Oszustwa z kodami QR (quishing): jak je rozpoznać

Quishing (QR + phishing) to oszustwo, które zamiast linku używa kodu QR. Po zeskanowaniu kodu telefonem osoba trafia na fałszywą stronę, która prosi o dane logowania, płatność albo proponuje pobranie złośliwej aplikacji. Ta forma oszustwa zyskuje na popularności, bo kody QR stały się codziennością (menu, płatności, bilety) i ufa się im bez większych wątpliwości.

Dlaczego oszuści lubią kody QR

• Adres jest ukryty: z samego kodu nie widać, dokąd prowadzi.
• Skanuje się go telefonem: na telefonie trudniej zobaczyć prawdziwą domenę, a zabezpieczenia są często słabsze niż na komputerze.
• Zaufanie do druku: kod na papierze lub plakacie wygląda bardziej oficjalnie niż e-mail.
• Omija filtry: kod QR w e-mailu to często obraz, więc ochrona poczty nie sprawdza linku.

Gdzie pojawiają się złośliwe kody QR

• W e-mailu z „fakturą” lub „potwierdzeniem dostawy”, gdzie kod QR zastępuje zwykły przycisk.
• Na naklejkach przyklejonych na prawdziwy kod: na parkingach, terminalach lub plakatach.
• W fałszywych prośbach o płatność, które naśladują bank lub urząd.
• W ulotkach promocyjnych albo powiadomieniach o „nagrodzie”.

Jak rozpoznać quishing

Ponieważ samego kodu nie da się odczytać wzrokiem, trzeba zwracać uwagę na kontekst i na to, co dzieje się po zeskanowaniu.

• Nieoczekiwany kod QR w e-mailu zamiast zwykłego linku lub tekstu.
• Po zeskanowaniu otwiera się strona, która prosi o dane logowania albo płatność.
• Adres w przeglądarce nie pasuje do firmy, której kod rzekomo skanujesz.
• Naklejka z kodem QR wygląda na przyklejoną na inny, oryginalny kod.
• Ponaglający lub groźny ton obok kodu („zeskanuj teraz, inaczej…”).

Co robić i jak się chronić

• Przed zeskanowaniem zastanów się, czy kod jest w zaufanym miejscu i czy w ogóle się go spodziewasz.
• Po zeskanowaniu spójrz na adres, zanim stukniesz „otwórz”: wiele telefonów najpierw pokazuje link.
• Nie wpisuj danych logowania ani danych karty na stronie otwartej przez kod QR.
• Ważne usługi (bank, poczta) otwieraj w aplikacji lub wpisując adres ręcznie, a nie przez kod QR.
• W miejscach publicznych sprawdzaj, czy kod nie jest naklejką przyklejoną na inny kod.

Pamiętaj: kod QR to po prostu ukryty link. Stosuj tę samą zasadę co wobec każdego linku w e-mailu: jeśli się go nie spodziewasz, nie ufaj mu.

Jak przygotować zespół

Wielu pracowników jeszcze nie wie, że kod QR może być atakiem, przez co łatwo ich nabrać. Krótkie przypomnienie i prawdziwe przykłady szybko zwiększają czujność. Symulacje Opsinel są wysyłane e-mailem, a lekcje obejmują też oszustwa z kodami QR i oszustwa SMS, więc zespół uczy się rozpoznawać oszustwa także w innych kanałach.