Quishing: jak rozpoznat škodlivé QR kódy a chránit se před podvody

QR kódy jsou užitečné — a právě proto jsou atraktivní pro podvodníky. Quishing (kombinace slov „QR" a „phishing") je typ kybernetického útoku, při kterém zločinci používají falešné QR kódy k přesměrování obětí na podvodné stránky, kde jim odcizují přihlašovací údaje, platební informace nebo instalují malware. Podvody přes QR kódy jsou na vzestupu, protože oběti nevidí URL předem tak snadno jako při klasickém e-mailovém phishingu.

Tato příručka vysvětluje, jak quishing funguje, jak ho rozpoznat a jak se chránit.

Jak quishing funguje

Klasický phishing funguje přes e-mail — příjemce dostane zprávu s odkazem, který vede na falešnou stránku. U e-mailových odkazů se dá URL obvykle zobrazit přejetím myši před kliknutím. U QR kódů tuto možnost nemáte — musíte kód naskenovat, abyste vůbec zjistili, kam vede.

Typický postup quishingového útoku:

1. Falešný QR kód je vytisknut nebo umístěn — na plakát, přelepen přes legitimní kód na parkovacím automatu, vložen do e-mailu, faktury nebo SMS.
2. Oběť kód naskenuje — bez možnosti zkontrolovat URL předem.
3. Telefon otevře falešnou stránku — která vizuálně imituje banku, přihlašovací stránku, platební bránu nebo jiný důvěryhodný web.
4. Oběť zadá přihlašovací údaje nebo platební informace — ty jsou okamžitě odeslány útočníkovi.
5. Útočník získá přístup k bankovnímu účtu, e-mailu nebo jinému systému.

Alternativní varianta: skenování QR kódu spustí stažení škodlivé aplikace nebo skriptu.

Kde se škodlivé QR kódy nejčastěji vyskytují

Parkovací automaty a platební terminály

Podvodníci přelepují legitimní QR kódy na parkovacích automatech falešnými. Oběť „zaplatí za parkování" — ve skutečnosti pošle peníze podvodníkovi. Tento typ útoku byl zaznamenán v mnoha evropských městech.

E-maily a SMS zprávy

Quishing e-maily předstírají, že pocházejí od banky, kurýrní společnosti nebo státní instituce. Obsahují QR kód s textem jako „Naskenujte pro ověření účtu" nebo „Naskenujte pro sledování zásilky."

Proč e-mailový quishing obchází bezpečnostní filtry: antispamové systémy analyzují text a URL v e-mailu. QR kód je pro ně obrázek — URL v kódu neskénují.

Restaurace a veřejná místa

Útočníci přelepují QR kódy s menu nebo Wi-Fi kódy v restauracích falešnými kódy vedoucími na phishingové stránky. Zákazník naskenuje „menu" a dostane přihlašovací stránku banky.

Sociální sítě a online inzeráty

Falešné QR kódy v inzerátech na Marketplace, Aukro nebo bazarových skupinách vedou na falešné platební stránky nebo stránky pro „ověření totožnosti."

Firemní prostředí

Quishingové útoky cílí i na firemní zaměstnance — falešné QR kódy v e-mailech předstírající interní komunikaci mohou přesměrovat na falešnou VPN přihlašovací stránku nebo e-mailový klient.

Jak rozpoznat škodlivý QR kód

Zkontrolujte URL před otevřením

Moderní telefony zobrazí URL obsaženou v QR kódu jako náhled před jejím otevřením. Využijte tuto funkci:

• iOS: Přidržte telefon nad kódem — baner s URL se zobrazí nahoře. Zkontrolujte doménu před klepnutím na „Otevřít."
• Android (Google Lens): URL se zobrazí před přechodem na stránku.
• Aplikace třetích stran: QR čtečky jako QR & Barcode Scanner (od vývojáře ZXing Team) zobrazují URL a umožňují ji zkontrolovat před otevřením.

Varující signály v URL:

• Překlepy v doméně: csob-banka.cz místo csob.cz
• Neznámé domény místo oficiálních: platba-overeni.com pro platební brány
• Zkrácené URL (bit.ly, tinyurl.com) — nemohou být ověřeny bez otevření
• HTTP místo HTTPS
• Podivné přípony domény: .xyz, .tk, .ml

Fyzická kontrola kódu

U fyzicky umístěných QR kódů zkontrolujte:

• Je kód přelepen? Nalepený štítek přes původní kód je velmi silný varovný signál.
• Odpovídá kód okolnímu materiálu? Jiná textura, jiný papír nebo jiná kvalita tisku jsou podezřelé.
• Je kód umístěn neobvykle? Na místě, kde normálně žádný kód nebývá.

