Jangan percaya QR sebelum lulus pemeriksaan.

Quishing adalah phishing via kode QR: penyerang mencetak, menempelkan stiker, mengirim email, atau mengirim DM berisi kode QR yang saat dipindai membuka halaman pemanenan kredensial, transaksi penguras dompet, jebakan WiFi terbuka, atau Android intent yang memasang malware secara diam-diam. QR itu sendiri hanyalah gambar, sehingga filter tautan email dan peringatan browser tidak mendeteksinya sampai ponsel korban sudah membuka tujuannya. Pertahanan harus terjadi saat pemindaian, sebelum ponsel mengikuti tautan tersebut.

Ada tiga perbedaan. Vektor serangan bersifat fisik atau visual — stiker di atas QR mesin parkir, selebaran tercetak yang meniru pendaftaran MFA, menu restoran QR yang diganti semalam — sehingga sepenuhnya melewati gateway email. Korban lebih mempercayai kode QR daripada tautan di email; QR terasa seperti tujuan yang dipilih oleh siapa pun yang mencetak permukaannya. Dan kode QR dinamis yang diarahkan melalui pemendek dapat diarahkan ulang ke tujuan phishing setelah aset cetak didistribusikan, sehingga QR yang aman saat dicetak bisa menjadi berbahaya berbulan-bulan kemudian. Pemindai tautan statis menjawab "apakah URL ini berbahaya sekarang", bukan "siapa yang dapat mengubah ke mana tautan ini mengarah".

Jangan arahkan kamera asli ponsel Anda ke QR tersebut — itu akan langsung membuka tujuannya. Sebaliknya, buka check.qr.abundera.ai di ponsel Anda, pindai QR melalui kamera dalam halaman (dekoding terjadi secara lokal; gambar tidak pernah meninggalkan perangkat Anda), dan baca hasilnya. Kami menelusuri setiap hop pengalihan, mengklasifikasikan apakah tujuan dapat dikendalikan oleh pihak ketiga setelah QR dicetak, dan memeriksa reputasi terhadap Google Safe Browsing dan agregator lainnya. Verdict Lulus aman untuk dibuka; verdict Perhatian dan Jangan dilanjutkan memberi tahu Anda alasannya.

Stiker di mesin parkir dan pengisi daya EV yang menutupi QR sah dengan QR yang mengarah ke halaman pemanenan kartu kredit — pola yang paling banyak dilaporkan pada 2024-2025, terdeteksi di Austin, San Antonio, dan seluruh UK. Menu restoran QR yang diganti ke halaman phishing semalam oleh penyerang yang secara fisik mengganti tenda meja. Selebaran pendaftaran MFA perusahaan di toilet kantor yang terlihat resmi tetapi mendaftarkan perangkat penyerang. QR undangan pernikahan yang didistribusikan berbulan-bulan sebelum acara, di mana kompromi akun pemendek memungkinkan penyerang mengarahkan ulang ribuan kartu cetak. QR pembayaran kripto di terminal point-of-sale yang ditimpa dengan alamat dompet penyerang. Benang merahnya: QR yang dicetak terlihat identik dengan yang asli.

Alat yang ada mengklasifikasikan apakah URL saat ini berbahaya. Kami juga mengklasifikasikan apakah tujuan dapat dikendalikan oleh pihak ketiga setelah QR dicetak — properti yang kami sebut mutabilitas. QR dinamis yang bersih dan diarahkan melalui pemendek tetap berisiko tinggi untuk stiker mesin parkir atau undangan pernikahan: pemegang akun pemendek dapat mengubah tujuan kapan saja. Kami menampilkan postur kendali ini sebagai field verdict utama bersama verdict ancaman-konten.

Tidak. Payload yang didekode dikirim ke server kami melalui HTTPS agar kami dapat menelusuri rantai dan mengkueri basis data reputasi — itu adalah keharusan fungsional, bukan pilihan — tetapi tidak pernah disimpan. Verdict di-cache menggunakan hash SHA-256 dari diskriminator per-jenis-payload yang digabungkan dengan salt rahasia yang disimpan server. Payload asli tidak dapat direkonstruksi dari entri cache mana pun.

qr.abundera.ai adalah generator yang menjanjikan semuanya di sisi klien: tidak ada yang meninggalkan perangkat Anda. Pemeriksa keamanan ini mengirimkan payload yang didekode ke server karena keharusan. Kami memisahkan dua permukaan ini agar janji klien-saja tetap bersih di domain generator, dan permukaan dengan model privasi terbalik tetap berlabel jelas di sini.

Tier Pro. Kirimkan QR untuk dilacak, dan kami akan menelusuri ulang rantainya secara berkala. Email akan dikirim saat target pengalihan, tujuan akhir, atau kumpulan operator layanan pengalihan berubah. Ini mendeteksi pola quishing-in-the-wild yang paling umum: cetak QR bersih, ganti tujuan ke phishing berbulan-bulan kemudian, panen pemindaian dari aset cetak.

Ya, di tier Pro. API bersifat RESTful, mengembalikan verdict JSON terstruktur dengan jenis-payload, kelas-ancaman, mutabilitas, rantai pengalihan, atribusi kendali per-hop, dan temuan sub-payload. Dirancang untuk disematkan dalam aplikasi dompet, suite keamanan mobile, pemfilteran URL enterprise, dan pengaya pratinjau tautan Slack / Teams perusahaan.

Tidak saat ini. Klasifikator bersifat closed-source selama proses paten masih berlangsung. Kami mungkin mempublikasikan implementasi referensi algoritma yang telah diungkapkan setelah paten diberikan. Kontrak API bersifat publik dan stabil.