Quishing — phishing przez kody QR. Jak rozpoznać fałszywy kod QR

Kody QR są wygodne — i właśnie dlatego stają się coraz popularniejszym narzędziem w rękach cyberprzestępców. Zjawisko nazywa się quishing (od QR + phishing) i polega na naklejaniu fałszywych kodów QR w miejscach publicznych lub wysyłaniu ich e-mailem, żeby skierować ofiarę na złośliwą stronę. Niniejszy artykuł wyjaśnia, jak działa quishing, jak go rozpoznać i jak się chronić.

Co to jest quishing

Quishing to forma phishingu, w której atakujący używa kodu QR zamiast tradycyjnego linku tekstowego jako wektora ataku. Schemat działania jest prosty:

1. Przestępca tworzy kod QR prowadzący do fałszywej strony (np. imitującej stronę banku, urzędu skarbowego lub popularnego sklepu).
2. Drukuje naklejkę z tym kodem i nakleja ją na legalne kody QR (np. w restauracji, na parkometrze, przy ładowarce EV).
3. Użytkownik skanuje kod, nie sprawdzając adresu URL, i trafia na stronę phishingową.
4. Strona żąda danych logowania, numeru karty lub kodu BLIK.
5. Dane trafiają do przestępcy.

Dlaczego quishing jest skuteczny? Ponieważ kody QR są z natury nieprzejrzyste — nie można ocenić wzrokiem, gdzie kod prowadzi, tak jak można ocenić podejrzany link tekstowy.

Najczęstsze scenariusze quishingu w Polsce

Naklejki na parkometrach i ładowarkach EV

Parkometry i ładowarki samochodów elektrycznych coraz częściej mają kody QR do płatności. Atakujący nakleja fałszywą naklejkę z własnym kodem QR na oryginalnym kodzie. Kierowca skanuje i trafia na stronę imitującą portal płatności — wpisuje dane karty lub BLIK, które od razu przechwytuje przestępca.

E-maile korporacyjne z kodem QR zamiast linku

Tradycyjne filtry antyspamowe i antywirusowe skanują linki tekstowe w e-mailach. Atakujący obchodzą te filtry, wstawiając kod QR jako obraz — filtr nie wie, dokąd prowadzi grafika. Odbiorca skanuje kodem ze służbowego komputera własnym telefonem i trafia na fałszywą stronę logowania do firmy (np. Microsoft 365, Gmail, VPN).

Fałszywe kody QR w restauracjach

Przestępca wchodzi do restauracji, zdejmuje lub nakleja nową naklejkę kodu QR na stoliczkach. Gość skanuje kod „do menu" i trafia na stronę zbierającą dane kart kredytowych pod pozorem „weryfikacji wieku" lub „subskrypcji premium menu".

Przesyłki i faktury z fałszywym kodem QR

Fałszywe faktury za „niezapłacone usługi" wysyłane pocztą lub e-mailem, zawierające kod QR do „dokonania płatności". Kod prowadzi do fałszywej bramki płatniczej imitującej Przelewy24 lub PayU.

Jak rozpoznać fałszywy lub niebezpieczny kod QR

Zasada 1: Zawsze patrz na URL przed kliknięciem

Nowoczesne telefony (iOS i Android) pokazują adres URL w podglądzie zanim otworzą przeglądarkę. Nie klikaj automatycznie — przeczytaj adres. Sprawdź:

• Czy domena brzmi znajomo? ing.pl to bank; ing-logowanie-bezpieczne.xyz to podejrzany.
• Czy protokół to https://? Brak szyfrowania to sygnał ostrzegawczy, choć fałszywe strony też mogą mieć HTTPS.
• Czy adres jest „prawie" taki jak prawdziwy? Atakujący używają technik jak: paypa1.com (jedynka zamiast litery l), allegro-platnosci.net (domena z myślnikiem), rnebank.pl (odwrócone litery).

Zasada 2: Sprawdź fizycznie, czy kod nie jest naklejką

Jeśli skanujesz kod QR w miejscu publicznym (parkometr, restauracja, hotel), delikatnie dotknij kodu palcem. Naklejka na naklejce ma wyczuwalną krawędź i odstający róg. Jeśli coś wydaje się naklejone „na" drukowaną tabliczkę — zrezygnuj ze skanowania i zgłoś sprawę właścicielowi lokalu lub obsłudze.