Kontext dává smysl?

Ptejte se: proč by tady QR kód byl a proč po mě chce tyto informace?

• Parkovací automat, který vás přes QR žádá o přihlášení k bankovnímu účtu — podvod.
• E-mail od „banky" s QR kódem pro „potvrzení transakce" — podvod.
• SMS od „DHL" s QR kódem pro „zaplacení cla" — podvod.

Jak se chránit: praktická bezpečnostní pravidla

1. Před skenováním vždy zobrazte URL

Využijte náhled URL, který telefon zobrazí před otevřením stránky. Pokud URL nevypadá důvěryhodně, neklepejte na „Otevřít."

2. Nikdy nezadávejte citlivé informace po skenování QR kódu

Pokud po naskenování QR kódu budete vyzváni k zadání:

• Přihlašovacích údajů k bance
• Čísla platební karty nebo CVV
• Přihlašovacích údajů k e-mailu nebo sociálním sítím

... Jedná se s velmi vysokou pravděpodobností o podvod. Otevřete raději přímo aplikaci banky nebo web, který znáte.

3. Používejte aktualizovaný operační systém a prohlížeč

Bezpečnostní aktualizace opravují zranitelnosti, které škodlivé stránky nebo soubory mohou zneužít.

4. Zapněte antivirovou nebo bezpečnostní aplikaci na telefonu

Mnoho bezpečnostních aplikací (ESET Mobile Security, Avast Mobile Security) kontroluje navštívené URL i stažené soubory a varuje před phishingovými stránkami.

5. Kontrolujte fyzické QR kódy před skenováním

Na parkovacích automatech, v restauracích a na veřejných místech zkontrolujte, zda kód není přelepen. Pokud ano, přivolejte obsluhu nebo správce.

6. Nikdy nestahujte aplikace přes QR kód z neznámého zdroje

Stahujte aplikace výhradně z App Store nebo Google Play. QR kód, který vede přímo na APK soubor ke stažení, je podezřelý.

7. Buďte zvlášť opatrní u QR kódů v e-mailech

Legitimní banky a instituce vás nikdy nebudou kontaktovat e-mailem s QR kódem pro přihlášení nebo ověření platby. Pokud obdržíte takový e-mail, kontaktujte banku přímo přes oficální aplikaci nebo web.

Co dělat, pokud jste naskenovali škodlivý QR kód

Pokud jste jen naskenovali, ale nevyplnili žádné údaje

Zpravidla nenastalo nic vážného. Zavřete stránku, neklepejte na nic na podezřelé stránce. Ověřte, zda vaše bezpečnostní aplikace nezaznamenala varování.

Pokud jste zadali přihlašovací údaje

Okamžitě:

1. Změňte heslo k danému účtu — ideálně z jiného zařízení.
2. Zapněte dvoufaktorové ověřování (2FA), pokud ještě není aktivní.
3. Zkontrolujte aktivní přihlášení a odhlaste neznámá zařízení.
4. Oznamte incident poskytovateli služby.

Pokud jste zadali platební údaje

Okamžitě:

1. Zavolejte na zákaznickou linku vaší banky a oznamte podvod.
2. Požádejte o zablokování platební karty.
3. Zkontrolujte pohyby na účtu za poslední hodiny.
4. Podejte oznámení na Policii ČR (online: policejni-linky.cz, nebo osobně).

QRcito.com a bezpečnost

QRcito.com je nástroj pro generování legitimních QR kódů — pro vaše vlastní potřeby. Kódy, které vytvoříte, vedou přesně na obsah, který sami zadáte. Žádná data se neukládají, žádné sledování neprobíhá.

Pokud hledáte bezpečný generátor pro tvorbu vlastních QR kódů, kde máte plnou kontrolu nad obsahem kódu bez rizika skrytého přesměrování, qrcito.com je správná volba.

---

Bezpečné QR kódy pro vaše podnikání nebo osobní potřebu vytvořte zdarma, bez registrace a bez sledování na qrcito.com. Plná kontrola nad obsahem, žádná data třetích stran.