Kod QR prowadzi do strony phishingowej: jak sprawdzić link przed logowaniem
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
Kod QR jest wygodny: aparat rozpoznaje go i od razu proponuje otwarcie adresu, zapłacenie rachunku, połączenie z Wi-Fi albo przejście do menu. Sam wzór nie pokazuje jednak, dokąd prowadzi. Wykorzystuje to phishing przez kody QR, nazywany też quishingiem: oszust podmienia naklejkę, wysyła kod w wiadomości lub tworzy wiarygodną stronę, aby skłonić użytkownika do otwarcia fałszywej witryny.
Ważne jest rozróżnienie skanowania i wykonania działania. Zwykłe odczytanie kodu QR nie oznacza, że telefon automatycznie został zainfekowany albo konto jest już przejęte. Najczęściej aparat tylko wyświetla adres. Ryzyko pojawia się, gdy użytkownik bez zastanowienia otworzy stronę, wpisze hasło lub dane karty, zainstaluje proponowany plik albo zatwierdzi logowanie. Dlatego najpierw sprawdź adres i kontekst, a dopiero potem zdecyduj, czy przejść dalej.
Jak działa oszustwo z kodem QR
Kod może zawierać zwykły tekst, kontakt, polecenie połączenia z siecią bezprzewodową albo adres internetowy. Jeśli to link, aparat lub skaner zazwyczaj pokazuje go jako kartę do otwarcia. Oszustwo nie zaczyna się od magicznego działania samego wzoru, lecz od zaufania do miejsca, w którym go umieszczono, oraz strony, do której prowadzi.
Na przykład na prawdziwym kodzie na parkomacie, stojaku reklamowym czy menu może pojawić się inna naklejka. Otworzy stronę przypominającą serwis płatniczy, ale jej adres będzie jedynie podobny do oficjalnej domeny. Inny scenariusz to e-mail lub wiadomość z kodem i pilnym wyjaśnieniem: „potwierdź konto”, „odbierz przesyłkę”, „zobacz dokument”. Po przejściu witryna prosi o login, hasło, dane karty lub kod jednorazowy.
Istnieją też legalne kody QR do logowania się do komunikatora na komputerze. Oszust może jednak przedstawić podłączenie obcego urządzenia jako głosowanie, konkurs lub oglądanie zdjęcia. CERT-UA opisała schemat, w którym zeskanowanie kodu i przekazanie kodu uwierzytelniającego pozwalało dodać obce urządzenie do konta. Nie skanuj kodów logowania, jeśli samodzielnie nie uruchomiłeś oficjalnej funkcji łączenia urządzeń w aplikacji. O sprawdzaniu domen w podejrzanych wiadomościach przeczytasz też w artykule o linkach podawanych przez AI.
Co sprawdzić przed otwarciem
Po zeskanowaniu uważnie przeczytaj adres wyświetlony przez aparat. Sprawdź całą domenę, a nie tylko znajome słowo w jej środku. Na przykład bank.example.attacker.test należy do domeny attacker.test, a nie do banku. Zwróć uwagę na literówki, dodatkowe łączniki, nietypowe subdomeny i skracacze linków. Ikona kłódki lub HTTPS oznacza szyfrowane połączenie, ale sama w sobie nie potwierdza, że witryna należy do właściwej firmy.
Nie naciskaj automatycznie przycisku „Otwórz”. Na iPhonie i Androidzie można skopiować adres albo wyświetlić jego podgląd, jeśli aparat obsługuje taką funkcję. Nie wklejaj podejrzanego URL-a do przypadkowego serwisu sprawdzającego, jeśli zawiera osobisty token lub prywatny link: taki adres może działać tylko raz albo zapewniać dostęp do dokumentu. W razie wątpliwości samodzielnie otwórz oficjalną aplikację lub wpisz znany adres ręcznie.
Obejrzyj fizyczny nośnik. Naklejka nałożona na inny kod, nierówny druk, uszkodzona powierzchnia albo niespodziewana prośba o płatność na prywatną kartę to powód, aby przerwać i potwierdzić informacje w lokalu lub firmie innym kanałem. Nie korzystaj z numeru telefonu ani kontaktu podanego na podejrzanej stronie; znajdź oficjalne dane niezależnie.
Gdy kod prowadzi do płatności lub Wi-Fi
Przed płatnością sprawdź odbiorcę, tytuł i kwotę w oficjalnej aplikacji bankowej. Kod QR może zawierać dane przelewu, a nie tylko otwierać stronę. Nie zatwierdzaj płatności, jeśli nazwa odbiorcy różni się od tej na rachunku, paragonie lub szyldzie. Jeśli naklejka z kodem płatniczym została umieszczona na innej, poinformuj osobę odpowiedzialną.
