QR kódy: pohodlí, kterému se vyplatí nedůvěřovat

QR kód je jen obrázek, který v sobě nese text – nejčastěji webovou adresu. Sám o sobě není nebezpečný o nic víc než napsaný odkaz. Problém je stejný jako u odkazů v e-mailu: pouhým pohledem nepoznáte, kam vede. A přesně na to podvodníci sázejí.

Vznikl pro tohle i výstižný termín – „quishing“ (phishing přes QR kódy). Funguje, protože u kódu vypnete obezřetnost, kterou u psaného odkazu ještě máte.

Kde číhá nebezpečí

• Přelepené kódy na veřejných místech. Parkovací automaty, dobíjecí stanice, plakáty. Podvodník přelepí originál nálepkou s vlastním kódem, který vede na falešnou platební bránu.
• QR kódy v e-mailech. „Naskenujte pro ověření účtu.“ Obrázek projde spamovým filtrem snáz než odkaz a v mobilu se hůř kontroluje.
• Falešné „pokuty“ a „doplatky“. Lísteček za stěračem s QR kódem na zaplacení pokuty. Úřady takhle nevybírají.
• Kódy na výhru nebo slevu. Klasická návnada na zvědavost.

Zlaté pravidlo: nejdřív se podívejte, kam vede

Většina moderních telefonů po naskenování nejdřív zobrazí adresu a čeká, až ji potvrdíte. Té chvíle využijte:

• Sedí doména? Platba za parkování má vést na známého provozovatele nebo banku, ne na parking-pay.xyz.
• Není adresa zkomolená? spravce-dane.cz není mfcr.cz. Drobná záměna písmen je klasika.
• Nevede to ke stažení aplikace nebo souboru? U kódu z plakátu to nečekáte – pozor.

Když se náhled nezobrazuje, přepněte v nastavení fotoaparátu/čtečky volbu „otevřít odkaz automaticky“ na dotaz. O ten okamžik na rozmyšlenou nechcete přijít.

⚠️ Nikdy nezadávejte platební údaje ani hesla na stránce, na kterou vás dostal QR kód z veřejného místa nebo z e-mailu. Otevřete si aplikaci banky nebo web služby ručně a proveďte to tam.

Praktické návyky

doporučujeme

IT konzultace

Návrh rozvoje IT, nezávislý audit, rozpočet a doporučení na míru. Poradíme, do čeho investovat a čemu se vyhnout — první konzultace je zdarma.

Zjistit více →

• Platby raději v oficiální aplikaci. Za parkování přes appku provozovatele, ne přes QR na automatu, u kterého nevidíte, kdo ho tam nalepil.
• U kódu na veřejném místě mrkněte, jestli není přelepený. Odchlíplý roh nálepky je varovný signál.
• Nespěchejte. „Naskenujte hned, jinak…“ je stejný nátlak jako u phishingového e-mailu.
• Firemní QR kódy (na letáku, vizitce) klidně používejte – jen si po naskenování ověřte, že adresa odpovídá firmě.

A co platební QR kódy v bankovnictví?

Ty jsou v pořádku a bezpečné – vznikají na vaší straně v aplikaci banky a jen předávají údaje o platbě (číslo účtu, částku). Riziko je opačné: než platbu potvrdíte, zkontrolujte číslo účtu a částku na displeji. Podvodné je vždycky to, co vás pošle na cizí stránku zadat údaje, ne QR vygenerovaný přímo ve vaší bance.

Co si odnést

• QR kód je jen skrytý odkaz – platí pro něj stejná opatrnost jako u odkazů v e-mailu.
• Vždy si nechte zobrazit adresu a zkontrolujte doménu, než ji otevřete.
• Na veřejném místě hlídejte přelepené kódy; platby dělejte v oficiální aplikaci.
• Platební QR z vaší banky je bezpečný – jen ověřte účet a částku před potvrzením.

Narazili jste na podezřelý QR kód, nebo si nejste jistí konkrétní platbou? Podělte se v sekci IT bezpečnost → Bezpečnost, mrkneme na to.