क्या QR कोड से वायरस आ सकता है?

नहीं — एक QR कोड में खुद कोई वायरस नहीं हो सकता। एक QR कोड मतन की एक छोटी स्ट्रिंग की प्रिंटेड एनकोडिंग है, और मतन चलने लायक नहीं होता। ऐसा कोई तंत्र नहीं जिससे काले और सफेद वर्गों का पैटर्न आपके फोन पर कोड चला सके।

लेकिन इसका मतलब यह नहीं कि स्कैन करना हमेशा सुरक्षित है, और ऐसा दिखावा करना बेईमानी होगी। असल सवाल यह नहीं कि आपको एक qr code से वायरस मिल सकता है या नहीं — सवाल है उसके अंदर का मतन आपको कहां ले जाता है, और आप उसके बाद क्या करते हैं। लगभग हर असली QR-संबंधी सुरक्षा घटना एक तकनीकी समस्या के भेस में एक फिशिंग या धोखाधड़ी की समस्या है: कोड आपको एक भरोसेमंद दिखने वाले नकली पेज पर ले जाता है, और नुकसान तब होता है जब आप पासवर्ड डालते हैं, भुगतान मंज़ूर करते हैं या कुछ इंस्टॉल करते हैं।

यह गाइड बताती है कि असल में क्या हो सकता है और क्या नहीं, और स्कैन के पल पर क्या करना चाहिए।

एक QR कोड एक स्ट्रिंग स्टोर करता है — असल दुनिया में प्रिंट होने वाली किसी भी चीज़ के लिए आमतौर पर 300 अक्षरों से कम। वह स्ट्रिंग एक URL, एक फोन नंबर, एक Wi-Fi कॉन्फ़िगरेशन, एक भुगतान अनुरोध या सादा मतन हो सकती है। हमारा QR कोड कैसे काम करते हैं व्याख्यान एनकोडिंग विस्तार से बताता है।

एक QR कोड में क्या नहीं हो सकता:

• एक चलने लायक फाइल। किसी प्रोग्राम को एनकोड करके अपने आप चलाने का कोई तंत्र नहीं है। अधिकतम क्षमता पर भी एक QR कोड लगभग 2,953 बाइट रखता है — लगभग किसी भी असली सॉफ्टवेयर से छोटा, और वैसे भी स्कैनर सामग्री को कोड नहीं, मतन मानता है।
• स्कैन पर चलने वाली कोई स्क्रिप्ट। आपका कैमरा ऐप स्ट्रिंग डिकोड करके उसे दिखाता है या एक क्रिया की पेशकश करता है। यह कुछ भी चलाता नहीं।
• कुछ भी जो आपकी भागीदारी के बिना काम करे। एक स्कैन के हर असली नतीजे के लिए आपकी तरफ से कम से कम एक और क्रिया चाहिए — एक लिंक दबाना, डेटा डालना, एक अनुरोध मंज़ूर करना, एक ऐप इंस्टॉल करना।

आखिरी बात ही अहम है, और यह वाकई ताकत देती है: स्कैन खुद खतरनाक कदम नहीं है। खतरनाक कदम हमेशा बाद में आता है।

असली जोखिम, भारत में वे कितनी बार असली नुकसान करते हैं उसके मोटे क्रम में:

• फिशिंग पेज (quishing)। कोड किसी बैंक, वॉलेट, डिलीवरी-ट्रैकिंग या सरकारी पोर्टल की भरोसेमंद दिखने वाली नकल खोलता है, और क्रेडेंशियल, कार्ड विवरण या एक OTP मांगता है। यह कहीं ज़्यादा आम और सबसे महंगा तरीका है।
• धोखाधड़ी वाले भुगतान अनुरोध। एक स्कैन एक UPI collect अनुरोध या पहले से भरा भुगतान खोलता है। इसका क्लासिक रूप है "पैसे पाने के लिए स्कैन करें" वाला जाल — आप पैसे पाने के लिए कभी कोड स्कैन नहीं करते, सिर्फ भेजने के लिए करते हैं। रिफंड या इनाम पाने के तरीके के रूप में पेश किया गया कोई भी कोड बनावट से ही धोखाधड़ी है।
• वैध कोड पर बदले हुए स्टिकर। एक असली दुकान या पार्किंग-भुगतान QR पर चिपकाया गया धोखाधड़ी वाला स्टिकर आपका पैसा किसी और के खाते में भेज देता है। दुकान असली है, प्लेसमेंट असली है, कोड नहीं।
• ड्राइव-बाय डाउनलोड प्रॉम्प्ट। एक दुर्भावनापूर्ण पेज आपको एक APK डाउनलोड करने या एक प्रोफाइल इंस्टॉल करने को कह सकता है। यह चुपचाप नहीं हो सकता — आपको प्रॉम्प्ट स्वीकार करना पड़ता है और एंड्रॉइड पर अनजान स्रोत से इंस्टॉल की साफ अनुमति देनी पड़ती है।
• ट्रैकिंग और फिंगरप्रिंटिंग। कम नाटकीय लेकिन असली: खुला हुआ पेज आपका IP, डिवाइस और अनुमानित लोकेशन दर्ज कर सकता है। यह सामान्य वेब व्यवहार है, मैलवेयर नहीं, और यह आपके खोले किसी भी लिंक पर लागू होता है।

