नकली QR कोड और क्विशिंग: स्कैन करने से पहले कैसे पहचानें

नकली QR कोड क्या है?

नकली QR कोड किसी स्कैमर का लगाया QR कोड है जो अपनी जगह से जो उम्मीद बनती है उसके बजाय फ़िशिंग पेज, नकली भुगतान पेज या कोई डाउनलोड खोलता है। पैटर्न बिलकुल साधारण QR कोड होता है - ख़ानों में ऐसा कुछ नहीं जो उसे नकली बताए। कोड को नकली बनाती है वह जगह जहाँ उसे लगाया गया और वह जगह जहाँ वह ले जाता है।

QR कोड टेक्स्ट रखता है, और लगभग हर स्कैम में वह टेक्स्ट एक वेब पता होता है, ठीक वही चीज़ जो URL QR कोड रखता है। कोड स्कैन करने से फ़ोन पर कुछ नहीं चलता; कैमरा पता पढ़ता है और उसे खोलने की पेशकश करता है। नुक़सान उस पेज पर शुरू होता है जो खुलता है: किसी पार्किंग ऑपरेटर के भुगतान पेज की नक़ल, Microsoft 365 जैसा सजाया लॉग-इन पेज, कार्ड का ब्योरा माँगने वाला पार्सल री-डिलीवरी फ़ॉर्म, या कोई ऐप इंस्टॉल करने का संकेत।

FBI ने 18 जनवरी 2022 की एक सार्वजनिक सेवा घोषणा में इसके बारे में चेताया था, और कहा था कि अपराधी डिजिटल और भौतिक, दोनों तरह के QR कोड से छेड़छाड़ करके पीड़ितों को ऐसी दुर्भावनापूर्ण साइटों पर भेज रहे हैं जो लॉग-इन और वित्तीय जानकारी चुराती हैं। FTC ने 6 दिसंबर 2023 के एक उपभोक्ता अलर्ट में यही चेतावनी दोहराई।

क्विशिंग क्या है?

क्विशिंग क्लिक किए जाने वाले लिंक के बजाय QR कोड के ज़रिए की गई फ़िशिंग है, एक शब्द जिसे सुरक्षा उद्योग ने QR और phishing से गढ़ा। QR कोड आम तौर पर किसी ईमेल या PDF अटैचमेंट में आता है जो किसी जाने-पहचाने भेजने वाले की नक़ल करता है - पासवर्ड रीसेट, मल्टी-फ़ैक्टर ऑथेंटिकेशन की सूचना, कोई शेयर किया दस्तावेज़ या पार्सल डिलीवरी - और आपसे उसे फ़ोन से स्कैन करने को कहता है।

ईमेल क्विशिंग दो तकनीकी वजहों से चलती है। पहली, लिंक एक तस्वीर के भीतर होता है: ब्रिटेन के National Cyber Security Centre ने फ़रवरी 2024 में लिखा कि सभी ईमेल सुरक्षा टूल इमेज स्कैन नहीं करते, इसलिए जो लिंक टेक्स्ट के रूप में रोक दिया जाता, वह QR कोड बनकर निकल सकता है। दूसरी, स्कैन करना पीड़ित को काम के कंप्यूटर से निजी फ़ोन पर ले आता है, जो Cisco Talos के फ़रवरी 2024 के मुताबिक़ ज़्यादातर कंपनियों की सुरक्षा निगरानी के बाहर रहता है।

ईमेल फ़िल्टर पीछा कर रहे हैं। Microsoft ने नवंबर 2024 में कहा कि Defender for Office 365 अब मेल फ़्लो की शुरुआत में ही QR कोड इमेज में छिपे URL निकाल सकता है, ताकि उन्हें किसी भी दूसरे लिंक की तरह जाँचा जाए। इससे फ़ासला कम होता है, ख़त्म नहीं होता, क्योंकि वही कोड PDF, चिट्ठी या टेक्स्ट मैसेज के रूप में भी आ सकता है।

