Co to jest quishing? Wyjaśniamy oszustwa z kodami QR

Kody QR są wszędzie – na stolikach w restauracjach, parkometrach, w powiadomieniach o dostawie przesyłek, a nawet w służbowych e-mailach. Większość osób skanuje je bez zastanowienia. Właśnie na tę wygodę liczą cyberprzestępcy.

Quishing to szybko rozwijający się rodzaj cyberataku, w którym kody QR są wykorzystywane do nakłonienia niczego niepodejrzewających ofiar do przekazania haseł, danych płatniczych lub danych osobowych. Przyjrzyjmy się więc bliżej temu, jak wyglądają ataki quishingowe i jak możesz się przed nimi chronić.

Quishing (phishing z kodami QR) to rodzaj ataku phishingowego, w którym cyberprzestępcy używają kodów QR, aby przekierować ofiary na fałszywe strony internetowe lub skłonić je do pobrania złośliwego oprogramowania. Można również spotkać się z nazwami takimi jak QR phishing czy po prostu oszustwa z kodami QR.

Kod QR (Quick Response) to dwuwymiarowy kod kreskowy, który można zeskanować aparatem w telefonie. Może zawierać adresy URL oraz szybkie linki do instrukcji płatności, danych kontaktowych, danych logowania do Wi-Fi i wielu innych informacji. To genialnie wygodne rozwiązanie: kierujesz telefon, skanujesz i gotowe. Jednak ta sama wygoda sprawia, że oszustwa z kodami QR są tak niebezpieczne.

W przeciwieństwie do zwykłego linku, kod QR ukrywa miejsce docelowe. Zaufanie, jakim obdarzamy kody QR, oraz brak widocznego adresu URL przed zeskanowaniem to dokładnie to, co cyberprzestępcy wykorzystują w atakach quishingowych — nie wiesz, dokąd zmierzasz, dopóki tam nie trafisz.

O co tak naprawdę chodzi atakującym? Około 90% przypadków quishingu¹ ma na celu kradzież wrażliwych informacji, takich jak dane logowania, numery kart kredytowych, dostęp do bankowości czy dane osobowe, które mogą posłużyć do kradzieży tożsamości. Niektóre ataki koncentrują się również na instalowaniu złośliwego oprogramowania w celu prowadzenia dalszych oszustw.

Zrozumienie, jak działają ataki quishingowe, pomaga je rozpoznać, zanim dojdzie do jakichkolwiek szkód. Typowy atak quishingowy przebiega według określonego schematu:

Ataki quishingowe często omijają tradycyjne filtry bezpieczeństwa poczty e-mail, ponieważ adres URL jest osadzony w obrazie, a nie w klikalnym tekście. Większość rozwiązań zabezpieczających pocztę skanuje pod kątem podejrzanych linków tekstowych i znanych złośliwych domen, ale domyślnie nie dekoduje kodów QR znajdujących się w obrazach lub załącznikach PDF.

Od czerwca do września 2024 roku firma Barracuda Networks wykryła ponad pół miliona phishingowych wiadomości e-mail zawierających kody QR ukryte w plikach PDF. Wśród marek, pod które podszywano się w tych atakach quishingowych, Microsoft stanowił 51%, a Docusign 31%².

QR phishing przybiera różne formy, ale wzorce socjotechniczne się powtarzają: presja czasu, strach i wygoda. Zobaczmy, jak atakujący wykorzystują kody QR w swoich działaniach zarówno w kanałach cyfrowych (e-maile, wiadomości tekstowe, media społecznościowe), jak i w miejscach fizycznych (parkomaty, stoliki w restauracjach, awiza doręczenia przesyłki).

Oszuści wykorzystują fałszywe kody QR do parkowania, aby wykradać informacje o płatnościach. Metoda jest prosta — przestępcy drukują naklejki z kodami QR i naklejają je na legalne kody QR w parkomatach lub na znakach w ruchliwych miejscach.

Na przykład fałszywe naklejki z kodami QR odkryto na ponad dwudziestu parkomatach w Austin w Teksasie, a podobne incydenty odnotowano w San Antonio³. W Wielkiej Brytanii jednostka CFEU (Counter Fraud and Enforcement Unit) ostrzega, że oszuści umieszczają fałszywe kody QR na znakach i parkomatach, podszywając się pod legalne platformy płatnicze, takie jak PayByPhone, aby wykradać dane bankowe i dopuszczać się kradzieży tożsamości⁴.

Należące do FBI centrum IC3 (Internet Crime Complaint Center) odnotowało również wzrost liczby oszustów wykorzystujących kody QR do kierowania ofiar do fizycznych bankomatów kryptowalutowych, aby szybko wyłudzać płatności w ramach oszustw matrymonialnych, loteryjnych i polegających na podszywaniu się pod inne osoby⁵.

Oto co radzi nasz menedżer ds. bezpieczeństwa informacji, Miguel Fornes:

Powiadomienia o doręczeniu często wykorzystują kody QR do przekierowywania na strony phishingowe. Pojawiają się w formie zawieszek na klamkę, ulotek lub e-maili informujących o „nieudanej próbie doręczenia” od znanej firmy kurierskiej. Zeskanowanie kodu QR prowadzi do fałszywego portalu żądającego niewielkiej „opłaty za ponowne doręczenie” oraz pełnych danych karty.

FBI ostrzega również, że przestępcy rozsyłają obecnie niezamawiane paczki bez danych nadawcy — odmianę oszustwa brushingowego — zawierające kody QR, które nakłaniają odbiorców do podania danych osobowych i finansowych lub nieświadomego pobrania złośliwego oprogramowania⁶.

