Ilmiö 74

QR-koodihuijaus — väärä koodi, oikea lasku

Kirjoittanut Ilmiömies · Päivitetty 6.7.2026

QR-koodihuijaus (engl. quishing, sanoista QR + phishing) tarkoittaa kalastelua, jossa uhri ohjataan väärennetyllä QR-koodilla huijaussivulle maksamaan, antamaan korttitietonsa tai asentamaan haittaohjelma. Huijauksen kauneusvirhe uhrin kannalta: hän tekee työn itse, omalla puhelimellaan, vapaaehtoisesti.

Quishing toimii kolmesta syystä. Ensinnäkin QR-koodi on ihmissilmälle pelkkää kohinaa — linkkiä ei voi arvioida ennen skannausta, ja puhelin näyttää siitä usein vain lyhennetyn alun. Toiseksi koodi lainaa ympäristönsä luotettavuuden: virallisen näköinen tarra parkkimittarissa tai firman logolla varustettu kirje ei herätä samaa epäilystä kuin tuntemattoman lähettämä linkki. Ja kolmanneksi koodi kiertää suodattimet: sähköpostin turvaskannerit lukevat linkkejä, mutta kuvana lähetetty koodi menee monesta läpi.

flowchart TD R["Rikollinen liimaa tarran\naidon koodin päälle:\nmittari, latausasema,\nruokalista"] --> S["Uhri skannaa\nomalla puhelimellaan"] S --> V["Aidon näköinen\nmaksusivu"] V --> T["Kortti- tai pankkitiedot\nrikolliselle"] T --> L["Tililtä lähtee rahaa —\nuhri luulee maksaneensa\nparkkimaksun"] style R fill:#fdf0f0,stroke:#c0392b style V fill:#fff3cd,stroke:#f39c12

Quishingin ydin: koodi on linkki, jota et voi lukea — mutta jonka avaat silti.

Missä quishing iskee:

Parkkimittarit: tarra aidon koodin päällä ohjaa valemaksusivulle — muoto levisi Euroopassa 2023 alkaen, ja poliisi on varoittanut siitä Suomessakin.
Sähköautojen latausasemat: sama temppu, isommat summat.
Kirjeet ja "virhemaksut": postissa tuleva maksamaton pysäköintivirhemaksu tai paketti-ilmoitus QR-koodeineen — paperi tuntuu viralliselta.
Sähköpostin QR-liitteet: "monivaiheinen tunnistautumisesi vanhenee, skannaa koodi" — kuva kiertää suodattimet ja siirtää kalastelun työkoneelta suojaamattomaan puhelimeen.
Julkiset tilat: hyllynreunaan, julisteeseen tai pöytään liimatut kilpailu- ja alennuskoodit.

Tunnistaminen ja vastakeinot:

Maksa pysäköinti sovelluksella, jonka asennat itse sovelluskaupasta — älä koodin ohjaamana. Katso koodia: onko se tarra tarran päällä, eri materiaalia kuin ympäristönsä? Lue avautuva osoite ennen jatkamista, ja jos "parkkimaksusivu" kysyy verkkopankkitunnuksia tai kortin kaikkia tietoja, sulje selain. Älä koskaan asenna sovellusta QR-koodin kehotuksesta. Nyrkkisääntö: tuntemattoman QR-koodi on tuntemattoman lähettämä linkki — kohtele sitä samoin. Organisaatiolle: tarkastakaa omat mittarit, asemat ja tarrapinnat säännöllisesti — teidän pintanne on jonkun toisen kalasteluväline.

Lue lisää

Verkossa