Quishing – czy kod QR może być pułapką i jak bezpiecznie go skanować?

Co to jest quishing i na czym polega?

Quishing to odmiana phishingu, w której oszuści wykorzystują kody QR do wyłudzania danych, pieniędzy lub nakłaniania użytkowników do niebezpiecznych działań. Nazwa pochodzi od połączenia słów QR i phishing.

Mechanizm jest prosty: przestępca umieszcza w kodzie adres fałszywej strony, np. imitującej serwis płatności, bank lub sklep. Po zeskanowaniu możesz zobaczyć formularz logowania, prośbę o podanie danych karty albo komunikat zachęcający do pobrania aplikacji.

Sam kod QR nie jest złośliwym oprogramowaniem. To sposób zapisywania informacji. Zagrożenie wynika z tego, dokąd prowadzi i co zrobisz po jego odczytaniu.

Gdzie można natknąć się na fałszywy kod QR?

Oszuści umieszczają swoje kody zarówno w przestrzeni publicznej, jak i w wiadomościach elektronicznych. Najczęstsze scenariusze to:

• parkomaty i parkingi – naklejka z fałszywym QR może zasłaniać oryginalną instrukcję płatności i kierować do strony wyłudzającej dane karty;

• restauracje i kawiarnie – kod, który powinien otworzyć menu, może prowadzić do witryny żądającej niepotrzebnych informacji;

• plakaty i ulotki – obietnica darmowego biletu, nagrody czy wyjątkowej promocji może być pretekstem do przejęcia danych;

• e-maile i dokumenty PDF – zamiast tradycyjnego linku oszust umieszcza QR, np. z informacją o konieczności potwierdzenia konta lub opłacenia faktury.

W każdym przypadku cel jest podobny: skłonić Cię do otwarcia strony, której w innych okolicznościach mógłbyś nie zaufać.

Fałszywe oznaczenia mogą pojawiać się również w miejscach, w których płacisz telefonem. Więcej wskazówek dotyczących ochrony danych i pieniędzy znajdziesz w naszym poradniku: Jak bezpiecznie płacić telefonem? 

Jak rozpoznać próbę oszustwa z kodem QR?

Nie da się sprawdzić wiarygodności kodu na podstawie samego układu kwadratów. Są jednak sygnały, które powinny wzbudzić Twoją czujność:

1. podejrzana naklejka – kod wygląda na doklejony do oryginalnego oznaczenia lub zasłania wcześniejszą instrukcję;

2. nietypowy adres strony – domena zawiera literówki, dodatkowe znaki lub nie pasuje do nazwy firmy;

3. żądanie niepotrzebnych danych – strona prosi o hasło do banku, mimo że chcesz tylko zobaczyć menu lub informacje o wydarzeniu;

4. presja czasu – pojawiają się komunikaty o pilnej płatności, utracie dostępu do konta czy konieczności natychmiastowego działania;

5. prośba o instalację aplikacji – witryna wymaga pobrania nieznanego programu lub pliku spoza oficjalnego sklepu;

6. nietypowe instrukcje płatności – ktoś prosi Cię o zeskanowanie kodu, żeby odebrać pieniądze ze sprzedaży przedmiotu albo potwierdzić niespodziewaną transakcję.

Pamiętaj również, że symbol kłódki i adres rozpoczynający się od HTTPS nie gwarantują, że strona jest uczciwa. Oznaczają przede wszystkim, że połączenie z witryną jest szyfrowane.

Jak bezpiecznie skanować kody QR?

Nie musisz rezygnować z tej wygodnej funkcji. Wystarczy wyrobić sobie kilka nawyków.

Przed zeskanowaniem sprawdź, skąd pochodzi kod. Jeśli znajduje się w miejscu publicznym, zwróć uwagę, czy nie wygląda na podmieniony. W przypadku wiadomości e-mail zastanów się, czy rzeczywiście spodziewałeś się takiej prośby.

Przed otwarciem linku przeczytaj adres wyświetlany przez telefon. Literówki, nietypowa domena lub skrócony adres powinny wzbudzić podejrzenia. Pamiętaj jednak, że sam poprawnie wyglądający adres nie jest gwarancją bezpieczeństwa.

Przed podaniem danych upewnij się, że jesteś na właściwej stronie. Gdy chodzi o bankowość, płatności lub logowanie do ważnego konta, bezpieczniej samodzielnie uruchomić oficjalną aplikację.

Do skanowania zwykle wystarczy aparat lub funkcja systemowa telefonu. Nie trzeba instalować dodatkowego programu. Jeśli nie wiesz, jak odczytać QR, sprawdź poradnik Plusha: Jak zeskanować kod QR telefonem?

Czy samo zeskanowanie kodu QR może zainfekować telefon?

W typowych sytuacjach samo odczytanie kodu QR nie oznacza zainfekowania urządzenia. Skaner rozpoznaje zapisaną informację, np. adres strony, ale nie musi jej automatycznie otwierać.

Ryzyko pojawia się przede wszystkim wtedy, gdy przejdziesz na niebezpieczną witrynę, pobierzesz złośliwy plik lub zainstalujesz podejrzaną aplikację. Możliwe są również ataki wykorzystujące luki w oprogramowaniu, dlatego warto regularnie aktualizować telefon.

Nie ma więc powodu do paniki po przypadkowym zeskanowaniu QR. Znaczenie ma przede wszystkim to, co wydarzyło się później.

Co zrobić, jeśli zeskanowałeś fałszywy kod QR?

Dalsze postępowanie zależy od tego, jakie czynności wykonałeś.

Nie zakładaj, że samo odinstalowanie złośliwej aplikacji zawsze rozwiązuje problem. Jeśli doszło do przejęcia danych lub dostępu do urządzenia, może być potrzebna dodatkowa weryfikacja jego bezpieczeństwa.

Przeczytaj także: Czym jest weryfikacja dwuetapowa i dlaczego warto ją włączyć?

Gdzie zgłosić fałszywy kod QR?

Podejrzany QR możesz zgłosić zespołowi CERT Polska przez formularz na stronie incydent.cert.pl. Jeśli kod znajduje się na parkomacie, stoliku w restauracji lub innym publicznym oznaczeniu, powiadom również właściciela miejsca. Dzięki temu będzie mógł sprawdzić, czy ktoś nie podmienił oryginalnej informacji. Podejrzane SMS-y zawierające fałszywe linki można przekazać na numer 8080. Jeśli doszło do kradzieży pieniędzy lub innego przestępstwa, zgłoś sprawę także policji.

Najczęściej zadawane pytania

Czy każdy kod QR może być niebezpieczny?

Kod QR może zawierać adres dowolnej strony, również fałszywej. Sam jego wygląd nie pozwala stwierdzić, czy jest wiarygodny.

Czy kod QR może ukraść pieniądze z konta?

Sam kod nie pobiera pieniędzy z rachunku. Może jednak prowadzić do fałszywej strony płatności, na której oszuści próbują wyłudzić dane lub nakłonić Cię do zatwierdzenia transakcji.

Czy można zeskanować kod QR z ekranu telefonu?

Tak. Wiele smartfonów rozpoznaje kody zapisane na zdjęciach i zrzutach ekranu. Możliwość ta zależy od modelu urządzenia oraz dostępnych funkcji systemowych.

Czy potrzebuję osobnej aplikacji do skanowania kodów QR?

Najczęściej nie. Współczesne telefony mają zwykle wbudowany skaner w aparacie lub narzędziach systemowych.