एक संकेत ज़्यादातर क्विशिंग को असली मेल से अलग करता है: कोई असली सेवा शायद ही कभी कहती है कि साइन-इन करने के लिए अपने कंप्यूटर पर आए ईमेल का QR कोड स्कैन करें। जो संदेश कहे कि खाता बचाने के लिए फ़ौरन फ़ोन उठाइए और स्कैन कीजिए, वही वह पैटर्न है जिस पर रुकना है।

नकली QR कोड कहाँ मिलते हैं

नकली QR कोड वहाँ मिलते हैं जहाँ लोग जल्दी भुगतान या कार्रवाई की उम्मीद करते हैं और आसानी से नहीं जाँच सकते कि कोड किसने लगाया। NCSC का फ़रवरी 2024 का आकलन था कि ज़्यादातर QR कोड धोखाधड़ी स्टेशनों और कार पार्क जैसी खुली जगहों पर होती है। दर्ज मामले कुछ ही जगहों पर जमा हैं:

कई काउंसिल ने पार्किंग धोखाधड़ी का जवाब साफ़ यह कहकर दिया है कि वे QR कोड इस्तेमाल नहीं करतीं। केंसिंग्टन ऐंड चेल्सी ने जनवरी 2025 में कहा कि उसका पार्किंग सिस्टम QR कोड बिलकुल इस्तेमाल नहीं करता, और हार्टलपूल ने मई 2025 में कहा कि उसकी पे-ऐंड-डिस्प्ले मशीनें उन्हें कभी इस्तेमाल नहीं करेंगी। जिस मशीन का ऑपरेटर ऐसा कहता हो, उस पर लगा QR कोड परिभाषा से ही नकली है।

नकली QR कोड कैसे पहचानें

नकली QR कोड पहचानने के लिए उसे खोलने से पहले तीन चीज़ें जाँचें: क्या कोड किसी चीज़ के ऊपर चिपका स्टिकर है, क्या उस जगह आपको कोड की उम्मीद थी भी, और क्या फ़ोन के प्रीव्यू का डोमेन उसी संस्था का है जिससे आपको लगता है कि आपका वास्ता है। डोमेन की जाँच सबसे ज़्यादा पकड़ती है, क्योंकि यही वह चीज़ है जिसे स्कैमर नकली नहीं बना सकता।

डोमेन उस वेबसाइट का नाम है जिसे लिंक खोलता है, यानी https:// और उसके बाद आने वाले पहले अकेले स्लैश के बीच का हिस्सा। https://parking.example-city.gov/pay में डोमेन parking.example-city.gov है; https://example-city.gov.pay-now.io में वह pay-now.io है, उसकी शुरुआत चाहे जो कहे। दाईं ओर से पढ़ें: पहले अकेले स्लैश से ठीक पहले वाला हिस्सा ही तय करता है कि आप कहाँ हैं।

लिंक की शुरुआत में ताले का निशान या https होने का मतलब यह नहीं कि पेज असली है। इसका मतलब बस इतना है कि कनेक्शन एन्क्रिप्टेड है, और स्कैम पेज भी असली पेजों जितनी ही आम तौर पर https इस्तेमाल करते हैं।

खोलने से पहले QR कोड कैसे जाँचें

खोलने से पहले QR कोड जाँचने के लिए फ़ोन जो लिंक दिखाता है उसे बिना टैप किए पढ़ें। iPhone या iPad पर Apple का निर्देश है कि कैमरा कोड की ओर करें और फिर उसे खोलने के लिए लिंक पर टैप करें - इन दो क़दमों के बीच का फ़ासला ही वह पल है जब आप उसे पढ़ते हैं। Android के कैमरा ऐप और Google Lens आम तौर पर लिंक को टैप करने वाले बटन के रूप में दिखाते हैं, जो आपको पढ़ने का वही पल देता है।

