne, kui sa seda skaneerid. Seega on risk, et me ei tea kuhu ja mis eesmärgil telefon pärast skaneerimist suunatakse.
QR-koodi kaudu võib sinu seadmesse jõuda pahavara: näiteks pakub leht mingi rakenduse paigaldamist; sind suuatakse õngitsuslehele, et sinu andmeid kätte saada või satud võltsitud makselehele, kus makse tehakse soovitud teenusepakkuja asemel kurjategijatele.
Nii nagu tavaliste veebilinkide puhul tuleb ka QR-koodidedaga olla ettevaatlik ja lähtuda kontekstist, kust ja kuidas see on sinuni jõudnud. Näiteks kui ametlikust rakenduse poest alla laaditud Eesti rakendus sinu telefonis palub QR-koodiga isikusamasust tuvastada ja oled ise tegevuse algatanud, on tõenäoliselt tegemist ohutu QR-koodiga. Kui restoranis laual on pleksiklaasi all QR-koodiga skanneerimisel avanev menüü, on tegemist tõenäoliselt samuti ohutu QR-koodiga.
Kui aga QR-koodi peale on kleebitud teine kood või kui bussipeatusesse või mujale avaliku ruumi on kleebitud QR-kood, siis tasub hoolega mõelda enne selle skaneerimist. Eestis on levinud ka õngitsusmeilid, kus saadetakse teade parkimistrahvist, mille tühistamiseks tuleb skaneerida QR-kood. Nende puhul on tegemist pettusega.
Enamik QR-koodiga seotud pettuseid saavad alguse avalikus ruumis skaneeritud koodist ning sisaldavad ka sotsiaalset manipuleerimist. See tähendab, et pettur mõjutab inimest psühholoogiliste võtetega (nt tekitades kiireloomulisuse, hirmu või usaldust), et panna ta tegutsema petturi huvides – näiteks sisestama andmeid, kinnitama makset või paigaldama pahavara. Enne QR-koodi skanneerimist veendu lehe õigsuses. Selleks vaata, et veebiaadress on täht-tähelt õige (omniva.ee vs omnivaaa.ee või 0mniva.eu). Veebiaadressi õigsuses veendumiseks hakka seda lugema aadressiribal esimesest ühekordsest kaldkriipsust vasakule (välja arvata “https://” kaldkriipsud), mitte lihtsalt vasakult paremale, nagu tavaliselt. Näiteks:
- veebiaadressi “https://www.eesti.ee/” puhul näeme, et tegu on domeeniga “eesti.ee”, mis on õige.
- veebiaadressi ”omniva.ee.popsi7.com/index.php” puhul jääb esimesest kaldkriipsust vasakule “popsi7.com” ja saame teada, et tegemist ei olegi Omniva.ee lehega.
Vaata täpsemalt, kuidas tunda ära õngitsuslehti itvaatlik.ee lehel: Õngitsused.
Milliseid QR-koode ei tohiks avada?
Tundmatu päritoluga:
- Kleebised tänaval, bussipeatuses, liftis
- QR-kood ilma selgituseta
QR-kood, mis on liiga hea, et olla tõsi:
- „Võitsid auhinna“
- „Tasuta raha / kingitus“
- „Ainult täna!“
QR-koodid, mis nõuavad tundlikke andmeid:
- küsivad paroole, PIN-koode, isikukoode
- paluvad sisse logida tundmatul lehel
QR-koodid kahtlase veebiaadressiga:
- tundmatu lõpp: .xyz, .click, .ru
- tuntud nimi, aga valesti kirjutatud (nt faceb00k, go0gle)
Lühilinkidega QR-koodid:
- nt bit.ly, tinyurl
- ei näe, kuhu link viib
Faili või äpi allalaadimist pakkuvad QR-koodid:
- „Laadi alla see rakendus“
- „Uuenda kohe“
QR-koodid, mis on kleebitud teise QR-koodi peale:
- keegi võib olla asendanud algse koodi.
Levinumad skeemid
Eelmise aasta lõpus ringlesid Eestis õngitsusmeilid, kus teatati, et inimesele on ekslikult parkimistrahv rakendatud. Meilis juhendati, et tagasimakse saamiseks on tarvis skaneerida kirjas sisalduv QR-kood. Tegu oli siiski õngitsusega, mille kaudu üritati inimese pangakontole ligi pääseda, et sealt raha varastada.
Varem oleme ka RIA blogis kirjeldanud, kuidas kurjategijad üritavad QR-koode kasutades Signali kontodele ligi pääseda.
Näide QR-koodi sisaldavast õngitsuskirjast, mis viib õngitsuselehele:
Näide õngitsuselehest, kuhu see QR-kood viis:
