Jak rozpoznać fałszywy kod QR — quishing w praktyce

Fałszywego kodu QR nie rozpoznasz po wyglądzie — i to jest pierwsza rzecz, którą trzeba przyjąć do wiadomości. Wzór kodu prowadzącego do Twojego banku i wzór kodu prowadzącego do jego podróbki są dla oka nie do odróżnienia. Rozpoznaje się kontekst (gdzie kod wisi i kto go tam umieścił) oraz treść po odczytaniu (dokąd naprawdę prowadzi). Poniżej osiem sygnałów, które sprawdzisz w kilka sekund, i procedura na wypadek, gdy było już za późno.

Zanim zeskanujesz: pięć sygnałów z otoczenia

1. Naklejka na naklejce

Najczęstszy schemat i najłatwiejszy do wykrycia. Oszust nakleja własny kod na kod prawdziwy — na parkomacie, na słupie z rowerami miejskimi, na stojaku z menu, na bankomacie. Dotknij krawędzi kodu palcem. Naklejka ma grubość, odstaje na rogach, bywa przekrzywiona wobec nadruku pod spodem i często ma inny odcień bieli niż reszta materiału.

2. Kod nie pasuje do reszty materiału

Prawdziwe kody są częścią projektu graficznego: mają ten sam papier, tę samą czcionkę podpisu, ten sam kolor. Kod wydrukowany na zwykłej kartce i przyklejony taśmą do eleganckiej tabliczki to sygnał sam w sobie, nawet jeśli nikt niczego nie zaklejał.

3. Kod bez podpisu

Uczciwy kod ma pod sobą trzy słowa: „Menu”, „Zapłać za postój”, „WiFi dla gości”. Kod bez żadnego wyjaśnienia liczy na odruch. Jeśli nie wiesz, co ten kod ma zrobić, nie masz jak ocenić, czy zrobił to, co miał.

4. Presja czasu albo groźba

„Ostatni dzień na opłacenie”, „konto zostanie zablokowane”, „dopłać 3,20 zł, aby otrzymać przesyłkę”. Presja jest podstawowym narzędziem oszustwa i przenosi się z e-maili na kody QR bez zmian. Instytucje nie ścigają Cię o trzy złote naklejką.

5. Kod QR w liście albo e-mailu „z banku”

W Polsce ten wariant jest szczególnie częsty: papierowe pismo wyglądające na bankowe albo urzędowe, z kodem QR i poleceniem „potwierdzenia danych”. CERT Polska i portal gov.pl opisują to jako quishing, a Związek Banków Polskich prowadzi na ten temat kampanię edukacyjną. Żaden polski bank nie każe logować się przez kod QR z listu. W e-mailach ten sam trik ma dodatkowe uzasadnienie: filtry antyspamowe czytają adresy w treści, a kodu w obrazku nie przeczytają.

Po zeskanowaniu: trzy sygnały w treści

Tu potrzebujesz czytnika, który pokazuje odczytaną treść, zanim cokolwiek otworzy. Aparat systemowy zwykle otwiera stronę od razu po dotknięciu dymka i odbiera Ci ten moment. QR Toolkit wyświetla pełną odczytaną treść na ekranie i czeka na Twoją decyzję; dekodowanie odbywa się na urządzeniu.

6. Domena nie jest tym, czym się wydaje

Czytaj adres od końca, do fragmentu tuż przed pierwszym ukośnikiem — to jest prawdziwa domena. Wszystko wcześniej może być doklejone:

• mbank.pl.logowanie-online.top → domena to logowanie-online.top
• platnosci.inpost.pl-doplata.info → domena to pl-doplata.info
• www-pkobp.pl → to nie pkobp.pl, tylko osobna domena z myślnikiem

7. Podmienione litery i obce końcówki

alegro.pl, p0czta-polska.pl, orlen-payy.com, rnbank.pl (rn udające m). Jedna litera wystarczy. Podejrzliwie traktuj też końcówki, których polska firma nie ma powodu używać: .top, .xyz, .click, .info przy rzekomej stronie banku.