1. स्कैन करने से पहले कोड को देखें. कोड के किनारे पर उँगली फिराएँ। छपे कोड के ऊपर चिपका स्टिकर, ऐसी मशीन पर कोड जिसका अपना कार्ड रीडर है, या ऐसे नोटिस पर कोड जिस पर किसी संस्था का नाम नहीं, यहीं रुक जाने की वजहें हैं।
2. फ़ोन के अपने कैमरे से स्कैन करें. कैमरा ऐप या Google Lens इस्तेमाल करें, डाउनलोड किया स्कैनर ऐप नहीं। FBI और NCSC, दोनों फ़ोन में बने स्कैनर के इस्तेमाल की सलाह देते हैं।
3. प्रीव्यू में डोमेन पढ़ें. टैप करने से पहले वह डोमेन पढ़ें जो फ़ोन दिखाता है। वह संस्था का अपना डोमेन होना चाहिए, सही वर्तनी में, और उसके बाद कुछ भी अजीब नहीं।
4. प्रीव्यू साफ़ न हो तो फ़ोटो डिकोड करें. कोड की फ़ोटो लें और उसे ब्राउज़र में चलने वाले QR कोड स्कैनर में खोलें, जो पूरा लिंक बिना खोले टेक्स्ट के रूप में दिखाता है।
5. भुगतान और लॉग-इन तक ख़ुद जाएँ. अगर कोड किसी भुगतान या साइन-इन पर ले जाता है, तो उसे बंद करें और संस्था का पता ख़ुद टाइप करें या उसका आधिकारिक ऐप खोलें। FBI की सलाह है कि QR कोड से पहुँची साइट से भुगतान करने से बचें।

जब प्रीव्यू लिंक का सिर्फ़ एक हिस्सा दिखाए, तब पूरा लिंक पढ़ना फ़ायदेमंद है। Palo Alto Networks की रिसर्च टीम Unit 42 ने अप्रैल 2025 में लिखा कि फ़ोन के कैमरा ऐप सिर्फ़ डोमेन दिखाते हैं, और स्कैमर पीड़ितों को जायज़ वेबसाइटों के रीडायरेक्ट से घुमाते हैं ताकि पहला डोमेन बेख़तर दिखे। KoloQR, गोल और कस्टम आकार वाले QR कोड बनाने का फ्री जनरेटर, एक QR कोड स्कैनर देता है जो स्क्रीनशॉट या फ़ोटो को आपके ब्राउज़र में ही पढ़ता है, कुछ अपलोड नहीं करता, और पूरा लिंक टेक्स्ट के रूप में दिखाता है, उसके भीतर का कोई रीडायरेक्ट पैरामीटर भी। तस्वीर से कोड पढ़ने के और तरीक़ों के लिए देखें इमेज से QR कोड कैसे स्कैन करें।

क्या QR कोड सुरक्षित हैं?

QR कोड उतने ही सुरक्षित हैं जितना उनके भीतर का लिंक या कार्रवाई। फ़ोन के कैमरे से कोड स्कैन करना सिर्फ़ उसका टेक्स्ट पढ़ता है; जोखिम तब शुरू होता है जब आप लिंक खोलते हैं, पेज पर ब्योरा डालते हैं, उसका सुझाया ऐप इंस्टॉल करते हैं, या कोई कार्रवाई मंज़ूर करते हैं, जैसे किसी Wi-Fi नेटवर्क से जुड़ना या भुगतान शुरू करना। जिस कोड की आपको उम्मीद थी, जो किसी भरोसेमंद संस्था का है और उसी की छापी चीज़ पर है, उसमें जोखिम कम है।

फ़ोनों में ख़ुद भी QR से जुड़ी गड़बड़ियाँ रही हैं, इसीलिए सिस्टम अपडेट रखना FTC की सूची में है। मार्च 2018 में एक शोधकर्ता ने दिखाया कि iOS 11 का Camera ऐप प्रीव्यू में एक वेबसाइट दिखा सकता था और खोल दूसरी सकता था; Apple ने इसे iOS 11.3 में ठीक किया। भरोसे लायक़ प्रीव्यू अप-टु-डेट फ़ोन पर निर्भर है।

