QR kódy dnes najdeme všude - na jídelních lístcích, parkovacích automatech, reklamních letácích i v nevyžádaných e-mailech. Bohužel se staly i oblíbeným nástrojem kybernetických útočníků, kteří tento fenomén využívají k podvodům známým jako quishing.
Co je to quishing a jak funguje
Quishing je specifickou formou phishingového útoku, při které útočník místo klasického odkazu nebo tlačítka v e-mailu či na plakátu použije podvržený QR kód. Název vznikl spojením anglických slov QR code a phishing. Princip je jednoduchý - útočník vás přiměje k tomu, abyste pomocí svého chytrého telefonu naskenovali kód, který vás následně přesměruje na podvodnou webovou stránku. Tato stránka může vypadat jako přihlašovací portál k vaší bance, platební brána nebo formulář pro zadání osobních údajů.
Proč quishing obchází klasické filtry
Většina antivirových programů a e-mailových filtrů je nastavena na vyhledávání škodlivých odkazů přímo v textu zprávy. Pokud však útočník vloží odkaz do QR kódu ve formě obrázku, bezpečnostní software jej nemusí být schopen správně přečíst a vyhodnotit jako nebezpečný. Zatímco u klasického phishingu v e-mailu máte možnost si odkaz prohlédnout (např. najetím myši na tlačítko), u mobilního skenování QR kódu jste okamžitě přesměrováni, což z quishingu dělá nebezpečnou a efektivní metodu útoku.
Kde na vás quishing číhá
Podvodníci QR kódy zneužívají tam, kde lidé automaticky předpokládají legitimní službu. Velmi časté jsou nálepky s falešnými QR kódy přelepující ty původní na parkovacích automatech, nabíjecích stanicích pro elektromobily nebo na sdílených koloběžkách. Dalším rizikem jsou letáky s nabídkou slev, které vás mají přimět k rychlé platbě. V e-mailech se pak quishing maskuje například jako oznámení o nedoručené zásilce, kde QR kód údajně vede ke stažení přepravního štítku.
Jak si QR kód před skenováním ověřit
Nejdůležitějším pravidlem je obezřetnost při fyzickém umístění kódů. Pokud vidíte QR kód na veřejném místě, zejména pokud vypadá jako nálepka nalepená přes jiný kód, buďte velmi ostražití. Před samotným kliknutím na odkaz, který se vám po načtení kódu zobrazí v prohlížeči, si pozorně zkontrolujte adresu URL. Kyberzločinci často používají domény, které připomínají ty oficiální, ale obsahují drobné překlepy nebo nesmyslné přípony. Pokud vás stránka po načtení kódu vyzývá k zadání citlivých údajů nebo hesel, zbystřete - legitimní služby vás k takovým krokům z QR kódu obvykle přímo nevyzývají.
Co dělat, když jste na kód už klikli
Pokud jste kód naskenovali a otevřeli podezřelou stránku, okamžitě ji zavřete. Pokud jste na stránce stihli zadat heslo nebo údaje ke kartě, neprodleně kontaktujte svou banku a nechte kartu zablokovat. Změňte si hesla ke všem účtům, které by mohly být kompromitovány. Je také vhodné spustit antivirovou kontrolu v telefonu, abyste se ujistili, že do zařízení nebyl stažen škodlivý kód nebo aplikace.
Shrnutí
Quishing je nebezpečný právě svou nenápadností a schopností obejít běžné zabezpečení. Základní obranou je zdravý rozum - skenujte pouze kódy, kterým důvěřujete a které jsou na očekávatelných místech. Pokud narazíte na kód na veřejně přístupném automatu, který působí podezřele, raději zvolte klasický způsob platby kartou či hotovostí a kód vůbec neotevírejte.
Časté dotazy
Je skenování QR kódů samo o sobě nebezpečné?
Samotné naskenování kódu fotoaparátem obvykle škodu nenapáchá, nebezpečí nastává až v momentě, kdy kliknete na odkaz, který kód otevře.
Jak poznám, že je QR kód falešný?
Často to poznáte podle místa umístění, například pokud je kód přelepený přes původní, nebo pokud vypadá nekvalitně vytištěný na papírové samolepce.
Může mi quishing zavirovat telefon?
Ano, podvodná stránka po naskenování kódu může zkusit do telefonu stáhnout škodlivý soubor nebo vás přimět k instalaci infikované aplikace.
Existují aplikace pro bezpečné skenování kódů?
Některé moderní antivirové aplikace pro mobilní telefony mají vestavěnou funkci pro kontrolu QR kódů, která varuje před nebezpečnými URL adresami před jejich otevřením.
Co mám dělat, když QR kód vypadá podezřele?
Pokud máte pochybnosti, raději ho neskenujte a využijte oficiální webové stránky nebo aplikaci dané služby, kde informaci vyhledáte přímo.