Oszustwa z kodami QR: co mówią badania

W skrócie

• Drukuj kody, które otwierają adres znany Twoim klientom, najlepiej Twoją własną stronę.
• Drukuj kody bezpośrednio na powierzchni, nie na naklejkach, i sprawdzaj, czy na kodach w miejscach publicznych nie ma naklejek.
• Zanim otworzysz zeskanowany kod, przeczytaj adres, który pokazuje aparat.

E-maile z kodem QR oszukiwały ludzi równie często jak linki

Phishing to fałszywe wiadomości, które kierują ludzi na fałszywą stronę. Phishing przez kody QR, czyli quishing, robi to samo za pomocą kodu QR zamiast linku.

W 2025 roku zespół z Uniwersytetu w Liechtensteinie pod kierunkiem Marie Weinz testował phishing w prawdziwych organizacjach, od małych firm po korporację międzynarodową. Wysłano ponad 71 000 testowych e-maili. Niektóre zawierały zwykły link, inne kod QR.

E-maile z kodem QR doprowadzały ludzi na fałszywą stronę mniej więcej tak samo często jak e-maile z linkiem. Autorzy zauważają, że e-maile z kodem QR trudniej też wychwycić filtrom poczty, bo adres jest ukryty w obrazku. Pracę przedstawiono na konferencji o bezpieczeństwie AsiaCCS 2025.

Dwa wcześniejsze badania wskazują w tę samą stronę. W 2022 roku Sharevski i współpracownicy poprosili 173 osoby o zeskanowanie fałszywego kodu QR do certyfikatu COVID-19. 67% było gotowych zarejestrować się kontem Google lub Facebook, a najczęściej podawanym powodem była wygoda. W 2024 roku Geisler, Pöhn i Hommel rozwiesili fałszywe plakaty ankiety w niemieckim kampusie badawczym. Bardziej profesjonalny plakat, który oferował też nagrodę, skanowano prawie trzy razy częściej niż zwykły.

Jeśli drukujesz kody QR

Ludzie mogą sprawdzić adres, który znają. Twoja własna strona jest najłatwiejsza do rozpoznania.

• Pokazuj własny adres, gdzie się da. Kod statyczny otwiera bezpośrednio Twój adres strony. Z QR Lasts Pro także kody dynamiczne mogą używać Twojej własnej domeny.
• Drukuj na powierzchni. Kod wydrukowany na tablicy trudniej zakryć niż naklejkę.
• Sprawdzaj kody w miejscach publicznych. Na stolikach, plakatach i drzwiach co jakiś czas zobacz, czy na Twoim kodzie nie ma naklejki.
• Napisz, dokąd prowadzi kod. Linijka pod kodem, na przykład „Otwiera twojsklep.com/menu”, pozwala ludziom sprawdzić adres przed otwarciem.

Jak sprawdzić kod przed otwarciem

1. Najpierw przeczytaj adres. Większość aplikacji aparatu pokazuje go przed otwarciem.
2. Znajdź nazwę serwisu. Przeczytaj adres do pierwszego pojedynczego znaku /, a potem spójrz na dwie ostatnie części. W parking-city.example.com.pay-now.ru/pay serwisem jest pay-now.ru. W adresach kończących się na .co.uk i podobnych spójrz na trzy ostatnie części.
3. Uważaj na kody, które proszą o zalogowanie się lub płatność. Parkingi, banki i firmy kurierskie zwykle pozwalają zapłacić we własnej aplikacji lub na własnej stronie, które możesz otworzyć samodzielnie.
4. Sprawdź palcem, czy nie ma naklejki na parkomatach i plakatach, zanim zeskanujesz.
5. Nie skanuj kodów z e-maili, których się nie spodziewasz. Zamiast tego wejdź bezpośrednio na stronę usługi.

Jak pomaga QR Lasts

Kody statyczne otwierają Twój własny adres, bez niczego pośrodku. Każdy kod utworzony tutaj, darmowy czy płatny, nadal przekierowuje. Jedynym powodem, dla którego zatrzymujemy kod, jest nadużycie, na przykład adres, który Google Web Risk oznacza jako phishing lub złośliwe oprogramowanie.

Źródła

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Jeśli źle odczytaliśmy jakieś badanie, daj nam znać, a poprawimy to.