दूसरे पेलोड लिंक से अलग कुछ माँगते हैं। Wi-Fi QR कोड नेटवर्क से जुड़ने को कहता है, कॉन्टैक्ट कोड कार्ड सहेजने को कहता है, और फ़ोन या SMS कोड आपके भेजने के लिए कॉल या संदेश भर देता है। फ़ोन जो प्रस्ताव रखे उसे मंज़ूर करने से पहले पढ़ें, ठीक वैसे ही जैसे आप लिंक पढ़ते।

डाउनलोड किए स्कैनर ऐप जोखिम घटाते नहीं, बढ़ाते हैं। FBI की 2022 की घोषणा कहती है कि QR कोड स्कैनर ऐप डाउनलोड न करें, क्योंकि ज़्यादातर फ़ोनों के कैमरे में पहले से एक होता है। अलग स्कैनर आपके फ़ोन पर अनुमतियों वाला एक और ऐप है, और वह कोड कैमरे से बेहतर नहीं पढ़ता।

अगर आपने नकली QR कोड स्कैन कर लिया तो क्या करें

अगर आपने नकली QR कोड सिर्फ़ स्कैन किया और पेज बंद कर दिया, तो बहुत संभव है कि आप ठीक हैं: लिंक पढ़ने से किसी को आपका ब्योरा नहीं मिलता। अगर आपने पेज पर कुछ भी डाला, तो उसी दिन, नीचे दिए क्रम में क़दम उठाएँ। FTC का जनवरी 2025 का अलर्ट उन सबके लिए यही क़दम देता है जिन्होंने QR कोड के खोले पेज में जानकारी टाइप की।

1. कार्ड या बैंक का ब्योरा: अपने कार्ड के पीछे लिखे नंबर पर फ़ोन करें और बैंक से उसे ब्लॉक करने और हाल के भुगतानों की जाँच करने को कहें।
2. पासवर्ड: उसे असली साइट पर बदलें, और हर उस दूसरी साइट पर भी जहाँ आप वही पासवर्ड इस्तेमाल करते हैं। टू-फ़ैक्टर ऑथेंटिकेशन चालू करें।
3. आपका इंस्टॉल किया ऐप: उसे डिलीट करें, और फ़ोन की सेटिंग्स में देखें कि उसने कोई डिवाइस-मैनेजमेंट प्रोफ़ाइल या अनुमति तो नहीं जोड़ी।
4. पता या जन्मतिथि जैसा निजी ब्योरा: अपनी क्रेडिट रिपोर्ट जाँचें और नए खातों के लिए अपने स्टेटमेंट पर नज़र रखें।
5. रिपोर्ट करें: स्टिकर के लिए पार्किंग ऑपरेटर या काउंसिल को, ईमेल के लिए अपने ईमेल प्रोवाइडर या नियोक्ता की IT टीम को, और अमेरिका में FBI के IC3 या FTC को, ब्रिटेन में Action Fraud को।

अगर कोड किसी पार्किंग मीटर पर था, तो ऑपरेटर को बताएँ ताकि अगला ड्राइवर उसे इस्तेमाल करे उससे पहले स्टिकर हट जाए, और अपनी पार्किंग का भुगतान आधिकारिक रास्ते से करें ताकि आपको ऊपर से असली टिकट भी न मिल जाए।

कारोबार अपने छपे QR कोड कैसे बचा सकते हैं

कारोबार अपने छपे QR कोड मुख्य रूप से ऐसे बचाते हैं कि ऊपर चिपका स्टिकर आसानी से नज़र आए और असली मंज़िल आसानी से जाँची जा सके। इसके लिए कोई आधिकारिक मानक नहीं है; नीचे के उपाय वे व्यावहारिक क़दम हैं जो पार्किंग स्कैम के काम करने के तरीक़े से निकलते हैं, और वे मेन्यू, भुगतान बोर्ड या पोस्टर, सब पर एक जैसे लागू होते हैं।