Zasada 3: Uważaj na kody QR w e-mailach od nieznanych nadawców

Prawdziwe banki, urzędy i firmy kurierskie rzadko wysyłają kody QR e-mailem z żądaniem natychmiastowego działania. Jeśli dostaniesz e-mail z kodem QR i treścią: „Twoje konto zostanie zablokowane w ciągu 24h — zeskanuj kod i zaloguj się" — to klasyczny phishing. Zignoruj e-mail i zaloguj się bezpośrednio przez oficjalną stronę, wpisując adres ręcznie.

Zasada 4: Nie podawaj danych płatniczych po zeskanowaniu kodu QR

Kod QR może przekierować Cię na stronę płatności. Zanim wpiszesz numer karty lub kod BLIK, sprawdź:

• Czy adres URL strony jest oficjalnym adresem banku lub systemu płatności (Przelewy24.pl, PayU.pl, BLIK.com)?
• Czy certyfikat SSL jest wystawiony przez właściwą organizację (zielona kłódka to za mało — sprawdź nazwę firmy w certyfikacie)?
• Czy strona prosi o code BLIK do „weryfikacji"? BLIK nigdy nie jest używany do weryfikacji — tylko do płatności.

Co robić jeśli zostałeś ofiarą quishingu

Dane karty kredytowej lub debetowej: Natychmiast zadzwoń na infolinię banku i zastrzeż kartę. Poinformuj o podejrzanej transakcji. Większość banków oferuje ochronę od nieautoryzowanych transakcji.

Dane logowania: Zmień hasło do konta, które podałeś, korzystając z innego urządzenia i bezpiecznego połączenia. Włącz weryfikację dwuskładnikową (2FA).

Kod BLIK: Jeśli podałeś kod BLIK na fałszywej stronie — zadzwoń natychmiast do banku. Transakcje BLIK mogą być cofnięte jeśli zgłosisz je wystarczająco szybko.

Zgłoszenie: Zgłoś incydent do CERT Polska (cert.pl) — można to zrobić online. Zgłoś też do Policji przez formularz cyberprzemoc lub na komisariacie.

Wskazówki dla firm i organizacji używających kodów QR

Firmy wdrażające kody QR mają odpowiedzialność za bezpieczeństwo swoich klientów:

Używaj laminowanych lub trudnych do naklejenia powierzchni. Kody QR na metalowych tabliczkach lub pod folie są trudniejsze do zastąpienia fałszywą naklejką.

Regularnie sprawdzaj swoje kody QR. Regularnie skanuj kody w restauracji, na parkometrach, w biurze — i weryfikuj, że prowadzą do właściwego miejsca.

Dodaj adres URL pod kodem. Jeśli kod prowadzi do twojafirma.pl/menu, napisz ten adres pod kodem. Klient może go ręcznie zweryfikować.

Informuj klientów. Jeśli prowadzisz restaurację lub sklep, możesz umieścić przy kodzie informację: „Nasz kod QR prowadzi do [nazwa domeny] — nie podajemy kodów QR do płatności."

Nie wysyłaj kodów QR e-mailem z żądaniem nagłego działania. Twoi klienci potrzebują wiedzieć, że Twoja firma tak nie komunikuje. Jeśli wyślesz e-mail z kodem QR, upewnij się, że go wyraźnie zapowiedziałeś i że pasuje do Twojego standardowego sposobu komunikacji.

Kody QR generowane przez QRcito — czy są bezpieczne

QRcito generuje kody statyczne w całości po stronie przeglądarki. Treść wpisana przez użytkownika (np. adres URL) jest zakodowana bezpośrednio w pliku graficznym i nie jest przesyłana na żaden zewnętrzny serwer. Oznacza to, że:

• QRcito nie może zmienić adresu, do którego prowadzi Twój kod — bo nie ma dostępu do wygenerowanego kodu po tym jak opuści przeglądarkę.
• QRcito nie śledzi skanowań Twoich kodów.
• Kod QR prowadzi dokładnie tam, gdzie go wygenerowałeś — i nigdy się nie zmienia bez Twojej wiedzy (w odróżnieniu od kodów dynamicznych z platform, które mogą zmieniać przekierowanie po stronie serwera).

Podsumowanie

Quishing to realne zagrożenie, które rośnie proporcjonalnie do popularności kodów QR. Podstawowa obrona to nawyk: zawsze patrz na adres URL zanim klikniesz, sprawdź fizycznie, czy kod nie jest naklejką, i nigdy nie podawaj danych płatniczych po zeskanowaniu kodu w miejscu publicznym, którego nie znasz i nie weryfikujesz.

Jeśli chcesz generować swoje własne, bezpieczne kody QR do użytku biznesowego — bez śledzenia, bez zmiany przekierowań, w pełni po stronie przeglądarki — skorzystaj z QRcito.

Przejdź do QRcito i wygeneruj bezpieczny kod QR →