Tietojenkalasteluhyökkäyksistä (quishing) on tullut yksi nopeimmin kasvavista uhkista tietojenkalastelun alalla. Idea on yksinkertainen: näennäisesti harmiton QR-koodi piilottaa huijaavan osoitteen. Microsoft on kvantifioinut tämän kasvun: maaliskuussa 2026 se havaitsi 18,7 miljoonaa tällaista hyökkäystä , kun tammikuussa niitä havaittiin 7,6 miljoonaa. Tämä on 146 prosentin kasvu vain kolmessa kuukaudessa.
Ongelma piilee toiminnoissa, joista on tullut osa jokapäiväistä rutiiniamme. Ravintolan ruokalistan skannaaminen, pysäköinnin maksaminen, lipun lataaminen tai turisti-infon etsiminen on tullut arkipäiväiseksi. Kyberrikolliset hyödyntävät tätä tuttua ominaisuutta. Áudean, Logicalis Espanjan kyberturvallisuusyksikön, asiantuntijat korostavat, että verkko-osoite pysyy piilossa , kunnes linkki avataan, mikä vähentää käyttäjän ensi silmäyksellä mahdollisesti havaitsemia varoitusmerkkejä.
Miksi QR-koodi piilottaa petoksen ja hyppää tietokoneelta mobiililaitteille
Toisin kuin tekstilinkki, QR-koodi ei näytä URL-osoitetta ennen skannausta. Andrés Cartes Guilarte, Áudean kyberturvallisuuskulttuurikonsultti, huomauttaa, että tämä läpinäkymättömyys on yksi hyökkääjien suurimmista eduista. Käyttäjä ei voi varmistaa kohteen aitoutta, ja monissa tapauksissa skannaus tehdään matkapuhelimella , mikä siirtää vuorovaikutuksen yrityksen tietokoneen ulkopuolelle ja yrityksen tietoturvakontrollien ulkopuolelle.
Kun linkki avataan, uhri voi päätyä sivuille, jotka matkivat yrityspalveluita, pankkialustoja tai todennusnäyttöjä. Tavoite riippuu petoksen tyypistä, mutta yleensä siihen liittyy tunnistetietojen, henkilötietojen tai taloudellisten tietojen hankkiminen . Tämä henkilöllisyyden anastus on uskottavampaa, kun viesti saapuu tuttuun kontekstiin, kuten oletettuun sisäiseen viestintään tai ilmoitukseen käyttäjän säännöllisesti käyttämästä tahosta.
Microsoft tunnisti myös noin 8.300 miljardia sähköpostitse levitettyä tietojenkalasteluuhkaa samana ajanjaksona. Yritys kuvaili quishingin nopeimmin kasvavaksi hyökkäysvektoriksi kyseisenä aikana, ja tämä trendi on linjassa QR-koodien käytön laajenemisen kanssa kaikenlaisissa ympäristöissä.
PDF-tiedostot, sähköpostit ja Microsoft 365 -dokumentit: ensisijaiset kanavat
Barracudan vuoden 2026 sähköpostiuhkien raportti paljastaa useita silmiinpistäviä havaintoja. 70 % analysoiduista haitallisista PDF-tiedostoista sisälsi QR-koodeja, jotka johtivat tietojenkalastelusivuille. Toisin sanoen asiakirja toimii naamiona, joka huijaa uhrin luottamaan tiedostoon eikä epäilemään sen sisällä olevaa koodia.
Samassa raportissa todetaan, että 56 % haitallisista Microsoft 365 -asiakirjoista sisälsi quishing-koodauksen. Lisäksi suoraan sähköpostien tekstiin upotettujen koodien määrä kasvoi 336 % maaliskuussa 2026. Hyökkääjät eivät rajoitu liitteisiin, vaan he sijoittavat QR-koodin myös itse viestitekstiin lisätäkseen mahdollisuuksia, että joku skannaa sen.
ESETin uhkaraportti H1 2026 osoittaa, että jopa 11 % kaikista tietojenkalasteluhyökkäyksistä vuoden ensimmäisellä puoliskolla tehtiin quishing-menetelmällä. Yritys varoittaa, että näistä tekniikoista on tulossa yhä hienostuneempia: joidenkin kampanjoiden tavoitteena on hankkia monivaiheisen todennustunnisteita, asentaa haittaohjelmia, huijata uhreja lataamaan haitallisia sovelluksia tai käyttää laillisia puhelinsovelluksia osana huijausta.
