QR-koodeista on tullut jokapäiväinen työkalu maksamiseen, valikoiden käyttämiseen ja digitaalisiin palveluihin yhdistämiseen. Mutta kyberrikolliset ovat myös hyödyntäneet tätä tuttua ominaisuutta antaakseen uuden vauhdin verkkopetoksille. Tietoturvayritys ESET on havainnut merkittävän lisääntymisen quishingissä, joka on tietojenkalastelun muunnelma, jossa näitä pisteviivakoodeja käytetään ohjaamaan käyttäjiä haitallisille verkkosivustoille ilman, että he pystyvät lukemaan kohde-URL-osoitetta.
Viimeisimmät luvut puhuvat puolestaan : ESETin vuoden 2026 ensimmäisen puoliskon uhkaraportin mukaan haitallisia QR-koodeja esiintyy 11 prosentissa kaikista tietojenkalasteluviesteistä, ja niitä havaitaan keskimäärin yli 1 100.000 kuukaudessa. Itse asiassa Espanja on toiseksi eniten tällaisia hyökkäyksiä tekevien maiden joukossa, toiseksi eniten vain Yhdysvaltojen jälkeen.
Mitä on quishing ja miksi se kukoistaa?
Tietojenkalastelu on pohjimmiltaan klassisen tietojenkalasteluhyökkäyksen muunnelma, mutta siinä on lisäelementti: haitallinen linkki on piilotettu QR-koodiin. Käyttäjä skannaa kuvan ja päätyy huijaussivustolle, joka voi varastaa hänen pankkisalasanansa, kirjautumistietonsa tai jopa asentaa haittaohjelmia hänen laitteelleen.
Yksi syy sen menestykseen on se, että linkin kohde ei ole heti näkyvissä. Epäilyttävässä sähköpostissa voit nähdä laittoman verkkotunnuksen; tässä kaikki on pakattu pikselien neliöksi. Lisäksi nämä koodit on upotettu viesteihin liitettynä kuvana tai PDF-tiedostona, ohittaen monet sähköpostin suojaussuodattimet. Ja temppu on vielä tehokkaampi, koska se siirtää viestinnän työtietokoneelta matkapuhelimeen, laitteeseen, jolla ei usein ole samaa suojaustasoa.
Myös sosiaalisella manipuloinnilla on merkittävä rooli. Rikolliset käyttävät tunnettujen tuotemerkkien, kuten DocuSignin tai Microsoftin, imagoa ja hyödyntävät kiireellisiä tilanteita esimerkiksi varoittamalla, että tili jäädytetään, jos sitä ei todenneta. Tämän seurauksena viesti saapuu postilaatikkoon, eikä työntekijä löydä mitään tavanomaisia tietojenkalasteluindikaattoreita, koska linkissä ei ole luettavaa tekstiä.
Hiljentyminen Espanjassa, hälytys joka ei lopu
Espanjasta on tullut merkittävä keskus tämän tyyppisille petoksille. ESET arvioi, että 17 % maailmanlaajuisista quishing-havainnoista keskittyy maahan, mikä vahvistaa, että tekniikka on löytänyt hedelmällisen maaperän. Yksi edustavimmista tapauksista ratkaistiin kansallisen kyberturvallisuusinstituutin (INCIBE) väliintulon ansiosta. Ravintolan asiakas skannasi ruokalistalla olevan QR-koodin, jota oli muutettu, ja tilasi tietämättään premium-palvelun.
Myös Espanjan kuluttajajärjestö OCU on nostanut esiin ongelman, jossa väärennettyjä QR-koodeja kiinnitetään autoihin liikennesakkojen simuloimiseksi. Kun uhri skannaa koodin maksaakseen sakon, hän luovuttaa korttitietonsa huijaussivustolle. Nämä huijaukset eivät lopu tähän: väärennetyillä QR-koodeilla varustettuja tarroja on nähty peittävän pysäköintimittareiden ja yhteiskäytössä olevien polkupyörien aitoja koodeja. Hyökkääjät peittävät alkuperäisen koodin tulostetulla koodilla, joka osoittaa heidän omaan verkkotunnukseensa.