• कोड के नीचे डोमेन छापें। "pay.yourshop.com खोलता है" जैसी पंक्ति स्कैन करने वाले को प्रीव्यू से मिलाने के लिए कुछ देती है। स्टिकर को टेक्स्ट भी ढकना पड़ेगा।
• कोड को ऊपर से चिपकाने के बजाय बोर्ड में ही छापें। आर्टवर्क में छपा, लैमिनेट किया या काँच के पीछे रखा कोड ऊपर चिपकाए गए बदले हुए कोड को फ़ौरन ज़ाहिर कर देता है।
• बिना निगरानी वाले बोर्ड तय समय पर जाँचें। ब्रिटेन की कुछ काउंसिल, जिन्हें नकली स्टिकर मिले, अब अधिकारियों से मशीनें जँचवाती हैं और स्टिकर हटवाती हैं; जो भुगतान बोर्ड काउंटर से न दिखे, वह भी इसी का हक़दार है।
• अपना डोमेन इस्तेमाल करें। yourshop.com खोलने वाले कोड पर किसी शॉर्ट-लिंक सेवा को खोलने वाले कोड से ज़्यादा आसानी से भरोसा होता है, और वह आपके नियंत्रण में रहता है।
• भुगतान बोर्ड पर पाने वाले का नाम लिखें। Venmo QR कोड या PayPal QR कोड के लिए कोड के बग़ल यूज़रनेम छापें, ताकि भुगतान करने वाले उसे खुलने वाले पेज से मिला सकें।
• ग्राहकों को बताएँ कि आप क्या इस्तेमाल नहीं करते। अगर आप कभी QR कोड से भुगतान नहीं लेते, तो मशीन पर यह लिख दें, जैसा अब कई काउंसिल करती हैं।

स्टैटिक कोड जाँचने में आसान होते हैं, क्योंकि पैटर्न में छपा लिंक ही आख़िरी मंज़िल है। डायनामिक कोड हर स्कैन को पहले एक रीडायरेक्ट से गुज़ारता है, जो तब काम का है जब मंज़िल बदलनी हो, पर इसका मतलब है कि दिखने वाला लिंक वह पेज नहीं जो खुलता है। स्टैटिक बनाम डायनामिक QR कोड बताता है कि कब कौन-सा सही चुनाव है।

मॉकअप या टेस्ट के लिए नकली QR कोड चाहिए?

डिज़ाइन मॉकअप, प्रॉप या टेस्ट प्रिंट के लिए असली QR कोड इस्तेमाल करें जो https://example.com जैसे किसी बेख़तर आरक्षित पते की ओर इशारा करे। RFC 2606 example.com, example.net और example.org को दस्तावेज़ों के लिए आरक्षित करता है, इसलिए कोड स्कैन होता है, एक प्लेसहोल्डर पेज खोलता है, और डोमेन के हाथ बदलने के बाद भी किसी को अनचाही जगह नहीं ले जा सकता।

दो शॉर्टकट से बचें। ख़ानों का बेतरतीब पैटर्न जो वैध कोड नहीं है, QR कोड जानने वाले किसी भी व्यक्ति को ग़लत दिखता है और स्कैनर को अटका देता है। जो कोड किसी ऐसी असली साइट की ओर इशारा करे जो आपकी नहीं - या किसी ऐसे लिंक शॉर्टनर की ओर जिसे बाद में दोबारा इस्तेमाल किया जा सकता है - वह आपका मॉकअप स्कैन करने वाले को ऐसे पेज पर भेज सकता है जिसे आपने कभी देखा ही नहीं।

KoloQR जनरेटर किसी भी पते से कुछ ही सेकंड में प्लेसहोल्डर कोड बना देता है, आख़िरी डिज़ाइन के आकार और रंगों में, ताकि मॉकअप असली साइज़ और रूप दिखाए। आर्टवर्क छपाई पर जाने से पहले उसमें असली लिंक डाल दें।