QR platby a bezpečnost – jak poznat podvodný QR kód, quishing a co zkontrolovat před zaplacením

QR platby jsou v Česku velmi rozšířené: naskenujete kód na faktuře, v restauraci, u parkovacího automatu či v e-shopu a bankovní aplikace sama vyplní číslo účtu, částku i variabilní symbol. Je to rychlé a snižuje to riziko překlepu. Právě proto je ale QR kód zajímavým nástrojem pro podvodníky: kód nelze „přečíst očima“, takže na první pohled nepoznáte, na jaký účet peníze povedou. Podvodníci kódy přelepují, rozesílají falešné faktury nebo využívají quishing, tedy phishing, v němž je odkaz na falešnou stránku ukrytý v QR kódu.

V tomto článku vysvětlujeme, jak QR platby fungují, jaké jsou typické podvody, co kontrolovat před zaplacením, jak bezpečně skenovat kódy a co dělat, když jste zaplatili špatně. Čerpáme z upozornění Komerční banky: Quishing, z jejích rad ke kontrole podezřelých plateb, z přehledu CNN Prima News: Rizika placení QR kódem a z témat Lupa.cz o QR kódech. Nastavení aplikací se liší, proto ověřte postupy u své banky.

Další návody najdete v kategorii Mobil, bankovnictví a platby, například Okamžité platby a podvodné převody, Push notifikace a potvrzení plateb a Bezpečnost mobilního bankovnictví.

Aktualizováno: listopad 2026.

Jak QR platba funguje

Platební QR kód (v Česku se používá standard QR platba) obsahuje údaje platby: číslo účtu (IBAN), částku, měnu, variabilní symbol, případně zprávu pro příjemce. Bankovní aplikace kód naskenuje a předvyplní platební příkaz. Vy jej pak musíte potvrdit. Z toho plyne zásadní věc: bezpečnost platby závisí na tom, co zkontrolujete před potvrzením, protože aplikace obvykle neví, zda je příjemce poctivý.

Kromě platebních kódů existují kódy s odkazem (webové stránky, aplikace, Wi-Fi, vizitky). Ty můžou vést na podvodné stránky; viz Phishing.

Orientační postup bezpečné QR platby – vlastní infografika

Typické podvody s QR kódy

• Přelepený kód: podvodník nalepí vlastní kód přes původní (parkovací automat, nabíjecí stanice, menu v restauraci, nástěnka, plakát). Platba jde na cizí účet; viz upozornění banky o quishingu.
• Falešná faktura či upomínka doručená e-mailem, poštou či SMS s QR kódem pro úhradu; částka je přitom zdánlivě drobná, a tak ji nikdo neřeší.
• Quishing: e-mail či SMS „z banky“, kurýrní společnosti či úřadu místo odkazu obsahuje QR kód, který vás přesměruje na falešnou přihlašovací stránku; viz Smishing.
• Podvody na bazarech: „kupující“ pošle QR kód údajně pro „přijetí platby“ či „ověření“; ve skutečnosti platíte vy. Viz Podvody na bazarech.
• Falešné e-shopy s QR platbou na jiný účet, než je uveden v obchodních podmínkách.
• Zmanipulovaný kód v PDF či ve sdílené přílohe: platební údaje se liší od těch, které jste očekávali.
• Falešné aplikace pro čtení QR kódů obsahující reklamy či malware; viz Falešné bankovní aplikace.

Co zkontrolovat před zaplacením

Po naskenování se vám zobrazí předvyplněná platba. Než ji potvrdíte:

1. Číslo účtu a banka příjemce: odpovídá faktuře, smlouvě či dřívější platbě? Banka v zahraničí (kód země v IBAN jiný než CZ) u domácí služby je podezřelá.
2. Částka a měna: souhlasí s dokladem? Podvodníci mění částku nebo měnu.
3. Variabilní symbol a zpráva: neobvyklá zpráva či symbol mohou naznačovat zmanipulovaný kód.
4. Jméno příjemce, pokud ho aplikace zobrazuje: odpovídá organizaci, které platíte?
5. Kontext: čekali jste platbu? Kód od cizího člověka, v neočekávané zprávě či v nesprávném místě je varování.
6. Fyzický kód: u automatů a plakátů zkontrolujte, zda není přelepený (okraje, jiná kvalita tisku, nálepka přes nálepku). Pokud ano, použijte jiný způsob platby.
7. Odkazy: pokud kód vede na webovou stránku, zkontrolujte adresu a nikdy nezadávejte přihlašovací údaje ani údaje karty na stránce, na kterou vás kód přesměroval, pokud jej neznáte.

