Podvody s QR kódmi: čo hovorí výskum

Stručne

• Tlačte kódy, ktoré otvoria adresu známu vašim zákazníkom, ideálne váš vlastný web.
• Tlačte kódy priamo na povrch, nie na nálepky, a na verejných kódoch hľadajte prilepené nálepky.
• Skôr než naskenovaný kód otvoríte, prečítajte si adresu, ktorú ukáže fotoaparát.

E-maily s QR kódom oklamali ľudí rovnako často ako odkazy

Phishing sú falošné správy, ktoré ľudí posielajú na falošný web. Phishing cez QR kód, po anglicky quishing, robí to isté, len s QR kódom namiesto odkazu.

V roku 2025 tím z Univerzity v Lichtenštajnsku pod vedením Marie Weinz testoval phishing v skutočných organizáciách, od malých firiem po nadnárodnú spoločnosť. Poslali viac ako 71 000 testovacích e-mailov. Niektoré obsahovali bežný odkaz, iné QR kód.

E-maily s QR kódom priviedli ľudí na falošnú stránku približne rovnako často ako e-maily s odkazom. Autori poznamenávajú, že e-maily s QR kódom aj ťažšie zachytia e-mailové filtre, pretože adresa je ukrytá v obrázku. Štúdia bola predstavená na bezpečnostnej konferencii AsiaCCS 2025.

Dve staršie štúdie ukazujú rovnakým smerom. V roku 2022 dali Sharevski a kolegovia 173 ľuďom naskenovať falošný QR kód na covidový preukaz. Až 67 % bolo ochotných prihlásiť sa svojím účtom Google alebo Facebook a ako dôvod najčastejšie uvádzali pohodlie. V roku 2024 Geisler, Pöhn a Hommel vyvesili falošné plagáty prieskumu v nemeckom výskumnom areáli. Profesionálnejší plagát, ktorý navyše ponúkal výhru, ľudia naskenovali takmer trikrát častejšie ako jednoduchý.

Ak tlačíte QR kódy

Ľudia si môžu overiť adresu, ktorú poznajú. Najľahšie sa spozná váš vlastný web.

• Kde sa dá, ukážte vlastnú adresu. Statický kód otvorí vašu webovú adresu priamo. S QR Lasts Pro môžu aj dynamické kódy používať vašu vlastnú doménu.
• Tlačte priamo na povrch. Kód vytlačený na tabuli sa prekrýva ťažšie ako nálepka.
• Kontrolujte kódy na verejných miestach. Na stoloch, plagátoch a dverách sa občas pozrite, či na vašom kóde nie je nálepka.
• Napíšte, kam kód vedie. Riadok pod kódom, napríklad „Otvorí yourshop.com/menu“, ľuďom umožní overiť si ho pred otvorením.

Ako overiť kód pred otvorením

1. Najprv si prečítajte adresu. Väčšina aplikácií fotoaparátu ju ukáže pred otvorením.
2. Nájdite názov webu. Prečítajte adresu po prvé samostatné /, potom sa pozrite na posledné dve časti. V adrese parking-city.example.com.pay-now.ru/pay je web pay-now.ru. Pri adresách končiacich na .co.uk a podobne sa pozrite na posledné tri časti.
3. Dávajte pozor na kódy, ktoré chcú prihlásenie alebo platbu. Parkovanie, banky a doručovacie služby vám zvyčajne dovolia zaplatiť vo vlastnej aplikácii alebo na webe, ktorý si otvoríte sami.
4. Nahmatajte nálepky na parkovacích automatoch a plagátoch, skôr než naskenujete.
5. Neskenujte kódy v e-mailoch, ktoré ste nečakali. Namiesto toho choďte priamo na stránku služby.

Ako pomáha QR Lasts

Statické kódy otvárajú vašu vlastnú adresu, bez ničoho medzi tým. Každý kód vytvorený tu, zadarmo či platený, presmerúva ďalej. Kód zastavíme iba pre zneužitie, napríklad keď Google Web Risk označí cieľ ako phishing alebo malvér.

Zdroje

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Ak sme si štúdiu vyložili zle, napíšte nám a opravíme to.