Znáte Quishing? Světem se šíří nový druh podvodu, zneužívá QR kódy

Co je to quishing

Typ podvodu, který zneužívá QR kódy k oklamání uživatelů a krádeži jejich citlivých údajů. Funguje to tak, že podvodníci umístí falešný QR kód vedle legitimního, například na pouličním plakátu, v restauraci nebo na produktu. Mnoho lidí nevnímá skenování QR kódů jako rizikové, a proto se bezmyšlenkovitě řídí pokyny na nich uvedenými. To otevírá dveře podvodníkům, kteří se zaměřují na oblasti, kde se QR kódy běžně používají k platbám.

Jak funguje quishing

Podvodník nejprve zanalyzuje web, na který legitimní QR kód odkazuje. Poté vytvoří jeho věrnou kopii a nahradí originální QR kód falešným, který odkazuje na podvodnou, ale důvěryhodně vypadající, kopii pravé webové stránky.

Útoky na parkovací automaty a nabíjecí stanice

V poslední době se objevila nová hrozba pro uživatele parkovacích automatů a nabíjecích stanic, které využívají QR kódy pro platby. Podvodníci umisťují na tyto automaty falešné QR kódy, které uživatele nasměrují na podvodné stránky a kradou jejich platební údaje.

Oběť, která chce zaplatit za parkování nebo nabití tak naskenuje falešný kód a je přesměrována na podvodnou webovou stránku nebo do falešné aplikace. Na této stránce nebo v aplikaci pak zadá své platební údaje v domnění, že platí za legitimní službu. Ve skutečnosti ale tyto údaje odesílá podvodníkům.

E-mailové útoky s QR kódem

Jednou z novinek v arzenálu podvodníků jsou také e-mailové útoky  přes QR kód. Podvodník vám zašle e-mail s QR kódem a naléhavou zprávou, která vás přesvědčí, abyste ho naskenovali. Může se jednat o předstírání důležité aplikace jako je bankovnictví, kdy podvodník uvede, že QR kód slouží ke stažení takto důležité aplikace, aktualizace softwaru nebo dokumentu.

Častým trikem je také napodobování orgánů činných v trestním řízení. Podvodník se vydává za policii nebo jinou úřední instituci a tvrdí, že QR kód slouží k platbě pokuty nebo poplatku. Po naskenování QR kódu je oběť opět přesměrována na falešnou webovou stránku nebo do falešné aplikace. Tato stránka či aplikace se tváří jako originální a důvěryhodná, ale ve skutečnosti je podvodná. Oběť je pak vyzvána k zadání citlivých údajů, jako jsou informace o kreditní kartě nebo osobní údaje. Podvodník se může následně zmocnit platebních údajů a provést neoprávněné nákupy a zneužít jméno, adresu a další osobní údaje oběti k dalším podvodům.

Generátory falešných QR kódů - podvod můžete šířit nevědomky

Podvodník vytvoří online generátor QR kódů, který umožňuje uživatelům vytvářet vlastní QR kódy. Tyto kódy ale nejsou legitimní, vedou totiž na podvodné webové stránky nebo aplikace. Podvodník se zaměří na osoby, které používají QR kódy k přijímání plateb (např. prodejci na trzích či řemeslníci). Následně se vplíží do jejich účtu a generátorem QR kódů vytvoří falešný QR kód, který vypadá jako originální. Oběť naskenuje falešný kód a peníze místo na účet prodejce putují podvodníkovi.

Naskenoval(a) jsem falešný QR kód, co se stane?

Po naskenování falešného QR kódu je uživatel většinou přesměrován na klon webu, který se tváří jako legitimní web nějaké velké a důvěryhodné instituce či společnosti. Zpravidla to mohou být státní orgány, pojišťovny či banky. Na tomto falešném webu je pak vyzván k zadání osobních údajů, většinou včetně platebních informací. Po naskenování QR kódu si tak pečlivě ověřte ve svém mobilním internetovém prohlížeči, zda URL adresa webu (v horním adresním řádku) skutečně odpovídá oficiální adrese dané instituce nebo obchodníka, to je základní bezpečnostní pravidlo, máme pro vás ale také další tipy, jak se nestát obětí quishingu.

Jak se před quishingem chránit

• Nevěřte slepě QR kódům. Pokud si nejste jisti, kam QR kód vede nebo je umístěný na pochybném místě, raději ho neskenujte.
• Zkontrolujte URL adresu: Před kliknutím na odkaz z QR kódu si v mobilním prohlížeči zkontrolujte URL adresu (v adresním řádku) daného webu. Pokud nevíte, jak pravá adresa dané instituce vypadá, najděte si ji například přes Google nebo Seznam vyhledavač.
• Podívejte se, zda je na daném webu k dispozici telefonní číslo. Byť se podvodné weby často tváří jako pravé, vychytrale z kopie podvodného webu vymažou telefonní číslo. Nepřítomnost kontaktu na obchodníka nebo instituci může být další známkou podvodu. Pokud si nejste jisti pravostí webu, na který vás QR kód odkázal, raději si například na Google nebo Seznamu vyhledejte pravé stránky, najděte telefonní číslo a zavolejte obchodníkovi, zda daný QR kód patří skutečně jemu. Není to žádná ostuda a jde rozhodně o lepší variantu, než naletět podvodníkům.
• Při platbách buďte ostražití. Zvažte, zda je vhodné zadávat platební údaje na stránce, kterou jste navštívili přes QR kód, zda se QR kód nenachází na pochybném místě, či na daném místě třeba není více QR kódů. Pokud se QR kód nachází třeba na platebním automatu, mělo by na něm být i dostupné číslo na provozovatele, kterému raději zavolejte a ověřte si, zda lze skutečně prostřednictvím QR kódu zaplatit.