Některé banky nabízejí funkce kontroly platby či příjemce; pokud ji vaše banka má, zapněte ji. Dále viz rady banky ke kontrole podezřelých plateb.

Kontrolní seznam – vlastní infografika

Bezpečné skenování kódů s odkazem

Platební kód naskenujte v bankovní aplikaci. Pro ostatní kódy platí:

• Nejprve se podívejte na adresu, kterou fotoaparát zobrazí, a neotevírejte, pokud působí podezřele (překlepy, neznámá doména, zkrácený odkaz).
• Používejte vestavěnou čtečku telefonu či ověřenou aplikaci; viz Bezpečnost mobilních zařízení.
• Neinstalujte aplikace z kódu; stahujte jen z oficiálních obchodů.
• Nepřihlašujte se na stránkách otevřených přes QR kód; přihlaste se raději přes oficiální aplikaci či ručně zadanou adresu.
• Pozor na kódy ve veřejných prostorách, kde je snadné je přelepit.
• Nepřipojujte se k Wi-Fi z neznámých kódů; viz Falešná Wi-Fi.

Co dělat, když jste zaplatili špatně

1. Ihned volejte banku a nahlaste podvodnou platbu; požádejte o kontakt s bankou příjemce, aby se pokusila peníze zablokovat; viz Okamžité platby a podvodné převody.
2. Pokud jste zadali přihlašovací údaje na podvodné stránce, změňte heslo a zablokujte přístup do bankovnictví.
3. Uložte důkazy: snímek kódu, místo, čas, zprávy.
4. Podejte oznámení policii, zejména při přelepených kódech na veřejných zařízeních (pomůže i provozovateli).
5. Informujte provozovatele automatu či restaurace, aby kód vyměnili a ověřili.
6. Zkontrolujte telefon antivirem, pokud jste instalovali aplikaci z kódu; viz Antivirové programy.

Jak se chránit v rodině

Starším příbuzným vysvětlete, že QR kód nikdy nezaručuje, že je platba správná. Domluvte jednoduché pravidlo: platbu na neznámý účet po skenování z letáku, e-mailu či zprávy nejdřív konzultují s někým z rodiny. Dětem a mladým ukažte, že předvyplněná platba v aplikaci je jako vyplněný šek: podepisují ho svým potvrzením. Praktické je také nastavit nižší limit pro odchozí platby a zapnout upozornění na každou platbu, aby případnou chybu zachytili včas. Při placení v restauraci či na tržnici dává smysl požádat o QR kód přímo od obsluhy (na displeji či tištěný účet), nikoli skenovat kód z nástěnky či stolu, který mohl kdokoli vyměnit. Pokud si nejste jistí, zaplaťte kartou či hotově a rizikový QR kód přenechejte. Při placení parkování využívejte oficiální aplikaci města či provozovatele, nikoli kód nalepený na automatu.

Firmy a provozovatelé

Firmy, které QR kódy používají k příjmu plateb, by měly kód pravidelně kontrolovat, chránit jej před přelepením (průhledná ochranná fólie, umístění pod dohledem, pravidelné obchůzky), uvádět číslo účtu textem vedle kódu a informovat zákazníky, jak platbu ověřit. Při placení faktur by měly zaměstnanci kontrolovat číslo účtu proti smlouvě a změny ověřovat jiným kanálem; viz Zabezpečení firemního účtu a 2FA pro týmy.

Časté otázky v praxi

Je QR platba bezpečná?: technicky ano, pokud zkontrolujete předvyplněné údaje. Jak poznám přelepený kód?: podle okrajů a nepravidelností; ověřte i číslo účtu. Je quishing jen v e-mailech?: i v SMS, na plakátech a letácích. Mám QR kódům nedůvěřovat?: používejte je rozumně, ale vždy kontrolujte. Můžu platbu vzít zpět?: ne, ihned volejte banku.

QR platby v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro uživatele bankovnictví – vlastní infografika

Související články

Další návody najdete v kategorii Mobil, bankovnictví a platby: Limity na kartách a platbách, 3D Secure, SIM swapping a Bezpečnost NFC plateb.

Shrnutí

QR platby jsou pohodlné, ale vyžadují kontrolu: skenujte v bankovní aplikaci, před potvrzením ověřte číslo účtu, částku a příjemce a u fyzických kódů hlídejte přelepení. Při chybě ihned volejte banku. Více najdete v upozornění Komerční banky o quishingu.

Často kladené otázky k QR platbám