Wracasz do samochodu, a za wycieraczką tkwi kartka wyglądająca jak urzędowe zawiadomienie: "Nieopłacony postój. Należność uregulujesz, skanując kod poniżej". Pod spodem czarno-biały kwadrat i logo, które niby pasuje do strefy płatnego parkowania. Wyciągasz telefon, kierujesz aparat na kod, otwiera się strona z formularzem płatności. Wpisujesz dane karty, by mieć to z głowy. I właśnie w tej sekundzie oddałeś je oszustom.
Ten atak ma nazwę: quishing, od połączenia słów "QR" i "phishing". To phishing, w którym nośnikiem nie jest link w SMS-ie czy mailu, tylko kod QR. Mechanizm wyłudzenia jest stary jak świat, ale wektor - fizyczny lub cyfrowy kod, który skanujesz telefonem - skutecznie omija odruchy, które wyrobiłeś sobie wobec podejrzanych linków tekstowych.
Gdzie pojawiają się fałszywe kody QR
Oszuści wykorzystują quishing wszędzie tam, gdzie kod QR jest naturalnym elementem otoczenia, więc nie wzbudza podejrzeń. Kilka scenariuszy, które realnie krążą po Polsce.
- Naklejki na parkomatach. Na automacie do opłat naklejona jest "wygodna płatność kodem QR". Kod prowadzi do strony udającej operatora parkingu, która wyłudza dane karty zamiast pobrać opłatę za postój.
- Fałszywe mandaty za wycieraczką. Kartka imitująca wezwanie do zapłaty, z kodem do "szybkiego uregulowania kary". Prawdziwych mandatów i opłat dodatkowych nie reguluje się przez kod QR z karteczki na szybie.
- QR "dopłata do paczki". Naklejka na awizo albo kartka w skrzynce: "Brakuje 2,30 zł do doręczenia, dopłać kodem". Kwota jest celowo niska, by nie zniechęcić.
- QR w menu, na ulotkach, plakatach. Na oryginalny kod restauracji czy wydarzenia oszust nakleja swój. Skanujesz menu, a trafiasz na stronę proszącą o płatność lub logowanie.
- Fałszywe kody do płatności. Podmienione kody przy kasach, na fakturach, w e-mailach z "korektą rachunku".
Wspólny mianownik jest jeden: kod pojawia się tam, gdzie płatność lub logowanie wydaje się czymś zupełnie normalnym. Nikt nie spodziewa się ataku po naklejce na parkomacie, bo parkomat to ostatnie miejsce, gdzie szukamy oszustwa. Oszuści dokładają do tego prosty, ale skuteczny trik: podrobiony kod wygląda identycznie jak prawdziwy, więc gołym okiem nie odróżnisz jednego od drugiego. Cała pułapka odsłania się dopiero po zeskanowaniu, na stronie, do której kod cię prowadzi - a wtedy bywa już za późno.
Dlaczego QR usypia czujność
Gdy dostajesz SMS z linkiem "twoja paczka czeka, kliknij santander-doplata.top", coś w głowie zapala lampkę - widzisz dziwny adres i masz chwilę, by się zawahać. Kod QR ten moment zawahania ci odbiera. Z trzech powodów.
Po pierwsze, nie widzisz adresu. Kod to dla oka czarno-biały szum - dopiero telefon go rozszyfrowuje i pokazuje URL, często w małym podglądzie, który łatwo przeoczyć. Po drugie, QR kojarzy się z wygodą i nowoczesnością, a nie z zagrożeniem; przez lata przyzwyczailiśmy się skanować kody w restauracjach i sklepach bez zastanowienia. Po trzecie, skanujesz w biegu - na parkingu, w kolejce, między jednym a drugim zadaniem, gdy uwaga jest rozproszona.
Efekt jest taki, że odruch "sprawdzam, dokąd prowadzi ten link", który wyrobiłeś sobie wobec SMS-ów i maili, przy kodzie QR po prostu się nie uruchamia. A to właśnie ten odruch chroni cię najlepiej.
Jak bezpiecznie zeskanować kod
Nie chodzi o to, by przestać korzystać z kodów QR - są wygodne i w większości legalne. Chodzi o jeden dodatkowy nawyk: zobacz adres, zanim wejdziesz na stronę.
| Krok | Co zrobić |
|---|---|
| 1. Podgląd adresu | Po zeskanowaniu telefon pokazuje URL przed otwarciem. Przeczytaj go, zanim klikniesz. |
| 2. Sprawdź domenę | Patrz na fragment tuż przed pierwszym ukośnikiem. To prawdziwy adres strony. "parkingi.oplata-pl.top" to nie operator parkingu. |
| 3. Uważaj na skracacze | Adresy typu bit.ly czy tinyurl ukrywają cel. Przy płatnościach traktuj je z rezerwą. |
| 4. Sprawdź naklejkę fizycznie | Kod naklejony krzywo, na innej naklejce, odstający rogiem - to sygnał podmiany. |
| 5. Nie podawaj danych karty | Jeśli strona od razu prosi o pełne dane karty albo login do banku, zamknij ją. |
Większość telefonów z Androidem i iPhone'ów pokazuje podgląd adresu automatycznie po najechaniu aparatem na kod. Wystarczy ten adres przeczytać. Jeśli wygląda obco, nie pasuje do firmy albo roi się od myślników i dziwnych końcówek, po prostu nie otwieraj.
