Lita inte på en QR förrän den är godkänd.

Quishing är QR-kodsphishing: en angripare skriver ut, klistrar, mejlar eller skickar en QR-kod som, när den skannas, öppnar en sida för att stjäla inloggningsuppgifter, en plånbokstömmar-transaktion, en öppen WiFi-fälla eller en Android-intent som sidoladdas med skadlig kod. QR-koden är bara en bild, så e-postlänkfilter och webbläsarvarningar ser den aldrig förrän offrets telefon redan har öppnat destinationen. Försvaret måste ske vid skanningen, innan telefonen följer länken.

Tre skillnader. Attackvektorn är fysisk eller visuell — ett klistermärke över en parkeringsautomats QR-kod, en utskriven flyer som utger sig för att vara MFA-registrering, en restaurangs meny-QR utbytt natten — så den kringgår e-postgateways helt. Offer litar mer på QR-koder än på länkar i e-post; en QR uppfattas som ett mål valt av den som tryckt ytan. Och dynamiska QR-koder som dirigeras via en kortlänk kan pekas om till en phishing-destination efter att det utskrivna materialet distribuerats, så en QR som var säker vid utskrift kan bli fientlig månader senare. Statiska länkscannrar svarar på "är denna URL skadlig just nu", inte "vem kan ändra vart den pekar".

Rikta inte din telefons inbyggda kamera mot den — det öppnar destinationen omedelbart. Öppna istället check.qr.abundera.ai på din telefon, skanna QR-koden via sidans kamera (avkodning sker lokalt; bilden lämnar aldrig din enhet) och läs utfallet. Vi går igenom varje omdirigeringshopp, klassificerar om destinationen är kontrollerbar av en tredje part efter att QR-koden trycktes, och kontrollerar ryktet mot Google Safe Browsing och andra sammanställare. Godkänd utfall är säkra att öppna; Varning och Gå inte vidare berättar varför.

Parkeringsautomater och laddstationsklistermärken som täcker den legitima QR-koden med en som pekar till en sida för att stjäla kortuppgifter — det mest rapporterade mönstret 2024–2025, observerat i Austin, San Antonio och i hela Storbritannien. Restaurangens meny-QR:er bytta till phishing-sidor natten av en angripare som fysiskt byter bordstent. Företags MFA-registreringsflyers på kontorsbathrum som ser officiella ut men registrerar angriparens enhet. Bröllopsinbjudans QR:er distribuerade månader före evenemanget, där ett kortlänkskontobyte låter en angripare peka om tusentals utskrivna kort. Krypto-betalnings-QR:er vid kassaterminaler övertäckta med angriparens plånboksadress. Den gemensamma tråden: den utskrivna QR-koden ser identisk ut med den säkra.

Befintliga verktyg klassificerar om en URL för tillfället är skadlig. Vi klassificerar dessutom om destinationen är kontrollerbar av en tredje part efter att QR-koden trycktes — en egenskap vi kallar föränderbarhet. En ren dynamisk QR dirigerad via en kortlänk är fortfarande högrisk för ett parkeringsautomatklistermärke eller ett bröllopskort: kortlänkskontots ägare kan ändra destinationen när som helst. Vi visar denna kontrollposition som ett förstklassigt utfallsfält bredvid hotinnehållsutfallet.

Nej. Den avkodade payloaden skickas till vår server via HTTPS så att vi kan gå igenom kedjan och fråga ryktes databaser — det är en funktionell nödvändighet, inte ett val, men den lagras aldrig. Utfall cachas med en SHA-256-hash av en per-payload-typ-diskriminator sammankopplad med ett serverhållet hemligt salt. Den ursprungliga payloaden kan inte rekonstrueras från någon cache-post.

qr.abundera.ai är en generator som lovar allt-klientsidan: inget lämnar din enhet. Den här säkerhetschecken skickar den avkodade payloaden till servern av nödvändighet. Vi separerar de två ytorna så att löftet om klientexklusivitet förblir rent på generatordomänen, och ytan med omvänt integritetsmodell är tydligt märkt här.

Pro-nivå. Skicka in en QR för spårning, och vi går igenom kedjan på nytt med jämna mellanrum. E-post när omdirigeringsmålen, slutdestinationen eller uppsättningen av omdirigeringstjänstoperatörer ändras. Det fångar det vanligaste quishing-i-naturen-mönstret: skriv ut en ren QR, byt destination till phishing månader senare, skörda skanningar från det utskrivna materialet.

Ja, på Pro-nivå. API:et är RESTful, returnerar ett strukturerat JSON-utfall med payload-typ, hotklass, föränderbarhet, omdirigeringskedja, per-hopp-kontrollattribuering och sub-payload-fynd. Utformat för inbäddning i plånboksappar, mobilsäkerhetssviter, enterprise-URL-filtrering och Slack/Teams-länkförhandsgranskning för företag.

Inte för tillfället. Klassificeraren är sluten källkod medan det underliggande patentarbetet fortfarande behandlas. Vi kan publicera referensimplementationer av redovisade algoritmer efter beviljande. API-kontraktet är offentligt och stabilt.