ESETin laboratorioiden mukaan huhtikuu 2026 merkitsi havaintojen huippua, vaikka aikasarjat olivat jo alkaneet osoittaa tasaista kasvua. Mobiililaitteiden tietoturva ja yrityssähköposti ovat tärkeimmät suojat, mutta löyhät käyttäjätottumukset tekevät loput.
QR-huijauksen muut puolet
Kyse ei ole pelkästään massiivisista ravintola-asiakkaisiin kohdistuvista petoksista. Yhdysvaltain verovirasto (IRS) on myös havainnut kampanjoita, joissa on käytetty veroilmoituksiksi naamioituja fyysisiä kirjeitä, jotka sisältävät QR-koodin, joka lupaa kryptovaluutan omistajille tilien vahvistuksia tai asiakirjoja. Koodin skannaaminen vie uhrin verkkosivustolle, joka pyytää siemenlausekkeita tai yksityisiä avaimia – elementtiä, joka myöntää digitaalisten varojen hallinnan.
Myös valtioiden rooli on näiden ansojen takana . FBI:n tammikuussa 2026 antamassa tiedotteessa mainittiin Pohjois-Koreaan väitetysti kytköksissä oleva Kimsuky-ryhmä vastuussa QR-koodien kybervakoiluhyökkäyksistä, joissa he käyttivät tekosyitä, kuten hallituksen asiakirjoja tai lomakkeita, päästäkseen tutkimusorganisaatioihin. Toisin sanoen tekniikka on myös soluttautunut APT-ryhmien arsenaaliin tavoitteenaan vaarantaa arvokkaita verkkoja.
Kuinka suojautua tukahduttamiselta
Tärkein puolustuskeino tätä petosta vastaan on niinkin perustavanlaatuinen kuin skeptisyyden oppiminen. INCIBE suosittelee pitämään tauon ennen julkisella paikalla olevan QR-koodin skannaamista. Jos tarra näyttää irtoavan, siinä on merkkejä peukaloinnista tai se on suoraan toisen koodin päällä, sitä ei tule käyttää. Sähköpostien tapauksessa ole varovainen kaikkien ei-toivottujen viestien suhteen, jotka kehottavat sinua skannaamaan QR-koodin, varsinkin jos ne sisältävät liiallista aikapainetta.
On myös hyvä tarkistaa URL-osoite, johon koodi johtaa. Jos puhelimesi tarjoaa linkin esikatselun, etsi kirjoitusvirheitä, lyhennettyjä verkkotunnuksia tai outoja muunnelmia tutuista verkkosivustoista. Linkin automaattisen avaamisen poistaminen käytöstä QR-koodia skannattaessa on toinen hyödyllinen suojauskerros sekä iOS- että Android-järjestelmissä. Äläkä koskaan anna maksutietoja, tunnistetietoja tai lompakkotietoja varmistamatta ensin toisen kanavan kautta, että pyyntö on aito.
Yrityksille ESETin asiantuntijat suosittelevat quishingin sisällyttämistä tietoturvaohjelmiin ja tietojenkalastelusimulaatioihin. Teknologia on toinen keskeinen elementti: sähköpostisuodattimet, jotka pystyvät poimimaan ja analysoimaan tiedostoista QR-koodeja, suojaus yritysten mobiililaitteille ja tietojenkalastelulta suojattu todennus korkeiden käyttöoikeuksien tileille. Vähiten käyttöoikeuksien periaatteen soveltaminen ja ohjelmistojen pitäminen ajan tasalla ovat lisätoimenpiteitä, jotka estävät haitallisen skannauksen muuttumisen kriittiseksi verkkoriskiksi.
QR-koodien suosio ei ole uusi asia, mutta niiden aiheuttama uhkakaan ei ole. Tietojen huijaaminen on vakiintunut uhkaksi, joka siirtää tietoa näytön ja binäärikoodin kautta, ja tekstipohjaiseen tietojenkalasteluun toimivat keinot toimivat myös täällä, jos niitä sovelletaan maalaisjärkeä käyttäen. Espanja on jo tähtäimessä, ja ero uhriksi joutumisen ja pelon välttämisen välillä riippuu yksinkertaisesta tavasta tarkistaa ennen skannausta, ettei kohde ole huijaus.