Czerwone flagi quishingu
Niektóre sygnały powinny zatrzymać twój kciuk, zanim zatwierdzisz cokolwiek.
- Kod wymaga natychmiastowej płatności pod groźbą kary, zwrotu paczki czy odsetek.
- Strona prosi o pełne dane karty razem z kodem CVV i datą ważności do "weryfikacji".
- Adres nie pasuje do instytucji - urząd, kurier czy bank nie używa domen z końcówkami w stylu .top, .xyz, .info.
- Kwota jest podejrzanie niska, na przykład "dopłata 1,99 zł", co ma uśpić czujność.
- Kod pochodzi z kartki za wycieraczką lub luźnej naklejki, a nie z oficjalnego urządzenia czy dokumentu.
- Po zeskanowaniu telefon chce coś zainstalować - żaden parkomat ani kurier nie wymaga instalacji aplikacji przez kod QR.
Lista kontrolna przed skanowaniem
- Zanim otworzę stronę, czytam adres w podglądzie telefonu.
- Sprawdzam domenę przed ukośnikiem, nie tylko początek napisu.
- Nie podaję danych karty na stronie, której domeny nie rozpoznaję.
- Mandaty, opłaty parkingowe i podatki opłacam przez oficjalne kanały, nie przez kod z karteczki.
- Sprawdzam, czy naklejka z kodem nie jest przyklejona na inny kod.
- Przy paczkach wchodzę na stronę kuriera ręcznie, zamiast skanować kod z awiza.
Co zrobić, jeśli już podałeś dane
Jeśli zeskanowałeś kod i wpisałeś dane karty albo login do banku, działaj od razu - liczy się każda minuta.
- Zadzwoń na infolinię banku i zastrzeż kartę lub zablokuj dostęp do bankowości.
- Zmień hasła do bankowości i poczty z innego, zaufanego urządzenia.
- Włącz powiadomienia o transakcjach i obserwuj konto pod kątem nieznanych obciążeń.
- Zgłoś stronę phishingową zespołowi CERT Polska, żeby trafiła do blokady.
- Jeśli podałeś więcej danych niż samą kartę, sprawdź co robić po ujawnieniu danych osobowych i rozważ zastrzeżenie dokumentów.
FAQ
Czy samo zeskanowanie kodu QR może zainfekować telefon?
Samo otwarcie podglądu adresu zwykle nie instaluje wirusa. Niebezpieczeństwo zaczyna się dalej: gdy wejdziesz na złośliwą stronę i wpiszesz tam dane albo zgodzisz się pobrać i zainstalować aplikację. Dlatego kluczowy jest moment podglądu adresu - to twój punkt kontrolny.
Po czym poznam, że naklejka z kodem na parkomacie jest fałszywa?
Najczęstsze tropy to kod naklejony na inny kod, krzywo, na świeżej taśmie, odstający rogiem albo umieszczony w nietypowym miejscu urządzenia. Jeśli operator parkingu obsługuje płatność kodem, jest on zwykle nadrukowany trwale, a nie doklejony. W razie wątpliwości zapłać w aplikacji parkingowej, której używasz na co dzień.
Czym quishing różni się od smishingu?
Cel jest ten sam - wyłudzić dane lub pieniądze. Różni się nośnik. Smishing dociera do ciebie SMS-em z linkiem, a quishing kodem QR, który sam skanujesz. Mechanikę ataków SMS-owych rozkładamy w tekście o tym, jak rozpoznać fałszywe SMS-y.
Dostałem QR do "dopłaty do paczki". Skąd wiem, że to oszustwo?
Firmy kurierskie nie pobierają drobnych dopłat przez przypadkowe kody na awizo, a kwota celowo jest niska, byś nie zaprzątał sobie głowy weryfikacją. Schemat fałszywych powiadomień o przesyłkach opisujemy szerzej przy okazji fałszywych SMS-ów od InPost, DPD i DHL. Status przesyłki zawsze sprawdzaj na oficjalnej stronie przewoźnika.
Czy w restauracji mogę bezpiecznie skanować menu z kodu QR?
Tak, jeśli kod prowadzi tylko do menu i nie prosi o dane karty ani logowanie. Czujność włącz dopiero, gdy po zeskanowaniu strona żąda płatności czy danych osobowych - menu ich nie potrzebuje.
Podsumowanie
Quishing to phishing przebrany za wygodny kod QR. Jego siła nie tkwi w nowej technologii, tylko w tym, że skanując kwadracik aparatem, nie widzisz adresu i nie uruchamiasz odruchu, który masz wobec podejrzanych linków. Obrona jest jednak prosta i nic nie kosztuje: po zeskanowaniu przeczytaj adres, sprawdź domenę przed ukośnikiem i nigdy nie podawaj danych karty na stronie, której nie rozpoznajesz. Mandatów, opłat parkingowych i dopłat do paczek nie reguluje się kodem z kartki za wycieraczką.