इसे घबराहट के बजाय असली रिपोर्ट किए आंकड़ों पर टिकाना ज़रूरी है।

भारतीय रिज़र्व बैंक की 2024-25 की वार्षिक रिपोर्ट ने बैंकिंग व्यवस्था में ₹3,497 करोड़ के 11,615 धोखाधड़ी मामले दर्ज किए, जो पिछले साल के 35,530 मामलों और ₹5,856 करोड़ से कम हैं — गिनती और मूल्य दोनों में अच्छी-खासी गिरावट। इसके भीतर, कार्ड और इंटरनेट धोखाधड़ी संख्या के हिसाब से मामलों का 66.8% (7,756 घटनाएं) थी लेकिन रकम का सिर्फ 7.2%, यानी ₹252 करोड़।

यह पैटर्न ध्यान से पढ़ने लायक है, क्योंकि यह कुछ काम की बात कहता है: भारत में डिजिटल-चैनल धोखाधड़ी बारंबारता में ऊंची और औसत मूल्य में कम है। ये कुछ परिष्कृत तकनीकी सेंधों के बजाय व्यक्तियों को निशाना बनाने वाले बड़ी संख्या में छोटे, मौकापरस्त घोटाले हैं। और QR-आधारित धोखाधड़ी की बनावट ठीक यही है — पेट्रोल पंप पर बदला हुआ एक स्टिकर, एक नकली रिफंड पेज, गलत खाते में जाने वाला एक ₹500 का भुगतान।

व्यावहारिक निहितार्थ एक तरह से आश्वस्त करने वाला है और दूसरी तरह से सचेत करने वाला। आपके किसी QR कोड के ज़रिये किसी परिष्कृत तकनीकी शोषण से टकराने की संभावना बहुत कम है। आपके किसी सोशल-इंजीनियरिंग कोशिश से टकराने की संभावना ठीक-ठाक है — जिसे एंटीवायरस सॉफ्टवेयर नहीं, ध्यान हराता है।

एक छोटी, वास्तविक चेकलिस्ट जो अधिकांश जोखिम कवर करती है:

• दबाने से पहले URL प्रीव्यू पढ़ें। हर आधुनिक फोन कैमरा खोलने से पहले डेस्टिनेशन दिखाता है। यह अकेली आदत ज़्यादातर quishing कोशिशों को हरा देती है। डोमेन देखें — पहले अकेले स्लैश से ठीक पहले वाला हिस्सा — बाकी स्ट्रिंग नहीं।
• मिलते-जुलते डोमेन पर शक करें। sbi-verify.co sbi.co.in नहीं है। hdfc-secure.in hdfcbank.com नहीं है। हमलावर इसी पर भरोसा करते हैं कि आप ब्रांड का नाम पढ़कर वहीं रुक जाएंगे।
• किसी अनचाहे कोड को स्कैन करके पहुंचे पेज पर कभी OTP, PIN या पासवर्ड न डालें। खुद उस सेवा पर जाएं, उसके ऐप या बुकमार्क किए पते से, और वहां जांचें।
• पैसे पाने के लिए कभी कोड स्कैन न करें। UPI ऐसे काम नहीं करता। एक कोड सिर्फ आपकी तरफ से भुगतान शुरू कर सकता है।
• भौतिक कोड में छेड़छाड़ जांचें। एक प्रिंटेड कोड पर चिपका स्टिकर, उखड़ता किनारा, आसपास की प्रिंट क्वालिटी से मेल न खाता कोड — सब दोबारा देखने लायक। हमारी नकली QR कोड पहचानने की गाइड इसे विस्तार से बताती है।
• स्कैन किया पेज जो कुछ इंस्टॉल करने को कहे, वह इंस्टॉल न करें। ऐप Play Store या App Store से लें, खुद खोजकर।
• अपना फोन अपडेट रखें। अगर आप किसी दुर्भावनापूर्ण पेज पर पहुंच ही जाएं, तो ब्राउज़र और OS के सुरक्षा पैच ही आपकी रक्षा करते हैं।

