Stol ikke på en QR, før den er godkendt.

Quishing er QR-kode-phishing: en angriber udskriver, klistrer, sender via e-mail eller DM en QR-kode, der, når den scannes, åbner en side der høster legitimationsoplysninger, en wallet-drainer-transaktion, en åben WiFi-fælde eller en Android-intent der sideloader malware. QR-koden selv er bare et billede, så e-mail-link-filtre og browsere ser det aldrig – indtil offerets telefon allerede har åbnet destinationen. Forsvaret skal ske ved scanningstidspunktet, inden telefonen følger linket.

Tre forskelle. Angrebet er fysisk eller visuelt – en mærkat over en parkeringsautomat-QR, en trykt flyer der udgiver sig for en MFA-tilmelding, en restaurantmenu-QR erstattet natten over – og det omgår e-mail-gateways fuldstændigt. Ofre har tillid til QR-koder mere end til links i e-mails; en QR føles som en destination valgt af den der har trykt den. Og dynamiske QR-koder der rutes via en forkortingstjeneste kan peges mod en phishing-destination efter det trykte materiale er distribueret – en QR der var sikker ved udskrivning kan blive fjendtlig måneder senere. Statiske link-scannere svarer på "er denne URL skadelig nu" – ikke "hvem kan ændre, hvad den peger på".

Peg ikke din telefons native kamera mod den – det åbner destinationen med det samme. Åbn i stedet check.qr.abundera.ai på din telefon, scan QR-koden via kameraet i siden (afkodning sker lokalt; billedet forlader aldrig din enhed) og læs resultatet. Vi gennemgår hvert omdirigeringshop, klassificerer om destinationen kan kontrolleres af en tredjepart efter QR-koden er trykt, og tjekker omdømme mod Google Safe Browsing og andre aggregatorer. Godkendte resultater er sikre at åbne; Forsigtighed og Gå ikke videre-resultater forklarer hvorfor.

Parkeringsautomat- og EV-lader-mærkater der dækker den legitime QR med en der peger mod en kreditkortoplysningshøstningsside – det mest rapporterede mønster i 2024-2025, observeret i Austin, San Antonio og på tværs af UK. Restaurantmenu-QR'er skiftet ud med phishing-sider natten over af en angriber der fysisk udskifter bordskiltet. Virksomheds-MFA-tilmeldings-flyers på kontorbadeværelser der ser officielle ud men tilmelder angriberens enhed. Bryllupsindbydelses-QR'er distribueret måneder før arrangementet, hvor et kompromitteret forkortingskonto lader en angriber pege tusindvis af trykte kort et nyt sted. Kryptobetaling-QR'er ved kasseterminalerne overlejret med angriberens tegnebogsadresse. Den røde tråd: den trykte QR er identisk med den sikre.

Eksisterende værktøjer klassificerer om en URL er skadelig aktuelt. Vi klassificerer derudover om destinationen kan kontrolleres af en tredjepart efter QR-koden er trykt – en egenskab vi kalder muterbarhed. En ren dynamisk QR rutes via en forkortingstjeneste er stadig høj-risiko for en parkeringsautomat-mærkat eller bryllupsindbydelses: forkortingskontoens indehaver kan ændre destinationen når som helst. Vi viser denne kontrol-posture som et første-klasses resultatfelt ved siden af trusselindholdsresultatet.

Nej. Den afkodede payload rejser til vores server via HTTPS, så vi kan gennemgå kæden og forespørge omdømmedatabaser – det er en funktionel nødvendighed, ikke et valg – men den gemmes aldrig. Resultater caches ved en SHA-256-hash af en payload-type-diskriminator sammensat med en serverholdt hemmelig salt. Den originale payload kan ikke rekonstrueres fra nogen cachepost.

qr.abundera.ai er en generator der lover alt-klient-side: intet forlader din enhed. Denne sikkerhedstjekker sender det afkodede payload til serveren af nødvendighed. Vi adskiller de to overflader, så løftet om kun klient-siden forbliver rent på generatordomænet, og overfladen med den omvendte privatlivsmodel er klart mærket her.

Pro-niveau. Indsend en QR til sporing, og vi gennemgår kæden periodisk. E-mail når omdireringsmål, slutdestination eller mængden af videresendelsestjenesteoperatører ændres. Dette fanger det mest almindelige quishing-i-naturen-mønster: udskriv en ren QR, skift destinationen til phishing måneder senere, høst scanninger fra det trykte materiale.

Ja, på Pro-niveauet. API'en er RESTful og returnerer et struktureret JSON-resultat med payload-type, trusselklasse, muterbarhed, omdirigeringskæde, per-hop-kontrolattribuering og sub-payload-fund. Designet til indlejring i tegnebogs-apps, mobilsikkerhedspakker, virksomheds-URL-filtrering og virksomheds Slack/Teams-linkforhåndsvisnings-beriggere.

Ikke på nuværende tidspunkt. Klassifikatoren er closed-source mens det underliggende patentarbejde er under behandling. Vi offentliggør muligvis referenceimplementeringer af afslørede algoritmer efter udstedelse. API-kontrakten er offentlig og stabil.