Jak quishing funguje v praxi
Útočník vytvoří QR kód, který směřuje na podvodnou stránku napodobující přihlášku do internetového bankovnictví, platební bránu nebo přihlašovací formulář firemního systému. Kód následně fyzicky nalepí na legitimní plakáty, parkovací automaty, nabídky v restauracích nebo ho šíří tisknutými letáky ve schránkách. Cílem je donutit oběť k rychlému skenování bez ověření cílové adresy. V auditech CIAD se ukazuje, že útočníci často využívají zkracovače odkazů uvnitř QR kódu, aby skryli skutečnou doménu.
Typická místa výskytu v českém prostředí
Nejčastěji se podvodné kódy vyskytují na veřejných parkovištích a parkovacích’Automatech, kde nálepka s vlastním kódem překryje původní platební QR. Další vektor jsou nabídky v menších restauracích nebo kavárnách, kde hosté skenují menu a platební rozhraní přímo ze stolu. Také se objevují na falešných dopisních zásilkách upozorňujících na „dopočítané poštovné“ nebo na letácích nabízejících výhodné tarify mobilních operátorů s odkazem na registraci.
Jak rozpoznat podezřelý QR kód před skenováním
- Ověřte fyzickou integritu: Hledejte známky přelepení, odlišnou barvu tisku, hrany nálepky nebo poškození původního povrchu.
- Zkontrolujte kontext: QR kód na parkovacím automatu by měl vést na doménu operátora parkování (např.
parkoviště-mesto.cz), ne na neznámou adresu s koncovkou.xyz,.topnebo na IP adresu. - Používejte náhled URL: Moderní mobilní prohlížeče i specializované skenery (např. v aplikaci pro platební karty) zobrazí cílovou adresu před přesměrováním. Pokud adresa vypadá podezřele, neskenujte.
- Nevkládejte citlivá data na stránce otevřené z neověřeného kódu: Nikdy nezadávejte PIN, CVV kód karty ani hesla do formulářů, na které jste dostali skenováním kódu v veřejném prostoru.
Bezpečné návyky pro každodenní skenování
Nastavte si v telefonu potvrzení před otevřením odkazu ze skeneru QR kódů. Pro placené služby (parkování, jízdné, objednávky) preferujte oficiální mobilní aplikace poskytovatele nebo terminály s NFC čtečkou, kde fyzicky ověříte částku na displeji. Pokud restaurace nabízí platbu přes QR na stole, zeptejte se obsluhy, zda kód odpovídá jejich platebnímu systému. V případě twarování kódu na poštovní zásilce zkontrolujte sledovací číslo na oficiálním webu dopravce ručně.
Co dělat, když podezříváte, že jste skenovali podvodný kód
Okamžitě zavřete otevřenou stránku. Pokud jste zadali přihlašovací údaje, změňte heslo na skutečné službě co nejdříve a zapněte dvoufaktorové ověření. Pokud jste zadali platební kartu, kontaktujte banku a nechte kartu zablokovat. O incident nahlásit na policií nebo na bezpečnostní tým organizace, jejímž logo kód zneužíval. Uložte screenshot QR kódu a cílové URL pro případné šetření.
Co to znamená: Quishing využívá důvěru v fyzické předměty a pohodlí mobilních platby. Klíčovou obranou je zvyk ověřovat cílovou adresu před potvrzením a upřednostňovat oficiální aplikace před anonymními kódy ve veřejném prostoru.
Časté dotazy
Jak poznám, že QR kód na parkovacím automatu je falešný?
Falešný kód je často nalepený jako nálepka nad původní tisk, má jinou barvu nebo kvalitu. Po naskenování zkontrolujte doménu v prohlížeči · musí patřit operátorovi parkoviště, ne neznámému zkracovači.
Je bezpečné skenovat QR kódy v restauracích pro menu a platbu?
Je to relativně bezpečné, pokud kód není poškozený ani přelepený. Pro jistotu se zeptejte obsluhy, zda kód vede na jejich platební systém, a ověřte URL před zadáním platebních údajů.
Co když jsem už zadal heslo na stránce z podvodného QR kódu?
Okamžitě změňte heslo na opravdové službě a zapněte dvoufaktorové ověření. Pokud jste použili stejné heslo jinde, změňte ho i tam. Banku informujte, pokud jste zadávali platební kartu.
Může antivirus v telefonu chránit mě před quishingem?
Antivirus nebo bezpečnostní aplikace s webovým filtrem může zablokovat známé phishingové domény po otevření odkazu, ale neumožní fyzické nalepení falešného kódu. Hlavní ochrana je opatrnost uživatele.
Kam nahlásit podvodný QR kód ve veřejném prostoru?
Nahlásit ho můžete policie přes e-mail nebo formulář na jejich webu, případně majiteli objektu (restaurace, město, operátor parkoviště). Přidejte fotografii kódu a umístění.