Czy kody QR są bezpieczne? Oszustwa z kodami QR i jak ich unikać

Jak działają oszustwa z kodami QR

Sztuczka jest zawsze ta sama: oficjalnie wyglądający kod QR prowadzi Cię tam, gdzie się nie spodziewałeś. Typowe warianty:

• Naklejki na prawdziwych kodach na parkometrach, ładowarkach, rowerach i hulajnogach miejskich, stolikach w restauracjach albo plakatach, które prowadzą na fałszywą stronę płatności.
• E-maile i listy z kodem QR („Twoja paczka czeka”, „Potwierdź swoje konto bankowe”, „Twoje hasło wygasa dziś”), które otwierają fałszywą stronę logowania.
• Fałszywe mandaty za parkowanie albo faktury za wycieraczką albo w skrzynce, z kodem do zapłaty.
• Kody, które robią więcej niż otwarcie strony: rozpoczynają połączenie albo SMS na drogi numer, łączą z nieznanym Wi-Fi albo instalują aplikację.

Zanim otworzysz zeskanowany link

Telefon pokazuje adres, zanim go otworzy. Poświęć dwie sekundy na jego przeczytanie.

• Czy adres pasuje do tego, kto rzekomo za nim stoi? Bank, firma parkingowa albo sklep powinny używać własnej, znanej domeny, a nie dziwnej nazwy, przypadkowych liter albo literówki w stylu paypa1.
• Czy to skrócony link (bit.ly i podobne) przy czymś, co wymaga płatności? Bądź szczególnie ostrożny, bo nie widzisz prawdziwego celu.
• Czy kod to naklejka na innym kodzie? Przyjrzyj się dokładnie, zwłaszcza przy wszystkim, czym płacisz.
• Czy przyszedł niespodziewanie e-mailem, listem albo SMS-em? Nie skanuj go. Zamiast tego sam wejdź na stronę albo do aplikacji firmy.

Sygnały ostrzegawcze po otwarciu

• Strona prosi o hasło, PIN, numer karty albo logowanie do banku, choć chciałeś tylko przeczytać menu albo zapłacić za parking.
• Pogania: „Zapłać w ciągu 24 godzin”, „Twoje konto zostanie zablokowane”.
• Prosi o zainstalowanie aplikacji albo „aktualizacji zabezpieczeń”.
• Otwiera SMS albo połączenie na numer, którego nie znasz.

Przy płatnościach w miejscach publicznych najbezpieczniej jest użyć oficjalnej aplikacji operatora albo samego automatu, a nie kodu, którego nie możesz sprawdzić.

Jeśli już podałeś swoje dane

1. Dane karty albo konta: od razu zadzwoń do banku i zastrzeż kartę. Sprawdź ostatnie płatności.
2. Hasło: zmień je na prawdziwej stronie i wszędzie tam, gdzie używasz tego samego hasła. Włącz uwierzytelnianie dwuskładnikowe.
3. Zainstalowana aplikacja: odinstaluj ją i uruchom sprawdzanie bezpieczeństwa telefonu.
4. Zgłoś incydent firmie, pod którą ktoś się podszywał. W Polsce zgłoś incydent do CERT Polska na stronie incydent.cert.pl, a jeśli padłeś ofiarą oszustwa, powiadom również Policję. W Estonii skontaktuj się z CERT-EE. Daj też znać właścicielowi miejsca, w którym znalazłeś fałszywą naklejkę.

Dla firm: twórz kody QR, którym ludzie ufają

W miarę jak te oszustwa stają się znane, ostrożni klienci wahają się przed skanowaniem. Te nawyki sprawiają, że Twoje kody wyglądają wiarygodnie i takie pozostają:

• Ustawiaj kody tak, by prowadziły do Twojej domeny (twojsklep.pl/menu), żeby adres, który widzą ludzie, był wyraźnie Twój.
• Drukuj też adres strony obok kodu, żeby ludzie mogli porównać. Opcja opisu w generatorze dodaje tekst pod kodem.
• Używaj kodów statycznych. Kody z usług dynamicznych kodów QR przechodzą przez cudzy serwer, który później może pokazać inną treść. Zobacz statyczne i dynamiczne kody QR.
• Dodaj swoje logo na środku kodu (ustawienia generatora → Logo na środku), aby łatwiej było zauważyć, że ktoś nakleił na nim obcą naklejkę.
• Utrudnij podmianę: umieść kody za szybą albo je zalaminuj, albo drukuj je jako część tabliczki zamiast osobnej naklejki.
• Regularnie sprawdzaj kody w miejscach publicznych, zwłaszcza wszystko, co dotyczy płatności, i od czasu do czasu zeskanuj je sam.
• Nigdy nie proś o hasła ani dane karty na stronie, którą otwiera kod, chyba że klient wyraźnie spodziewa się tam zapłacić.

Więcej: jak zeskanować kod QR na iPhonie i Androidzie.

Chcesz zobaczyć, dokąd prowadzi kod, bez otwierania go? Wklej zrzut ekranu do czytnika kodów QR.