Czy kody QR są bezpieczne? Quishing i sprawdzanie linku

Tak, kody QR są bezpieczne — pod jednym warunkiem: używasz czytnika, który pokazuje adres, zanim cokolwiek otworzy, i zachowujesz zdrowy sceptycyzm wobec kodów naklejonych w przestrzeni publicznej. Sam czarno-biały kwadrat nie zawiera wirusa; przechowuje dane, nie program. Niebezpieczna nie jest więc czynność skanowania, tylko strona, do której kod prowadzi. Jeśli czytnik wyświetla pełny adres, zanim go otworzy, największą część ryzyka rozbrajasz jednym spojrzeniem.

To nie jest przesada ostrożnych. CERT Polska opisał oszustwa z wykorzystaniem kodów QR, portal gov.pl prowadzi hasło quishing w bazie wiedzy, a Związek Banków Polskich poświęcił mu osobną kampanię edukacyjną. Kiedy trzy takie instytucje mówią o tym samym schemacie, warto wiedzieć, jak on działa.

Jak kod QR działa i dlaczego to ma znaczenie

Kod QR to dwuwymiarowy zapis danych: wzór ciemnych i jasnych modułów, który telefon zamienia z powrotem w tekst. Najczęściej jest to adres strony, ale bywa też zwykły tekst, dane kontaktu albo dane sieci WiFi.

Kod jest więc wyłącznie nośnikiem — odpowiednikiem odnośnika na stronie internetowej, tylko nieczytelnym dla człowieka. I na tym polega cała asymetria. Podejrzany link w e-mailu widzisz i oceniasz przed kliknięciem. Kodu QR nie ocenisz w ogóle: dwa kody prowadzące do banku i do jego podróbki wyglądają dla oka identycznie. Atakujący nie omija Twojej ostrożności — on omija Twoje oczy.

Prawdziwe zagrożenia

Quishing, czyli phishing z kodem QR

Polska nazwa się nie przyjęła, więc używa się kalki: quishing (od QR i phishing). Schemat jest zawsze ten sam. Oszust doprowadza do sytuacji, w której skanujesz jego kod zamiast prawdziwego, i ląduje Cię na przekonująco wyglądającej stronie logowania albo płatności.

Warianty, które w Polsce widziano najczęściej:

• Naklejka na parkomacie, przykryta nią prawdziwa instrukcja płatności.
• Kod na bankomacie — o złośliwych kodach na bankomatach pisała Zaufana Trzecia Strona.
• List „z banku” albo „z urzędu” z kodem QR i poleceniem potwierdzenia danych. Papier wygląda oficjalnie, bo ma wyglądać.
• Fałszywe wezwanie do zapłaty za mandat, abonament albo dopłatę do przesyłki, z kodem zamiast linku.
• E-mail z obrazkiem zamiast odnośnika. To wariant firmowy: filtry antyspamowe analizują adresy w treści, a kodu QR w załączonym obrazku nie przeczytają.

Fałszywe strony płatności

Najbardziej dochodowa odmiana. Skanujesz kod „do szybkiej płatności”, trafiasz na stronę łudząco podobną do bramki płatniczej i wpisujesz dane karty razem z kodem autoryzacyjnym. Nic się nie zawiesza, nic nie wygląda na awarię — dlatego orientacja przychodzi dopiero przy wyciągu.

Pobierane pliki i łańcuchy przekierowań

Część kodów nie prowadzi do strony, tylko do pliku. Telefony pytają dziś przed instalacją, ale warto o tym pamiętać. Inne kody przepuszczają Cię przez kilka przekierowań, żeby zbudować profil ruchu albo sprawdzić, z jakiego kraju i urządzenia korzystasz, zanim pokażą właściwą stronę.

Jak skanować kody QR bezpiecznie

1. Przeczytaj adres, zanim go otworzysz

To jest cały mechanizm obronny w jednym zdaniu. Zaufany czytnik pokazuje odczytaną treść, zanim cokolwiek się wydarzy. QR Toolkit jest zbudowany dokładnie na tej zasadzie: po zeskanowaniu na ekranie pojawia się pełna, odczytana treść, a Ty decydujesz, czy ją otworzyć, skopiować, czy porzucić. Dekodowanie odbywa się na urządzeniu.

2. Czytaj domenę od końca

Liczy się fragment tuż przed pierwszym ukośnikiem. mbank.pl.bezpieczne-logowanie.top to domena bezpieczne-logowanie.top, a mbank.pl jest tylko dekoracją doklejoną z przodu. Wyłapuj też podmienione litery (rn zamiast m, zero zamiast o) i nietypowe końcówki.

3. Używaj czytnika, który daje Ci ten moment

Aparat systemowy często otwiera stronę natychmiast po dotknięciu dymka, bez kroku, w którym można spokojnie przeczytać adres. Osobny czytnik kodów QR ten krok wymusza. Wybierając aplikację, sprawdź trzy rzeczy: czy pokazuje treść przed otwarciem, czy prowadzi historię i czy nie wyświetla reklam — darmowe skanery utrzymujące się z reklam to zupełnie inny model działania.