ऐसे ऐप की एक श्रेणी है जो QR कोड को "सुरक्षित तरीके" से स्कैन करके आपकी रक्षा का वादा करती है। ज़्यादातर लोगों के लिए वे कम ही जोड़ते हैं, और अपने साथ अपने जोखिम लाते हैं।

आपके फोन का बिल्ट-इन कैमरा पहले से वही एक काम करता है जो मायने रखता है: यह खोलने से पहले आपको डेस्टिनेशन दिखाता है। यही पूरा सुरक्षा तंत्र है, और यह मुफ्त और पहले से मौजूद है। एक थर्ड-पार्टी स्कैनर एक URL प्रतिष्ठा जांच जोड़ता है, जो किनारे पर मदद करती है लेकिन उतनी ही अच्छी है जितनी उसकी ब्लॉकलिस्ट — और नए बने फिशिंग डोमेन, जो इनमें से ज़्यादातर हैं, अभी किसी ब्लॉकलिस्ट पर होंगे ही नहीं।

दूसरी तरफ, एक थर्ड-पार्टी स्कैनर ऐप कैमरा अनुमति और आपके स्कैन किए हर कोड की पूरी दृश्यता वाला एक ऐप है, एक ऐसे डेवलपर का जिसके बारे में आप कुछ न जानते हों। कई विज्ञापन-समर्थित हैं और कुछ डेटा संग्रह को लेकर आक्रामक हैं।

ईमानदार सुझाव: अपने फोन का नेटिव कैमरा इस्तेमाल करें, URL पढ़ें, और ध्यान एक और ऐप इंस्टॉल करने के बजाय प्रीव्यू पर खर्च करें।

अगर आप QR कोड प्रिंट करने वाला कारोबार हैं, तो ग्राहक की हिचक अब एक असली कन्वर्ज़न लागत है — और कुछ खास चीज़ें इसे घटाती हैं:

• बताएं कि कोड कहां जाता है। "आज के मेन्यू के लिए स्कैन करें" एक खाली कोड से बेहतर है, क्योंकि स्कैन रोकने वाली चीज़ अनिश्चितता है।
• एक ब्रांडेड छोटा डोमेन इस्तेमाल करें (Premium प्लान, ₹14,999/माह)। आपका अपना डोमेन दिखाता URL प्रीव्यू ठीक उस पल एक जांचा जा सकने वाला भरोसे का संकेत है जब ग्राहक फैसला कर रहा है।
• ज़्यादा आवाजाही वाले प्लेसमेंट नियमित रूप से जांचें। आपके काउंटर के कोड पर बदला हुआ स्टिकर आपके ग्राहक और आपकी साख दोनों को नुकसान पहुंचाता है, और आमतौर पर आपको सबसे आखिर में पता चलेगा।
• स्कैन करके पहुंचे पेज पर कभी OTP या पासवर्ड न मांगें। अगर आपका अपना प्रवाह यह करता है, तो आप अपने ग्राहकों को ठीक वही व्यवहार सिखा रहे हैं जिससे वे कहीं और ठगे जाते हैं।
• एनालिटिक्स में असामान्यता देखें। किसी कोड पर बिना व्याख्या का भौगोलिक या मात्रा का उछाल अक्सर पहला दिखने वाला संकेत होता है कि कुछ गलत है।

हमारी QR कोड सुरक्षा और quishing रोकथाम गाइड ब्रांड-सुरक्षा पक्ष पूरा बताती है।

SMLLR पर अपना QR कोड बनाएं — डायनामिक डेस्टिनेशन के साथ, जिन्हें किसी लिंक से समझौता होने पर आप तुरंत बदल सकते हैं।