8. Skracacz linków

Skrócony adres na naklejce w przestrzeni publicznej ukrywa cel — i nie ma dobrego powodu, żeby instytucja go tam używała. Jeśli po zeskanowaniu widzisz wyłącznie skrócony link, potraktuj to jak brak informacji, a nie jak informację.

Szybki test w cztery kroki

1. Dotknij kodu. Czy to naklejka na czymś innym?
2. Sprawdź podpis. Czy wiadomo, co ten kod ma zrobić?
3. Zeskanuj czytnikiem z podglądem i przeczytaj domenę od końca.
4. Zadaj sobie pytanie: czy ja to zainicjowałem? Jeśli strona chce hasła, kodu z SMS-a albo potwierdzenia w aplikacji bankowej, a Ty nie zaczynałeś żadnej transakcji — zamknij ją.

Cztery kroki zajmują mniej czasu niż wpisanie hasła.

Co zrobić, jeśli już podałeś dane

Kolejność ma znaczenie, bo liczy się czas.

1. Natychmiast zmień hasło do konta, którego dotyczyło logowanie — z innego, zaufanego urządzenia, wchodząc na stronę wpisaną z pamięci, a nie z historii.
2. Zadzwoń na infolinię banku i zgłoś podejrzenie wyłudzenia. Poproś o zablokowanie karty lub kanału, jeśli podałeś dane karty.
3. Zastrzeż kartę, jeżeli podałeś jej numer, datę ważności i kod CVV.
4. Włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie go jeszcze nie masz.
5. Zgłoś incydent do CERT Polska — zgłoszenia realnie zasilają listy ostrzeżeń, z których korzystają przeglądarki i operatorzy.
6. Udokumentuj kod i miejsce, w którym wisiał, i powiadom właściciela obiektu. Naklejka zostaje na parkomacie tak długo, aż ktoś ją zdejmie.

Jak nie dać się zaskoczyć następnym razem

• Skanuj czytnikiem z podglądem treści. To jedna zmiana nawyku, która neutralizuje większość ryzyka.
• Płać przez oficjalną aplikację, nie przez kod ze słupa. Do parkowania, biletów i doładowań masz aplikacje operatorów.
• Nie skanuj kodów służbowym telefonem ze źródeł, których nie znasz.
• Powiedz o tym rodzicom i dziadkom. Listy „z banku” z kodem QR celują dokładnie w tę grupę i działają, bo papier wygląda oficjalnie.
• Jeśli wystawiasz kody w swoim lokalu, sprawdzaj je regularnie i podpisuj. Zasady bezpiecznego udostępniania opisaliśmy w tekście kod QR do WiFi dla gości.

Podsumowanie

Fałszywego kodu QR nie odróżnisz wzrokiem od prawdziwego — odróżnisz go po kontekście i po odczytanym adresie. Dotknij kodu, sprawdź podpis, przeczytaj domenę od końca i nie autoryzuj niczego, czego sam nie zacząłeś. Szerszy obraz zagrożeń znajdziesz w tekście czy kody QR są bezpieczne, a podstawy obsługi w poradniku jak zeskanować kod QR telefonem.

Najczęstsze pytania

Jak rozpoznać fałszywy kod QR? Po kontekście i po treści. Sprawdź, czy kod nie jest naklejką przyklejoną na inny kod, czy jest podpisany i czy pasuje do reszty materiału. Po zeskanowaniu przeczytaj domenę od końca i wypatruj podmienionych liter oraz nietypowych końcówek.

Czy da się poznać po samym wzorze kodu, że jest fałszywy? Nie. Wzór kodu prawdziwego i podrobionego wygląda identycznie. Jedyny sposób to odczytanie treści czytnikiem, który pokazuje ją przed otwarciem.

Czy bank prosi o zalogowanie się przez kod QR? Polskie banki nie wysyłają listów ani e-maili z kodem QR do logowania czy „potwierdzenia danych”. Taki kod należy traktować jako próbę wyłudzenia i zgłosić na infolinię banku.

Co zrobić, gdy zeskanowałem podejrzany kod, ale nic nie wpisałem? Zwykle nic się nie stało — samo otwarcie strony nie przekazuje Twoich danych logowania. Zamknij kartę, nie wracaj do niej i nie instaluj niczego, co ta strona proponowała.