Kod QR do Wi-Fi może przekazać nazwę sieci i hasło, aby telefon połączył się automatycznie. Przed potwierdzeniem upewnij się, że nazwa sieci zgadza się z podaną przez właściciela lokalu. W miejscu publicznym nie wpisuj na stronie z kodu QR hasła do poczty, banku ani mediów społecznościowych w zamian za „darmowy internet”. Prawdziwa sieć nie powinna wymagać hasła do obcego konta.
Jeśli strona proponuje instalację aplikacji, certyfikatu, profilu zarządzania lub pliku APK, zatrzymaj się. Pobieraj programy wyłącznie z oficjalnego sklepu albo strony producenta i sprawdzaj nazwę wydawcy. Kod QR nie uzasadnia omijania ostrzeżeń systemowych ani wyłączania ochrony. O innych metodach ukrywania wiadomości phishingowych przeczytasz w artykule o niewidocznych znakach w phishingu.
Link jest już otwarty: co zrobić
Jeśli tylko zeskanowałeś kod i zobaczyłeś adres, ale go nie otworzyłeś ani niczego nie wpisałeś, zamknij kartę i nie wracaj do linku. Sprawdź, czy plik się nie pobrał i czy niespodziewanie nie zainstalowano profilu lub aplikacji. Aktualny system i przeglądarka ograniczają ryzyko znanych luk, ale nie zastępują weryfikacji strony.
Jeśli podałeś hasło, otwórz oficjalną usługę w aplikacji albo wpisz adres ręcznie — najlepiej na innym zaufanym urządzeniu. Zmień hasło, zakończ nieznane aktywne sesje i włącz uwierzytelnianie wieloskładnikowe. Jeśli używałeś tego samego hasła gdzie indziej, zmień je również tam. Nie przekazuj nikomu kodu potwierdzającego, nawet gdy rozmówca podaje się za pomoc techniczną. Po podejrzanym logowaniu przez QR sprawdź listę podłączonych urządzeń; jeśli straciłeś dostęp, skorzystaj z oficjalnej procedury odzyskiwania.
Jeśli podałeś dane karty albo zatwierdziłeś przelew, natychmiast skontaktuj się z bankiem przez numer na karcie lub oficjalną aplikację. Poproś o zablokowanie karty lub zakwestionowanie transakcji, jeśli jest taka możliwość, i zachowaj wiadomość, adres oraz czas zdarzenia. Nie dzwoń pod numer pokazany przez podejrzaną stronę. Jeśli zainstalowałeś plik, nie otwieraj go ponownie; usuń podejrzaną aplikację standardowymi narzędziami, sprawdź system i zmień ważne hasła z innego, czystego urządzenia.
Jak ograniczyć ryzyko w domu i pracy
Nawyk sprawdzania domeny przed wpisaniem danych jest skuteczniejszy niż szukanie „magicznego skanera”. Aplikacja do kodów QR może wyświetlić adres, ale nie potrafi bezbłędnie potwierdzić bezpieczeństwa każdej strony. Nie przyznawaj skanerowi zbędnych uprawnień i nie instaluj nieznanych narzędzi tylko po to, by zapłacić jeden rachunek.
Firmy powinny wyjaśniać pracownikom, że kod QR jest takim samym kanałem przejścia jak link w e-mailu. W przypadku kodów wewnętrznych korzystaj z kontrolowanych domen, sprawdzaj materiały drukowane i regularnie oglądaj kody w miejscach publicznych. Aby zalogować się do usługi, uruchom procedurę z oficjalnej aplikacji, a nie ze strony otwartej przez niezamówiony kod QR. Włącz uwierzytelnianie wieloskładnikowe, które nie polega wyłącznie na ponownym wpisaniu hasła.
Nie trzeba bać się każdego kodu QR ani koniecznie sprawdzać go specjalnym antywirusem. Trzeba wiedzieć, jaką czynność chcesz wykonać, sprawdzić adres, odbiorcę lub sieć i zrezygnować, jeśli strona żąda nieoczekiwanych informacji. Jeżeli urządzenie zachowuje się nietypowo po instalacji nieznanej aplikacji, nie wpisuj na nim haseł do płatności i skorzystaj z diagnostyki urządzenia.
W skrócie
Kod QR ukrywa adres przed szybkim spojrzeniem, ale sam w sobie nie kradnie kont. Najważniejszy moment jest przed wpisaniem hasła, płatnością, pobraniem pliku lub zatwierdzeniem logowania. Sprawdź pełną domenę, samodzielnie otwieraj oficjalne aplikacje, nie przekazuj kodów jednorazowych i skontaktuj się z bankiem lub pomocą techniczną, jeśli dane trafiły już na podejrzaną stronę.
