Dramat setek tysięcy Polaków. Wzrost o 900 procent

Zeskanowałeś kod QR z parkometru we Wrocławiu? Możesz stracić wszystkie oszczędności. Oszuści wymyślili nowy sposób na okradanie Polaków – quishing. Ten czarno-biały kwadracik, który miał ułatwić życie, stał się bronią cyberprzestępców. Sprawdź, jak się bronić.

Jeszcze kilka lat temu kody QR kojarzyły się głównie z futurystycznymi filmami. Dziś skanujemy je wszędzie – w restauracjach, na parkomatach, w sklepach, na przystankach. To wygodne, szybkie i… coraz bardziej niebezpieczne. Cyberprzestępcy odkryli, iż ten niewinny czarno-biały wzór to idealna pułapka na nieuważnych użytkowników.

Wzrost o 900 procent. Quishing staje się epidemią

Dane firmy Check Point Software nie pozostawiają złudzeń – w latach 2021-2024 ataki phishingowe wykorzystujące kody QR wzrosły aż o 900 procent. To oznacza, iż w ciągu trzech lat oszustwa tego typu stały się dziesięć razy częstsze.

Jak informuje serwis ChronPESEL.pl, problem dotyka już zdecydowanej większości Polaków. Z badania przeprowadzonego na reprezentatywnej grupie 1500 dorosłych wynika, iż 47 procent Polaków miało do czynienia z próbą wyłudzenia danych przez e-mail, a 40 procent przez SMS. Teraz przestępcy dodali do tego arsenału kody QR.

Paradoks polega na tym, iż 83 procent Polaków deklaruje ostrożność wobec podejrzanych linków. Kobiety są nieco bardziej czujne (85 procent) niż mężczyźni (80 procent), ale kody QR potrafią oszukać choćby najbardziej świadomych użytkowników. Dlaczego? Bo nie da się ich „przeczytać” wzrokiem jak tradycyjnego linka.

Parkometry, mandaty i tabliczki w lesie. Oszuści atakują wszędzie

Cyberprzestępcy wyszli z internetu na ulicę. We Wrocławiu odkryto fałszywe naklejki z kodami QR na parkomatach, które wyglądały jak oficjalna metoda płatności. Kierowcy płacący za parking nieświadomie przekazywali dane swoich kart przestępcom.

Jeszcze bardziej perfidny schemat zastosowano w Warszawie. Kierowcy znajdowali za wycieraczkami karty przypominające mandaty z logotypami policji i Krajowej Administracji Skarbowej. Kod QR miał prowadzić do „szybkiej płatności” za wykroczenie. W rzeczywistości kierował na stronę wyłudzającą dane osobowe.

Problem dotarł choćby do lasów. Jak ostrzegają leśnicy w rejonie Wałbrzycha, w lasach pojawiły się podejrzane tabliczki z kodami QR. Oficjalnie apelują, by ich nie skanować, ponieważ mogą prowadzić do złośliwych stron lub służyć kradzieży danych.

29-latek stracił 7600 złotych za jeden skan

Policja Mazowiecka podaje konkretny przykład szkód wyrządzanych przez quishing. 29-letni mieszkaniec powiatu płońskiego wystawił na sprzedaż kartę graficzną na popularnej platformie handlowej. Kontaktująca się z nim kobieta wysłała kod QR, który miał prowadzić do strony odbioru płatności.

Po zeskanowaniu i zalogowaniu się do bankowości internetowej mężczyzna zobaczył komunikat „przetwarzanie danych”. W tym czasie oszuści wykonali kilka transakcji na łączną kwotę 7600 złotych. Sprawa pokazuje, jak wyrafinowane są współczesne metody oszukiwania.

„Quishing to oszustwo, w którym cyberprzestępca tworzy spreparowany kod QR rzekomo prowadzący do e-płatności lub odbioru nagrody, którego zeskanowanie przekierowuje ofiarę do fałszywej witryny lub pozwala na pobranie złośliwego oprogramowania” – wyjaśnia Policja Mazowiecka.

Co to oznacza dla twojego bezpieczeństwa?

Jeśli regularnie skanujesz kody QR, możesz być w poważnym niebezpieczeństwie. Oto najważniejsze zagrożenia, które musisz znać:

Kradzież danych bankowych – oszuści mogą przejąć dostęp do twojego konta, numery kart czy dane logowania do bankowości internetowej.

Wyłudzenie PESEL-u – przestępcy wykorzystują ukradziony numer do zaciągania kredytów i pożyczek na twoje nazwisko.

Zainfekowanie telefonu – złośliwe oprogramowanie może przejąć kontrolę nad urządzeniem i wykradać wszystkie zgromadzone na nim dane.

Straty finansowe – jak pokazuje przykład 29-latka z Mazowsza, można stracić tysiące złotych w ciągu kilku minut.

Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl, ostrzega: „Z pozoru niewinny kod QR może być początkiem bardzo poważnych kłopotów. Po zeskanowaniu przez nas piktogramu oszuści są w stanie przejąć dane logowania do bankowości internetowej, numer karty płatniczej czy inne wrażliwe informacje”.

Dlaczego kody QR są tak niebezpieczne?

Problem z kodami QR polega na tym, iż nie da się ich „przeczytać” przed skanowaniem. W przeciwieństwie do tradycyjnego linka, gdzie widzimy adres strony, kod QR wygląda jak abstrakcyjny wzór. Dopiero po zeskanowaniu okazuje się, dokąd naprawdę prowadzi.