Jeśli otrzymasz takie powiadomienie, przejdź bezpośrednio do oficjalnej aplikacji lub strony internetowej firmy kurierskiej, zamiast skanować załączony kod QR.

Wiele osób otrzymuje e-maile quishingowe w pracy — często z fałszywymi fakturami, aktualizacjami dotyczącymi wynagrodzeń lub potwierdzeniami płatności dla dostawców, które zawierają kod QR „w celu wyświetlenia bezpiecznego dokumentu”. Kody te prowadzą do sfałszowanych stron logowania Microsoft lub Google, stworzonych do wyłudzania danych uwierzytelniających. Ponieważ link jest ukryty w obrazie, wiadomości te omijają wiele filtrów bezpieczeństwa poczty e-mail.

Fałszywe kody QR mogą zastępować prawdziwe kody prowadzące do menu w restauracjach. Przestępcy naklejają dyskretne naklejki z kodami na te oryginalne na stolikach lub plakatach. Po zeskanowaniu możesz trafić na fałszywą stronę z menu.

Jeśli kod QR z menu restauracji prosi o dane osobowe, dane logowania lub dane płatnicze, natychmiast zamknij stronę.

Kody QR mogą imitować ostrzeżenia o bezpieczeństwie konta, aby wykradać dane. Te phishingowe wiadomości e-mail lub pisma informują o pilnym zawieszeniu konta lub podejrzanej aktywności, a następnie nakazują „zweryfikować konto, skanując ten kod QR”, co otwiera sfałszowaną stronę logowania.

Legalni dostawcy usług rzadko wymagają skanowania kodów QR w celu rozwiązania problemów z kontem. Wejdź bezpośrednio na oficjalną stronę internetową lub do aplikacji, wpisując znany i zaufany adres URL.

Oszustwa quishingowe mogą dotknąć każdego, kto skanuje kody QR, ale niektóre grupy są szczególnie narażone na ryzyko:

Rozpoznanie ataku quishingowego wymaga zwrócenia uwagi na wiele szczegółów związanych z kodem QR — słownictwo wywierające presję czasu, nieznanego nadawcę, nietypową domenę oraz to, co dzieje się tuż po zeskanowaniu.

Zachowaj ostrożność w przypadku kodów QR otrzymanych niespodziewanie w wiadomościach e-mail, komunikatorach lub na drukowanych ulotkach pozostawionych za wycieraczką samochodu czy w skrzynce pocztowej. Sygnałem ataku quishingowego są komunikaty nakłaniające do natychmiastowego zeskanowania kodu. Legalne organizacje rzadko wysyłają kody QR jako jedyny sposób na rozwiązanie problemu lub uzyskanie dostępu do swoich usług.

Unikaj skanowania kodów QR od nieznanych nadawców, a w razie wątpliwości skontaktuj się z rzekomym nadawcą za pośrednictwem oficjalnego kanału.

Ataki mogą wiązać się z fizyczną ingerencją, w ramach której przestępcy naklejają fałszywe naklejki z kodami QR na te legalne. Zanim zeskanujesz kod QR na jakimkolwiek publicznym znaku lub stoliku, zwróć uwagę na:

Przed zeskanowaniem sprawdź, czy kody QR nie noszą śladów manipulacji — oficjalne instytucje i lokale zazwyczaj dbają o spójną identyfikację wizualną i jasne instrukcje obok legalnych kodów QR.

Zawsze sprawdzaj podgląd adresu URL wyświetlany przez telefon po zeskanowaniu, zanim klikniesz Otwórz. Zachowaj ostrożność w przypadku kodów QR w wiadomościach, które wywołują poczucie pilności lub zawierają:

Jeśli Twoja przeglądarka lub oprogramowanie zabezpieczające wyświetli ostrzeżenie bądź cokolwiek wzbudzi Twoje wątpliwości na stronie, natychmiast ją zamknij.

Nie musisz całkowicie unikać kodów QR — po prostu traktuj każdy z nich jak nieznany link, dopóki nie upewnisz się, że jest bezpieczny. Większość ataków quishingowych można powstrzymać, łącząc ostrożne nawyki z podstawowymi narzędziami bezpieczeństwa:

Szybkie działanie ogranicza straty. Najważniejszym krokiem jest natychmiastowe zaprzestanie jakiejkolwiek interakcji z podejrzaną stroną. Dalsze kroki zależą od tego, jak daleko zaszła interakcja.

Samo wejście na stronę phishingową bez wchodzenia w interakcję jest mniej niebezpieczne, ale warto zachować czujność.

Po zeskanowaniu kodu ofiary mogą zostać nakłonione do podania danych osobowych, dlatego szybka reakcja jest kluczowa, aby nie dopuścić do eskalacji ataku quishingowego.

Ataki typu quishing, phishing, smishing (phishing SMS-owy) i vishing (phishing głosowy) mają ten sam cel: zmanipulowanie ofiary, aby przekazała dane lub pieniądze. We wszystkich tych oszustwach przestępcy często stosują spoofing — podszywając się pod zaufane marki, numery telefonów lub adresy e-mail — aby uwiarygodnić swoje wiadomości. Różnią się jednak kanałem dotarcia:

Kody QR stały się częścią codziennego życia przy płatnościach, biletach, menu czy weryfikacji tożsamości. Nie znikną — a to oznacza, że cyberprzestępcy nadal będą je wykorzystywać. Dobra wiadomość jest taka, że nie musisz całkowicie z nich rezygnować. Wystarczy domyślnie traktować każdy kod QR jak niezaufany link, zachować ostrożność, zweryfikować kontekst przed zeskanowaniem oraz korzystać z narzędzi bezpieczeństwa i dobrych nawyków opisanych w tym artykule.