To nie paczka, to pułapka. Liczba takich ataków wzrosła o 900 proc.
Mandaty, paczki i promocje – kody QR stają się nowym narzędziem w rękach cyberprzestępców. Coraz częściej oszuści wykorzystują je nie tylko w internecie, ale też w codziennym życiu, wprowadzając w błąd niczego niepodejrzewających użytkowników.
Z tego artykułu dowiesz się:
- Jak działają oszustwa oparte na kodach QR.
- W jakich sytuacjach można natknąć się na fałszywe kody.
- Jak bezpiecznie weryfikować zawartość kodów QR.
Mandaty, paczki i promocje. Kody QR – nowa broń cyberprzestępców
Cyberprzestępcy do kradzieży danych osobowych wykorzystują już nie tylko fałszywe linki, lecz także kody QR. Działają zarówno w sieci, jak i w świecie offline. Podrabiają piktogramy i umieszczają je w wiadomościach e-mail, SMS-ach, załącznikach PDF, a także na parkomatach czy tabliczkach przy szlakach turystycznych. Tego typu oszustwa mają nawet własną nazwę – quishing. Nic dziwnego, bo z danych Check Point Software wynika, że w latach 2021–2024 ataki phishingowe wykorzystujące kody QR wzrosły aż o 900%.
Cyberprzestępcy są wyjątkowo przebiegli, ponieważ przed tego rodzaju oszustwami trudno się bronić. Aż 83% Polaków deklaruje, że nie otwiera podejrzanych linków ani załączników, przy czym częściej robią to kobiety (85%) niż mężczyźni (80%) – wynika z badania dla serwisu ChronPESEL.pl i Krajowego Rejestru Długów. Niestety, kody QR często omijają filtry antyspamowe, ponieważ systemy pocztowe traktują je wyłącznie jako grafikę. Nie da się ich więc automatycznie odczytać ani przeanalizować, jak tradycyjnych linków do stron internetowych. W efekcie zagrożenie kradzieży danych osobowych jest bardzo poważne.
Cyberprzestępcy wykorzystują też fałszywe kody QR w treści SMS-ów, budując wrażenie wiarygodności. Podszywają się pod firmy kurierskie, platformy sprzedażowe lub instytucje państwowe, pod pretekstem odbioru paczki, nagrody lub zapłaty mandatu. Polacy najczęściej doświadczają wyłudzeń danych osobowych lub prób ich wyłudzenia poprzez e-mail (47%) lub SMS (40%).
Allegro czy OLX dobrym polem dla oszustów
Metoda działania oszustów jest zaskakująco prosta, a paradoksalnie właśnie dlatego skuteczna. Zamiast tradycyjnego linku tekstowego, podszywają się pod znane marki i instytucje, umieszczając kod QR prowadzący do fałszywej strony logowania lub formularza płatności. W ostatnich miesiącach szczególnie często wykorzystują popularne platformy sprzedażowe, takie jak Allegro czy OLX. Wystarczy krótka wiadomość o sprzedaży przedmiotu i prośba o potwierdzenie odbioru środków, aby niczego niepodejrzewający użytkownik zeskanował kod. W rzeczywistości trafia on na stronę phishingową, gdzie przestępcy próbują wyłudzić dane osobowe.
– Z pozoru niewinny kod QR może być początkiem bardzo poważnych kłopotów. Po zeskanowaniu przez nas piktogramu oszuści są w stanie przejąć dane logowania do bankowości internetowej, numer karty płatniczej czy inne wrażliwe informacje. W efekcie możemy nie tylko stracić wszystkie pieniądze z konta, ale też narazić się na ryzyko kradzieży danych osobowych, w tym PESEL-u, wraz z próbami zaciągnięcia kredytu lub pożyczki na nasze nazwisko – ostrzega Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Parkomaty również mogą być zagrożeniem
Oszustwa z użyciem kodów QR nie ograniczają się wyłącznie do Internetu – coraz częściej przenoszą się do życia codziennego. We Wrocławiu zgłoszono przypadki fałszywych naklejek na parkomatach, które wyglądały jak oficjalne metody płatności, a w rzeczywistości prowadziły do stron wyłudzających dane karty.
Przestępcy podszywają się też pod instytucje publiczne w inny sposób. Znane są przypadki, gdy kierowcy znajdowali za wycieraczkami samochodów kartki przypominające mandaty, z logotypami policji lub Krajowej Administracji Skarbowej, zawierające kod QR prowadzący do fałszywej strony płatności. Niepokojące są też tabliczki z piktogramami rozwieszane w lasach, m.in. w rejonie Wałbrzycha. Leśnicy apelują, by ich nie skanować, ponieważ mogą prowadzić do złośliwych stron lub służyć do wyłudzania danych osobowych.
Lepiej sprawdź, zanim zeskanujesz
Ataki z użyciem kodów QR są skuteczne, bo działają na prostej zasadzie: ofiara nie widzi, co skanuje. W przeciwieństwie do klasycznego linku, zawartość piktogramu ujawnia się dopiero po zeskanowaniu, co może prowadzić do impulsywnych działań, szczególnie gdy wiadomość sugeruje pilną potrzebę zapłaty, odbioru nagrody lub uniknięcia mandatu.
– Do kodów QR, podobnie jak do podejrzanych linków, trzeba mieć ograniczone zaufanie. Jeśli adres odnośnika do strony jest nietypowy, skrócony, zawiera literówki lub wygląda inaczej niż oficjalna domena znanej firmy czy instytucji państwowej, to powinien być to dla nas sygnał ostrzegawczy. Nie należy też skanować przypadkowych piktogramów umieszczonych w miejscach publicznych, na plakatach, ulotkach czy w mailach od niezweryfikowanych nadawców. Pod żadnym pozorem nie można również podawać danych logowania, PESEL-u czy numeru karty płatniczej po zeskanowaniu kodu QR z nieznanego źródła – przestrzega Bartłomiej Drozd.
Dla dodatkowego bezpieczeństwa warto sprawdzić, dokąd prowadzi kod. Można najpierw zrobić zdjęcie lub zrzut ekranu, a następnie sprawdzić zawartość QR za pomocą darmowych serwisów online, takich jak Online Barcode Reader czy QRStuff Decoder. Narzędzia te pozwalają zobaczyć pełny adres URL, zanim zdecydujemy się otworzyć link.
Warto też unikać standardowych skanerów kodów QR w aparatach smartfonów. Lepszym wyborem są aplikacje mobilne, np. Trend Micro QR Scanner czy Avira QR Scanner, które umożliwiają sprawdzenie pełnego adresu URL przed jego otwarciem.
Źródło: Radio ZET/ChronPESEL.pl
Byłeś świadkiem czegoś niespodziewanego? Masz temat, którym powinniśmy się zająć?
Zgłoś sprawę przez Czerwony telefon Radia ZET
