קודי QR מזויפים: איך מזהים אותם ומה עושים אם כבר סרקתם

עודכן ב-28 באוקטובר 2026

קווישינג (quishing) הוא פישינג דרך קוד QR: קוד מזויף מוביל לדף שגונב סיסמה או פרטי כרטיס אשראי, או מנסה לגרום לכם להתקין אפליקציה מזיקה. כדי להתגונן, קראו את הכתובת שהטלפון מציג לפני שאתם פותחים אותה, וחשדו בכל קוד שמבקש מכם לשלם, להתחבר או להתקין משהו. כשמדובר בכסף, ותרו על הקוד: היכנסו בעצמכם לאתר הרשמי או לאפליקציה הרשמית.

קוד QR הוא בעצם קישור שאי אפשר לקרוא בעין, וזה בדיוק מה שהופך אותו לכלי נוח לנוכלים: מדבקה מודפסת או תמונה בהודעת דוא"ל מסתירות את הכתובת עד לרגע הסריקה. בהרצליה, למשל, עצרה המשטרה חשוד שהניח על מכוניות דוחות חניה מזויפים, עם קוד QR שהוביל לדף תשלום שאינו קשור לעירייה.

פישינג הוא גם סוג התקיפה הנפוץ ביותר שמדווח למוקד 119 של מערך הסייבר הלאומי: לפי הדוח השנתי של המערך, כ-13,700 מתוך כ-26,500 הדיווחים שהתקבלו ב-2025 עסקו בפישינג (CTech).

איפה מופיעים קודי QR מזויפים

• חניה. דוח שהושאר על השמשה ומבקש לסרוק קוד לתשלום מהיר, או מדבקה על מדחן או על שלט בחניון. הכסף ופרטי הכרטיס הולכים לנוכלים, ולפעמים מקבלים גם דוח אמיתי, כי החניה בכלל לא שולמה.
• עמדות טעינה לרכב חשמלי. בבריטניה הזהיר ארגון הנהגים RAC מפני קודים מזויפים על מכונות חניה ועל עמדות טעינה, והמליץ לשלם במזומן, בכרטיס או באפליקציה הרשמית. אותו כלל מתאים גם כאן: שלמו דרך האפליקציה של חברת הטעינה.
• מסעדות ובתי קפה. מדבקה על השולחן או על התפריט יכולה להוביל לתפריט או לדף תשלום מזויפים במקום לאלה של המסעדה.
• מכתבים, פתקים והודעות על חבילה. הודעות שמתחזות לדואר, לחברת שליחויות או לרשות מקומית מוכרות היטב מ-SMS. אותו תסריט יכול להגיע גם כקוד QR על פתק או במכתב: חבילה שמחכה, חוב שלא שולם או קנס.
• הודעות דוא"ל עם קוד QR. הודעה על סיסמה שעומדת לפוג או על מסמך שצריך לחתום עליו מבקשת לסרוק קוד. מסנני דואר מתקשים לבדוק תמונה יותר מאשר קישור, והסריקה מעבירה אתכם ממחשב מוגן בעבודה לטלפון. ה-FBI תיאר בדיוק את השיטה הזו בהתרעה מינואר 2026 על קבוצת האקרים שפועלת בחסות מדינה.
• מדבקות מעל קודים אמיתיים בכל מקום שמודפס בו קוד: שלטים, תחנות אוטובוס, חלונות ראווה ואריזות.

סימני אזהרה

סימן אחד לבדו לא מוכיח שמדובר בהונאה, אבל כל אחד מהם הוא סיבה לעצור ולבדוק.

• הקוד הוא מדבקה, במיוחד מדבקה שהודבקה מעל קוד אחר, עם קצוות מתרוממים או מתקלפים.
• הקוד מבקש מכם לשלם, להתחבר או להזין פרטי אשראי או פרטים אישיים.
• יש לחץ לפעול מיד: קנס שיוכפל, חשבון שייסגר, חבילה שתוחזר לשולח.
• הכתובת שהטלפון מציג לא תואמת את הגוף שהקוד מתיימר לייצג: שם אחר, מילה נוספת, שגיאת כתיב או סיומת לא רגילה.
• הכתובת היא קישור מקוצר, כך שאי אפשר לראות לאן הוא מוביל באמת.
• הדף מבקש להתקין אפליקציה או להוריד קובץ. התקינו אפליקציות רק מחנות האפליקציות הרשמית של הטלפון.
• הקוד הגיע בהודעת דוא"ל או במכתב שלא ציפיתם להם.

איך בודקים קוד QR לפני שפותחים אותו

בלי שום אפליקציה

1. הסתכלו על הקוד עצמו. אם זו מדבקה שהודבקה מעל משהו אחר, אל תסרקו אותה.
2. סרקו במצלמה של הטלפון, אבל אל תלחצו עדיין. ברוב הטלפונים המצלמה מציגה קודם את הכתובת.
3. קראו בעיון את שם האתר (הדומיין). הוא מסתיים לפני הלוכסן הבודד הראשון, ומה שקובע הוא הסוף שלו: בדרך כלל שני החלקים האחרונים, או שלושה בסיומות כמו .co.il ו-.gov.il. בכתובת https://tel-aviv.gov.il.pay-now.example/doch האתר הוא pay-now.example ולא אתר ממשלתי: כל אחד יכול להוסיף מילים מוכרות בהתחלה.
4. אם הקוד מבקש תשלום או התחברות, אל תשתמשו בו בכלל. היכנסו בעצמכם לאתר הרשמי שאתם מכירים או לאפליקציה הרשמית, ועשו את הפעולה שם. דוח חניה, למשל, בודקים ומשלמים באתר של הרשות המקומית לפי מספר הדוח.
5. אם אתם לא בטוחים, שאלו: את הצוות במסעדה, את מפעיל החניון או את השולח, במספר טלפון שמצאתם בעצמכם.

