Podvody s QR kódy: co říká výzkum

Ve zkratce

• Tiskněte kódy, které otevírají adresu, kterou zákazníci poznají, nejlépe váš vlastní web.
• Tiskněte kódy přímo na povrch, ne na nálepky, a u veřejných kódů kontrolujte, jestli na nich není něco nalepené.
• Než naskenovaný kód otevřete, přečtěte si adresu, kterou ukazuje fotoaparát.

E-maily s QR kódem napálily lidi stejně často jako odkazy

Phishing jsou falešné zprávy, které lidi posílají na falešný web. Phishing přes QR kódy, neboli quishing, dělá totéž s QR kódem místo odkazu.

V roce 2025 tým z Lichtenštejnské univerzity pod vedením Marie Weinz testoval phishing ve skutečných organizacích, od malých firem po nadnárodní společnost. Rozeslal přes 71 000 testovacích e-mailů. Některé obsahovaly běžný odkaz, jiné QR kód.

E-maily s QR kódem dovedly lidi na falešnou stránku zhruba stejně často jako e-maily s odkazem. Autoři upozorňují, že e-maily s QR kódem také hůř zachytí e-mailové filtry, protože adresa je schovaná v obrázku. Studie byla představena na bezpečnostní konferenci AsiaCCS 2025.

Dvě starší studie ukazují stejným směrem. V roce 2022 nechali Sharevski a kolegové 173 lidí naskenovat falešný QR kód pro covidový certifikát. 67 % bylo ochotných se přihlásit účtem Google nebo Facebook a nejčastěji uváděným důvodem bylo pohodlí. V roce 2024 vyvěsili Geisler, Pöhn a Hommel falešné plakáty s anketou v německém výzkumném kampusu. Profesionálnější plakát, který navíc nabízel výhru, lidé naskenovali skoro třikrát častěji než obyčejný.

Pokud QR kódy tisknete

Lidé si mohou ověřit adresu, kterou poznají. Váš vlastní web se pozná nejsnáz.

• Kde můžete, ukazujte vlastní adresu. Statický kód otevírá přímo vaši webovou adresu. S QR Lasts Pro mohou i dynamické kódy používat vaši vlastní doménu.
• Tiskněte přímo na povrch. Kód vytištěný na ceduli se zakrývá hůř než nálepka.
• Kontrolujte kódy na veřejných místech. Na stolech, plakátech a dveřích se občas podívejte, jestli přes váš kód někdo nenalepil nálepku.
• Napište, kam kód vede. Řádek pod kódem, třeba „Otevře vasobchod.com/menu“, umožní lidem adresu ověřit, než ji otevřou.

Jak ověřit kód, než ho otevřete

1. Nejdřív si přečtěte adresu. Většina aplikací fotoaparátu ji ukáže dřív, než ji otevře.
2. Najděte název webu. Čtěte adresu po první samostatné /, pak se podívejte na poslední dvě části. V adrese parking-city.example.com.pay-now.ru/pay je webem pay-now.ru. U adres končících na .co.uk a podobně se podívejte na poslední tři části.
3. Buďte opatrní u kódů, které chtějí přihlášení nebo platbu. Parkovací služby, banky a přepravci vás obvykle nechají zaplatit ve vlastní aplikaci nebo na vlastním webu, které si můžete otevřít sami.
4. Prstem nahmatejte případné nálepky na parkovacích automatech a plakátech, než budete skenovat.
5. Neskenujte kódy z e-mailů, které jste nečekali. Jděte místo toho přímo na stránky služby.

Jak pomáhá QR Lasts

Statické kódy otevírají vaši vlastní adresu a nic mezi tím není. Každý kód vytvořený zde, zdarma i placený, přesměrovává dál. Kód zastavíme jen kvůli zneužití, třeba když Google Web Risk označí cíl jako phishing nebo malware.

Zdroje

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Pokud jsme nějakou studii špatně pochopili, dejte nám vědět a opravíme to.