Ikke stol på en QR før den er godkjent.

Quishing er QR-kode-phishing: en angriper skriver ut, setter klistremerke, sender e-post eller DM med en QR-kode som, når den skannes, åpner en legitimasjonshøstingsside, en lommebokdrenertransaksjon, en åpen WiFi-felle eller en Android-intent som sidelaster skadevare. QR-en i seg selv er bare et bilde, så e-postlenkefiltere og nettleseradvarsler ser det aldri – inntil offerets telefon allerede har åpnet destinasjonen. Forsvaret må skje ved skannetidspunktet, før telefonen følger lenken.

Tre forskjeller. Angrepsvektoren er fysisk eller visuell – et klistremerke over en parkeringsmåler-QR, en trykt flyer som etterligner en MFA-registrering, en restaurantmeny-QR erstattet over natten – så den omgår e-postgatewayer helt. Ofre stoler mer på QR-koder enn på lenker i e-post; en QR føles som et mål valgt av den som trykket overflaten. Og dynamiske QR-koder som ruter gjennom en forkortning kan pekes mot en phishing-destinasjon etter at det trykte materialet er distribuert, så en QR som var trygg ved utskriftstidspunktet kan bli fiendtlig måneder senere. Statiske lenke-skannere svarer «er denne URL-en skadelig akkurat nå», ikke «hvem kan endre hvor dette peker».

Ikke pek telefonens native kamera mot den – det åpner destinasjonen umiddelbart. Åpne i stedet check.qr.abundera.ai på telefonen, skann QR-en gjennom kameraet på siden (dekoding skjer lokalt; bildet forlater aldri enheten din), og les kjennelsen. Vi går gjennom hvert videresendingshopp, klassifiserer om destinasjonen kan kontrolleres av en tredjepart etter at QR-en ble trykket, og sjekker omdømme mot Google Safe Browsing og andre aggregatorer. Godkjent-kjennelser er trygge å åpne; Forsiktig og Ikke gå videre-kjennelser forteller deg hvorfor.

Parkeringsmåler- og EV-laderklistremerker som legger en legitim QR over en som peker til en kredittkortdatahøstingsside – det mest rapporterte mønsteret for 2024–2025, observert i Austin, San Antonio og over hele Storbritannia. Restaurant-meny-QR-er byttet til phishing-sider over natten av en angriper som fysisk erstatter borddekket. Bedrifts-MFA-registrerings-flyers på kontorbad som ser offisielle ut, men registrerer angriperens enhet. Bryllupsinvitasjon-QR-er distribuert måneder før arrangementet, der et forkortningskontobytte lar en angriper peke tusenvis av trykte kort på nytt. Kryptobetalings-QR-er på salgsterminaler lagt over med angriperens lommebokadresse. Den røde tråden: den trykte QR-en ser identisk ut som den trygge.

Eksisterende verktøy klassifiserer om en URL er skadelig akkurat nå. Vi klassifiserer i tillegg om destinasjonen kan kontrolleres av en tredjepart etter at QR-en ble trykket – en egenskap vi kaller muterbarhet. En ren dynamisk QR ruter gjennom en forkortning er fortsatt høyrisikofor et parkeringsmåler-klistremerke eller bryllupsinvitasjon: forkortningskontoinnehaveren kan endre destinasjonen når som helst. Vi viser denne kontrollposisjonen som et førsteklasses kjennelsesfelt ved siden av trusselinnholdskjennelsen.

Nei. Den dekodede nyttelasten reiser til serveren vår over HTTPS slik at vi kan gå gjennom kjeden og spørre omdømmebaser – det er en funksjonsnødvendighet, ikke et valg, men den lagres aldri. Kjennelser er bufret med en SHA-256-hash av en per-nyttelasttype-diskriminator sammenkjedet med et serversideholdt hemmelig salt. Den originale nyttelasten kan ikke rekonstrueres fra noen bufferoppføring.

qr.abundera.ai er en generator som lover alt-klient-side: ingenting forlater enheten din. Denne sikkerhetssjekkerover sender den dekodede nyttelasten til serveren av nødvendighet. Vi separerer de to overflatene slik at klient-kun-løftet forblir rent på generatordomenet, og overflaten med invertert personvernmodell forblir tydelig merket her.

Pro-nivå. Send inn en QR for sporing, og vi går gjennom kjeden på nytt med jevne mellomrom. E-post når videresendingsmål, endelig destinasjon eller settet av operatører av videresendingstjenester endres. Dette fanger opp det vanligste quishing-i-praksis-mønsteret: trykk en ren QR, bytt destinasjonen til phishing måneder senere, høst skanninger fra det trykte materialet.

Ja, på Pro-nivå. API-en er RESTful, returnerer en strukturert JSON-kjennelse med nyttelasttype, trusselklasse, muterbarhet, videresendingskjede, per-hopp-kontrollattribusjon og under-nyttelastfunn. Designet for innbygging i lommebokapper, mobile sikkerhetssuiter, bedrifts-URL-filtrering og bedrifts Slack / Teams lenkeforhåndsvisning-berikere.

Ikke på dette tidspunktet. Klassifisereren er lukket kildekode mens det underliggende patentarbeidet er under behandling. Vi kan publisere referanseimplementasjoner av offentliggjorte algoritmer etter tildeling. API-kontrakten er offentlig og stabil.