Josep Albors, ESET Espanjan tutkimus- ja tiedotuspäällikkö, selittää, että hyökkääjät voivat peittää koodin edelleen upottamalla sen PDF-tiedostoihin, JPEG-kuviin tai muihin asiakirjoihin tai käyttämällä palveluita, jotka lyhentävät URL-osoitteita ennen QR-koodin luomista. Samalla koodin mukana tuleva viesti voi sisältää hyvin vähän tekstiä, mikä poistaa klassiset vihjeet, kuten kirjoitusvirheet, näkyvät linkit tai epätavalliset verkkotunnukset.
Ravintolan ruokalistalta parkkipaikalle: fyysinen riski ja puolustustoimenpiteet
Vaara ei lopu sähköpostiisi. Ravintoloihin, kauppoihin, julkiseen liikenteeseen, pysäköintialueille ja matkailupalveluihin sijoitetut QR-koodit aiheuttavat saman ongelman: et voi tarkistaa, millä sivulla ne näkyvät, ennen kuin skannaat koodin. Lisäksi julkisissa tiloissa koodia on saatettu peukaloida tai korvata vilpillisellä koodilla.
Elokuussa INCIBE dokumentoi tosielämän tapauksen, joka havainnollistaa riskiä täydellisesti. Käyttäjä skannasi ravintolan ruokalistan QR-koodin ja napsautettuaan linkkiä ja hyväksyttyään ponnahdusikkunan aktivoi vahingossa pyytämättömän premium-tilauksen . Saman paikan muut asiakkaat kokivat samanlaisia tilanteita, mikä osoittaa, että ongelma ei ollut yksittäiseen henkilöön liittyvä eristystapaus.
Tämän teknologian laajeneminen selittää osan ilmiöstä. QR TIGERin kokoamien tietojen mukaan noin 75 % ravintoloista maailmanlaajuisesti käyttää jo QR-koodeja digitaalisten ruokalistojen käytön helpottamiseksi. Tämän työkalun käyttö markkinoinnissa ja mainonnassa kasvoi 323 % vuosien 2021 ja 2023 välillä, mikä auttaa selittämään, miksi rikolliset ovat keskittyneet siihen.
Yrityksille ESET suosittelee quishing-koulutuksen sisällyttämistä tiedotusohjelmiin ja simulaatioharjoituksiin, jotta työntekijät oppivat tunnistamaan epäilyttävät QR-koodit. Se myös neuvoo olemaan skannaamatta koodeja pyytämättömissä sähköposteissa ja suosittelee ilmoittamaan kaikista epäilyttävistä viesteistä.
Kun työntekijä uskoo viestin tulevan luotettavasta lähteestä, on suositeltavaa varmistaa se riippumattoman kanavan kautta käyttämällä yhteystietoja, joita ei löydy itse sähköpostista. Tämä varmennus estää vahvistuksen luottamasta mahdollisen hyökkääjän lähettämiin tietoihin.
Myös teknisellä suojauksella on merkitystä. Mainittujen toimenpiteiden joukossa ovat sähköpostin tietoturvaratkaisut, mobiililaitteiden tietoturvatyökalut, laitehallinta MDM:n kautta, tietojenkalastelulta suojattu monivaiheinen todennus , pienimmän käyttöoikeuden periaate, just-in-time-käyttö, säännölliset päivitykset ja poikkeavan käyttäytymisen valvonta. Lisäksi on tärkeää testata häiriötilanteisiin reagointisuunnitelmia nopean reagoinnin varmistamiseksi hyökkäyksen sattuessa.
- Sähköposti- ja mobiiliturvallisuus estääkseen haitallisia linkkejä ja koodia.
- MDM-laitehallinta soveltamaan vähimmäiskäytäntöjä.
- Tietojenkalastelulta suojattu MFA ja vähiten etuoikeuksien periaate.
- Päivitykset, juuri oikeaan aikaan -käyttö ja jatkuvaa valvontaa.
Kaikkien näiden lukujen paljastama kaava on selvä: QR-koodit ovat löytäneet paikkansa jokapäiväisessä elämässä, koska ne ovat käteviä, nopeita ja kaikkialla läsnä olevia. Juuri tämä läsnäolo tekee niistä vaikeasti havaittavia uhkia. Tärkeintä on olla varovainen odottamattomien tilanteiden suhteen , tarkistaa konteksti ennen skannausta ja toteuttaa turvatoimenpiteitä, jotka ovat käyttäjän mukana sähköpostista mobiililaitteisiin, mukaan lukien asiakirjat ja fyysiset tilat.