Co gorsza, filtry antyspamowe w systemach pocztowych traktują kody QR jak zwykłą grafikę. Nie potrafią automatycznie przeanalizować ich zawartości, więc podejrzane wiadomości z kodami QR częściej trafiają do skrzynki odbiorczej niż te z podejrzanymi linkami.

Oszuści wykorzystują też psychologię. Gdy ktoś prosi cię o szybką płatność mandatu, odbiór nagrody czy potwierdzenie transakcji, działasz impulsywnie. Nie zastanawiasz się nad bezpieczeństwem – po prostu skanujesz kod.

Praktyczne sposoby ochrony przed quishingiem

Wyłącz automatyczne skanowanie – w ustawieniach aparatu telefona wyłącz opcję automatycznego rozpoznawania kodów QR. To zmusi cię do świadomej decyzji o skanowaniu.

Używaj bezpiecznych aplikacji – zamiast wbudowanego skanera skorzystaj z aplikacji typu Trend Micro QR Scanner czy Avira QR Scanner. Pokazują one adres URL przed otwarciem strony.

Sprawdzaj kody online – zrób zdjęcie podejrzanego kodu i sprawdź jego zawartość w darmowych serwisach jak Online Barcode Reader czy QRStuff Decoder.

Nie skanuj w miejscach publicznych – unikaj kodów QR na plakatach, naklejkach, ulotkach czy tabliczkach, których nie możesz zweryfikować.

Sprawdzaj adresy stron – po zeskanowaniu sprawdź, czy adres URL jest prawdziwy. Oszuści często używają domen podobnych do oficjalnych, ale z literówkami.

Czerwone lampki ostrzegawcze

Bartłomiej Drozd z ChronPESEL.pl wymienia sytuacje, które powinny budzić podejrzenia:

• Prośba o pobranie aplikacji lub aktualizacji po skanowaniu
• Żądanie danych logowania do bankowości internetowej
• Strona z błędami językowymi lub podejrzanym wyglądem
• Skrócone lub nietypowe adresy URL
• Pilne prośby o płatność lub podanie danych osobowych

„Nie należy skanować przypadkowych piktogramów umieszczonych w miejscach publicznych, na plakatach, ulotkach czy w mailach od niezweryfikowanych nadawców. Pod żadnym pozorem nie można również podawać danych logowania, PESEL-u czy numeru karty płatniczej po zeskanowaniu kodu QR z nieznanego źródła” – podkreśla ekspert.

Jak reagować w przypadku oszustwa?

Jeśli podejrzewasz, iż padłeś ofiarą quishingu, działaj natychmiast:

1. Zmień hasła – niezwłocznie zmień hasła do bankowości internetowej i innych ważnych kont
2. Skontaktuj się z bankiem – zablokuj karty i sprawdź historię transakcji
3. Zgłoś na policję – złóż zawiadomienie o przestępstwie wraz z dokumentacją
4. Powiadom CERT Polska – zgłoś incident do zespołu ds. cyberbezpieczeństwa
5. Zeskanuj telefon – sprawdź urządzenie antywirusem lub skonsultuj ze specjalistą

Skutki oszustw

Rosnąca liczba oszustw z kodami QR może wpłynąć na całe społeczeństwo. Ludzie mogą stracić zaufanie do tej wygodnej technologii, co utrudni cyfryzację usług publicznych i prywatnych.

Szczególnie narażone są osoby starsze, które dopiero uczą się korzystać z kodów QR. Ich mniejsze doświadczenie z technologiami mobilnymi czyni je łatwiejszymi ofiarami przestępców.

Problem dotyczy też firm, które muszą inwestować w dodatkowe zabezpieczenia i edukację klientów. Koszt walki z oszustwami przerzucany jest ostatecznie na wszystkich użytkowników w formie wyższych opłat za usługi.

Czy państwo robi wystarczająco dużo?

Ministerstwo Cyfryzacji oraz CERT Polska regularnie ostrzegają przed zagrożeniami związanymi z kodami QR. Na stronie gov.pl znajdziesz szczegółowe informacje o quishingu i sposobach ochrony.

Jednak edukacja społeczeństwa to proces długotrwały. W międzyczasie oszuści doskonalą swoje metody, a liczba ofiar rośnie. Potrzebne są systemowe rozwiązania – od lepszych zabezpieczeń w aplikacjach po surowsze kary dla cyberprzestępców.

Niektóre kraje wprowadzają obowiązkowe oznaczenia bezpiecznych kodów QR czy certyfikację aplikacji do ich skanowania. Polska może pójść tą samą drogą, jeżeli problem będzie się nasilać.

Przyszłość kodów QR – wygoda kontra bezpieczeństwo

Kody QR nie znikną – są zbyt wygodne i praktyczne. Ale ich użytkowanie musi stać się bardziej świadome. To oznacza konieczność ciągłej edukacji użytkowników i rozwijania technologii zabezpieczeń.

Producenci telefonów już pracują nad lepszymi metodami weryfikacji kodów QR. Systemy operacyjne uczą się rozpoznawać podejrzane wzorce i ostrzegać przed potencjalnymi zagrożeniami.

Kluczowe jest jednak to, by każdy użytkownik rozumiał podstawową zasadę: kod QR to link, a każdy link może prowadzić w niebezpieczne miejsce. Chwila zastanowienia przed skanowaniem może uchronić przed poważnymi problemami finansowymi i prawnymi.