QR code নিজে টাকা নেয় না; এটি text, website link, payment address, Wi-Fi detail বা app action বহন করে। সমস্যা হলো scan করার আগে destination চোখে দেখা যায় না। Fraudster genuine payment stand-এর উপর sticker লাগাতে পারে, fake parking notice পাঠাতে পারে, parcel refund-এর নামে remote-support app খুলতে বলতে পারে অথবা “টাকা পেতে QR scan করুন” বলে collect request approve করাতে পারে। নিরাপত্তার মূল নিয়ম—scan করার পরেও final destination ও action যাচাই না করে এগোবেন না।

QR কোথায় লাগানো আছে দেখুন

Shop counter, restaurant menu, parking meter বা event poster-এর QR physical tampering হয়েছে কি না দেখুন। উপর দিয়ে নতুন sticker, কাটা edge, অন্য brand, অসামঞ্জস্য print বা glue mark সন্দেহজনক। Staff-কে জিজ্ঞেস করুন, কিন্তু অপরিচিত ব্যক্তির বলা number-এ call করবেন না। Email বা message-এর QR হলে sender address, context এবং কেন link নয় QR পাঠানো হয়েছে তা ভাবুন। Urgency—“এখনই scan না করলে account বন্ধ”—phishing-এর পরিচিত pressure।

Camera preview ও domain পড়ুন

অনেক phone link খোলার আগে domain preview দেখায়। Short link, misspelled brand, অদ্ভুত subdomain, raw IP বা unrelated domain হলে বন্ধ করুন। HTTPS lock থাকলেই site genuine নয়; scam site-ও certificate পেতে পারে। পরিচিত service হলে QR-এর বদলে official app বা bookmark নিজে খুলুন। Bengali বা international domain visually similar character ব্যবহার করতে পারে, তাই domain ধীরে পড়ুন। Browser warning bypass করবেন না।

Payment-এ receiver ও amount মিলান

UPI বা wallet app খুললে receiver name, handle, amount এবং transaction type দেখুন। টাকা receive করার জন্য সাধারণত UPI PIN দিয়ে payment approve করতে হয় না। “Refund পেতে PIN দিন” বা “QR scan করে টাকা নিন” কথায় থামুন। QR fixed amount বসাতে পারে; invoice-এর সঙ্গে amount মিলান। Receiver business name না মিললে staff বা official support-এ verify করুন। PIN শুধু নিজের app-এর secure screen-এ দিন, call বা screen-share-এ নয়।

App install ও permission request-এ সতর্ক থাকুন

Menu বা payment QR scan করে APK download, unknown app install, accessibility permission, screen sharing, SMS access বা device-admin চাইলে বন্ধ করুন। Play Store/App Store page খুললেও developer name, review history ও official website মিলান। Remote support app install করিয়ে fraudster screen ও OTP দেখতে পারে। Already trusted app থাকলে নতুন app কেন দরকার প্রশ্ন করুন। Sideloading enable করবেন না এবং downloaded file খুলবেন না।

Login page এলে নতুন tab খুলুন

QR থেকে bank, email, cloud বা social login page এলে page বন্ধ করে official app নিজে খুলুন। Password manager যদি পরিচিত domain-এ credential suggest না করে, সেটি warning signal। MFA code, recovery code বা card detail QR destination-এ দেবেন না। Login হয়ে থাকলেও re-authentication request suspicious হতে পারে। Corporate event বা office QR হলে IT/organiser-এর official channel থেকে destination confirm করুন।

Scan করার আগে ৮টি check

  1. Sticker বা physical tampering আছে কি না দেখুন।
  2. Sender ও context সত্যি কি না যাচাই করুন।
  3. Preview-তে full domain ধীরে পড়ুন।
  4. Official app দিয়ে একই কাজ করা যায় কি না দেখুন।
  5. Payment receiver ও amount মিলান।
  6. Receive করার নামে PIN চাইলে বন্ধ করুন।
  7. App install বা risky permission দেবেন না।
  8. Urgency থাকলে independent official channel-এ verify করুন।

ভুল করে scan করলে কী করবেন

শুধু scan করে page না খুললে সাধারণত risk কম; tab বন্ধ করুন। Credential দিলে trusted device থেকে password বদলান, session revoke ও MFA review করুন। Payment approve হলে bank বা payment provider-এ দ্রুত report করে transaction reference রাখুন। App install করলে network disconnect, risky permission remove এবং trusted security check করুন; financial account অন্য clean device থেকে review করুন। QR sticker থাকলে venue owner-কে জানান, যাতে অন্য customer-ও আক্রান্ত না হন।

Family ও business-এর জন্য simple rule

বয়স্ক member বা staff-কে technical jargon নয়, তিনটি কথা শেখান: টাকা পেতে PIN নয়, receiver না মিললে pay নয়, QR থেকে app install নয়। দোকানে printed QR নিয়মিত inspect করুন এবং counter staff-কে receiver name বলতে শেখান। Dynamic invoice QR হলে order ID ও amount show করুন। Incident report করার জন্য official number visible রাখুন। Fear তৈরি নয়—pause, verify, then act এই habit-ই সবচেয়ে কার্যকর defence।