עם אפליקציית סריקה

אפליקציית סריקה יכולה להראות יותר מהמצלמה. האפליקציה שלנו, SafeScan QR לאנדרואיד, עוקבת אחרי ההפניות של הקישור כדי שתראו את היעד האמיתי, גם של קישור מקוצר, ובודקת אותו מול רשימות של אתרי פישינג ונוזקות ידועים לפני שאתם פותחים אותו. היא חינמית, עם אפשרות למנוי Pro.

אף בודק לא יכול להבטיח שקישור בטוח. ייתכן שאתר שהוקם לפני שעה עוד לא מופיע באף רשימה, ולכן תוצאה נקייה אומרת רק שהקישור לא תאם לאף איום ידוע בזמן הסריקה. ההרגלים שתיארנו למעלה עדיין חשובים, במיוחד כשמדובר בתשלום.

אם כבר סרקתם את הקוד

פתיחת הדף לבדה בדרך כלל לא גורמת נזק. מה שחשוב הוא מה עשיתם אחר כך. אם רק הסתכלתם, סגרו את הדף והקפידו לעדכן את הטלפון. אם הזנתם פרטים, שילמתם או התקנתם משהו, פעלו מהר, לפי הסדר הזה:

1. פרטי אשראי או בנק: התקשרו לחברת כרטיס האשראי או לבנק, במספר שמופיע על גב הכרטיס או באפליקציה הרשמית. בקשו לחסום את הכרטיס ולהכחיש את העסקה.
2. סיסמה: החליפו אותה מיד באתר האמיתי, וגם בכל חשבון אחר שבו השתמשתם באותה סיסמה.
3. אימות דו-שלבי: הפעילו אותו בדוא"ל, בבנק, בוואטסאפ ובשאר החשבונות החשובים, כדי שסיסמה גנובה לבדה לא תספיק.
4. אפליקציה שהתקנתם: הסירו אותה, ובדקו בהגדרות הטלפון אם יש אפליקציות שאתם לא מזהים.
5. עקבו אחרי פירוט החיובים בחודשים הקרובים, וחפשו חיובים שלא ביצעתם.
6. דווחו. דיווח עוזר לעצור את אותו הקוד לפני שאנשים נוספים ייפלו בפח.

לאן מדווחים על הונאת QR

• מוקד 119 של מערך הסייבר הלאומי פועל בכל שעות היממה ומקבל דיווחים על פישינג ועל הונאות ברשת. אפשר גם לדווח באתר gov.il.
• אם נגרם לכם נזק כספי, הגישו תלונה במשטרה, בתחנה או בבקשה מקוונת.
• עדכנו את מי שהמקום שייך לו: הרשות המקומית (ברוב הרשויות, דרך המוקד העירוני 106), מפעיל החניון, חברת הטעינה או המסעדה. הם יכולים להסיר את המדבקה ולהזהיר אחרים.

יוצרים קודי QR בעצמכם?

אם אתם מדפיסים קודים לעסק או לאירוע, קוד סטטי הוא הסוג האמין יותר: הכתובת כתובה בתוך הקוד עצמו, כך שאין באמצע שרת הפניות שמישהו יכול להשתלט עליו או לשנות את היעד. מחולל קודי ה-QR שלנו יוצר קודים סטטיים בדפדפן. הדפיסו את הקוד ישירות על השלט או על התפריט ולא כמדבקה נפרדת, כתבו לידו את כתובת האתר כדי שאפשר יהיה להקליד אותה, ובדקו מדי פעם שלא הודבקה מעליו מדבקה.

שאלות ותשובות

מה זה קווישינג?

קווישינג הוא פישינג דרך קוד QR, והשם הוא צירוף של QR ו-phishing. הקוד מוביל לדף מזויף שאוסף סיסמאות או פרטי אשראי, או שמנסה לגרום לכם להתקין אפליקציה מזיקה.

סריקה של קוד QR יכולה לפרוץ לטלפון?

הסריקה עצמה רק קוראת את תוכן הקוד. הסיכון מתחיל כשפותחים את הקישור ואז מזינים פרטים, משלמים או מתקינים משהו. עדכון של הטלפון ושל הדפדפן עוזר להגן מפני דפים שמנסים לנצל תוכנה ישנה.

איך יודעים שקוד QR זויף או הוחלף?

חפשו מדבקה מעל קוד מודפס, קצוות מתרוממים או מתקלפים, או קוד שנראה לא שייך לשלט רשמי. אחר כך בדקו את הכתובת שהטלפון מציג לפני שאתם פותחים אותה.

קיבלתם דוח חניה עם קוד QR. לשלם דרכו?

לא דרך הקוד. בדקו את הדוח באתר הרשמי של הרשות המקומית או במוקד שלה, לפי מספר הדוח, ושלמו שם אם הוא אמיתי.

כדאי לסרוק קוד QR שהגיע בדוא"ל?

התייחסו אליו כמו לקישור בהודעה ממישהו שאתם לא מכירים. אם כתוב בהודעה שהחשבון שלכם דורש טיפול, היכנסו לאפליקציה או הקלידו את כתובת האתר בעצמכם.