QR kód podvody (quishing) - jak je poznat

Kvíz: poznáte podvodný QR kód?

QR kódy se staly běžnou součástí každodenního života - od placení parkování po restaurační jídelní lístky. Právě jejich všudypřítomnost a fakt, že z pohledu uživatele vypadají všechny stejně, z nich učinily oblíbený nástroj podvodníků. Útok přes škodlivý QR kód se odborně označuje quishing (QR + phishing).

Jak quishing funguje

Nejčastější metodou je nalepení podvodné samolepky s vlastním QR kódem přes originální - typicky na parkovacích automatech, plakátech nebo veřejných nabídkách. Po naskenování se oběť dostane na falešnou přihlašovací nebo platební stránku, která vypadá jako skutečná, ale zadané údaje (heslo, číslo karty) odesílá útočníkovi. Druhou běžnou metodou je vložení QR kódu do e-mailu nebo PDF přílohy - tím útočníci obcházejí klasické e-mailové filtry, které umí lépe rozpoznat podvodné textové odkazy než obrázek s kódem.

Proč je QR kód nebezpečnější než klasický odkaz

Na rozdíl od textového odkazu si člověk před kliknutím často nemůže ověřit cílovou adresu - telefon po naskenování rovnou nabídne otevření stránky, a řada lidí si nevšimne náhledu URL, který se zobrazí před samotným otevřením. QR kód navíc nelze "přečíst" pohledem jako text, takže drobná změna v cílové doméně zůstane bez povšimnutí.

Jak poznat podvodný QR kód

• Zkontrolujte, jestli kód nevypadá jako nalepená samolepka přes originál - nakřivo, jiná kvalita tisku, jiný materiál.

• Před otevřením stránky zkontrolujte náhled adresy (URL), kterou telefon nabízí - drobné odchylky v doméně (např. záměna písmen) jsou varovný signál.

• Buďte obezřetní u QR kódů spojených s naléhavostí ("zaplaťte do 24 hodin", "ověřte účet okamžitě").

• Na platby a přihlašovací údaje raději použijte oficiální aplikaci nebo ručně zadanou adresu, ne QR kód z neznámého zdroje.

• U faktur a plateb v e-mailu buďte podezřívaví, pokud je jediným způsobem platby QR kód bez dalšího čitelného textu k ověření.

Co dělat, když jste naskenovali podvodný kód

Pokud jste na falešné stránce zadali přihlašovací údaje nebo platební informace, okamžitě změňte heslo u postižené služby a kontaktujte banku ohledně případného zablokování karty. Podvod je vhodné nahlásit i provozovateli místa, kde byl podvodný kód nalepen (např. správci parkovacích automatů), a Policii ČR.

Nejčastější dotazy o podvodných QR kódech (FAQ)

Je bezpečné skenovat jakýkoli QR kód na veřejném místě?

Ne automaticky - vždy je lepší nejdřív zkontrolovat, zda kód nevypadá jako dodatečně nalepený, a před otevřením stránky ověřit náhled adresy.

Chrání mě vestavěná čtečka QR kódů v telefonu před podvodem?

Čtečka sama o sobě ne - umí jen přečíst kód a zobrazit cílovou adresu, rozhodnutí otevřít ji nebo ne je na uživateli.

Proč jsou QR kódy v e-mailech rizikovější než textové odkazy?

Protože e-mailové filtry hůře rozpoznávají škodlivou adresu skrytou v obrázku QR kódu než v klasickém textovém odkazu.

Co mám dělat, pokud najdu podezřelou samolepku s QR kódem?

Nenaskenujte ji a nahlaste to provozovateli daného místa (např. správci parkoviště) - samolepku může kdokoli sloupnout a odhalit tak podvod pro ostatní.

Jsou QR kódy na vstupenkách bezpečné?

Ano, pokud je skenujete vy sami jako vstupenku pro vstup, nebo je skenuje ověřená obsluha - riziko vzniká jen tam, kde vás kód nabádá zadat údaje na cizí stránce.

Existuje appka, která QR kódy prověřuje předem?

Některé bezpečnostní appky a moderní telefony zobrazují náhled URL před otevřením - využívejte tuto funkci, pokud ji váš telefon má, a nikdy neklikejte na odkaz bez kontroly náhledu.