4. Traktuj kody w przestrzeni publicznej podejrzliwie

Kod nadrukowany na oficjalnym oznakowaniu znanej firmy jest zwykle w porządku. Naklejka na słupie, luźna ulotka, kartka przyklejona taśmą do parkomatu — już nie. Jeśli wygląda, jakby ktoś przykleił kod na inny kod, nie skanuj go; dotknij palcem krawędzi, bo naklejka ma grubość.

5. Nigdy nie podawaj hasła ani kodu autoryzacyjnego

Żaden polski bank i żaden urząd nie prosi o zalogowanie się przez kod QR z listu albo z naklejki. Jeśli strona otwarta z kodu chce hasła, kodu z SMS-a albo potwierdzenia w aplikacji bankowej — zamknij ją i wejdź na stronę banku samodzielnie, wpisując adres z pamięci.

6. Aktualizuj telefon

Bieżące wersje iOS i Androida mają wbudowane mechanizmy blokujące znane strony phishingowe i podejrzane pobrania. Aktualizacja systemu i przeglądarki to najtańsza warstwa ochrony, jaką masz.

Prywatność, czyli druga połowa pytania

Bezpieczeństwo to nie tylko oszustwa. Wiele darmowych aplikacji do kodów QR utrzymuje się z reklam, a to oznacza wpięte zewnętrzne SDK reklamowe i identyfikator reklamowy przekazywany dalej.

W QR Toolkit jest inaczej i warto powiedzieć dokładnie, jak:

• Dekodowanie odbywa się na urządzeniu — odczyt kodu nie wymaga wysyłania go nigdzie.
• Bez reklam i bez zewnętrznych SDK reklamowych. Brak identyfikatora reklamowego.
• Historia jest zapisywana w Twoim koncie w Supabase (region UE) i odseparowana przez Row-Level Security — czyta ją tylko ono. Nie udajemy, że historia zostaje wyłącznie w telefonie: ona się synchronizuje. Zapewniamy natomiast, że należy do Ciebie.
• Statystyka produktowa: PostHog, pseudonimowo. Zasady opisuje polityka prywatności zgodna z RODO.

Skanowanie i generowanie działa bez zakładania konta. Wersja darmowa: 5 skanowań i 5 kodów dziennie. Premium: 9,99 zł/mies. lub 49,99 zł/rok w App Store, 8,99 zł/mies. lub 44,99 zł/rok w Google Play. Interfejs aplikacji jest na razie po angielsku.

Jeśli kody QR wystawia Twoja firma

Odpowiadasz wtedy również za bezpieczeństwo swoich klientów.

• Tylko HTTPS. Każdy adres pod kodem powinien być szyfrowany.
• Własna domena zamiast skracacza. Skrócony link ukrywa cel, uczy klientów złych nawyków i przestaje działać, gdy usługa skracająca znika.
• Kontrola kodów w terenie. Materiały wiszące w lokalu sprawdzaj regularnie — naklejenie kodu na kod zajmuje trzy sekundy.
• Szkolenie zespołu. Pracownik nie powinien skanować służbowym telefonem kodów z nieznanego źródła, tak samo jak nie klika linków z podejrzanych e-maili.

Podsumowanie

Kody QR są bezpieczną i wygodną techniką, o ile pamiętasz, że ryzyko nie siedzi w kwadracie, tylko w tym, dokąd on prowadzi. Skanuj czytnikiem, który pokazuje treść przed otwarciem, czytaj domenę od końca, nie ufaj naklejkom w przestrzeni publicznej i nigdy nie podawaj hasła na stronie otwartej z kodu. Jeśli chcesz konkretną listę sygnałów ostrzegawczych, przejdź do poradnika jak rozpoznać fałszywy kod QR; jeśli szukasz podstaw obsługi, zacznij od jak zeskanować kod QR telefonem.

Najczęstsze pytania

Czy kod QR może zawierać wirusa?

Nie. Kod QR przechowuje dane, najczęściej adres strony. Zagrożeniem jest dopiero strona albo plik, do którego prowadzi. Dlatego zawsze warto zobaczyć odczytaną treść, zanim się ją otworzy.

Czym jest quishing?

Quishing to phishing z użyciem kodu QR: oszust doprowadza do zeskanowania swojego kodu, żeby przenieść Cię na podrobioną stronę i wyłudzić dane logowania lub dane karty. Najczęściej nakleja fałszywy kod na prawdziwy albo wysyła go listem lub e-mailem. Ostrzegają przed tym CERT Polska, gov.pl i Związek Banków Polskich.

Jak bezpiecznie zeskanować kod QR?

Użyj czytnika, który najpierw pokazuje odczytany adres, sprawdź domenę pod kątem literówek i nietypowych końcówek i zachowaj ostrożność przy kodach naklejonych w miejscach publicznych. QR Toolkit dekoduje na urządzeniu i wyświetla treść, zanim cokolwiek się otworzy.

Czy skanowanie kodu QR może opróżnić konto w banku?

Samo skanowanie nie. Pieniądze znikają dopiero wtedy, gdy na podrobionej stronie wpiszesz dane karty albo potwierdzisz operację kodem z SMS-a lub w aplikacji bankowej. Zasada jest prosta: nie autoryzuj niczego, czego sam nie zainicjowałeś.