QR kódy dnes potkáváme prakticky na každém rohu. Zjednodušují placení, přístup k informacím i navigaci na webové stránky. Jejich největší výhoda ale zároveň představuje bezpečnostní slabinu: na rozdíl od textového odkazu cílová adresa zůstává skrytá v obrazci a uživatel ji vidí až po naskenování, mnohdy jen zčásti.
Právě na tomto principu funguje quishing, tedy forma phishingu prostřednictvím QR kódů. Podvodný kód přesměruje uživatele na stránku napodobující banku, platební bránu, přepravní společnost nebo třeba státní úřad. Cílem bývá vylákání přihlašovacích údajů, informací z platební karty nebo přimění oběti k potvrzení platby.
Aleš Černý, vedoucí oddělení Řízení retailových rizik Air Bank, upozorňuje, že „QR kód v nás často vzbuzuje větší důvěru než běžný odkaz, přitom z bezpečnostního pohledu mezi nimi není zásadní rozdíl.“ Doporučuje vždy ověřit cílovou adresu ještě před tím, než člověk cokoliv vyplňuje nebo potvrzuje.
Klasické podvodné zprávy bývá možné odhalit podle gramatických chyb nebo podezřelé adresy odesílatele. U QR kódů tato vodítka chybí. Při naskenování je proto vhodné věnovat pozornost náhledu adresy, zkontrolovat překlepy, neobvyklé domény nebo slova, která mají napodobit důvěryhodnou instituci. Zámek HTTPS přitom bezpečnost stránky sám o sobě nezaručuje.
Zvláštní riziko představují QR kódy na veřejně přístupných místech, tedy na parkovacích automatech, informačních tabulích, nabíjecích stanicích nebo jídelních lístcích. Podvodník může původní kód jednoduše překrýt vlastní samolepkou. „U QR kódu na veřejném místě doporučuji zkontrolovat nejen adresu, ale také samotnou nálepku. Pokud kód vypadá dodatečně nalepený, je poškozený nebo překrývá jiný obrazec, raději ho nepoužívejte,“ říká Černý.
Specifické nebezpečí hrozí u platebních QR kódů na fakturách, kde bývají předvyplněny číslo účtu i částka. Pokud útočník fakturu pozmění nebo nahradí kód, peníze mohou skončit na jiném účtu. Před potvrzením každé platby je nutné v bankovní aplikaci zkontrolovat číslo příjemce, částku i variabilní symbol. Černý k tomu dodává, že „bankovní aplikace vždy ukáže, komu a kolik posíláme,“ a těch několik sekund kontroly stojí za to.
Pokud už někdo přihlašovací údaje nebo data z karty na podvodné stránce zadal, případně potvrdil podezřelou transakci v bankovní aplikaci, měl by okamžitě kontaktovat banku přes oficiální telefonní linku nebo aplikaci, kartu dočasně zablokovat a případné stejné heslo změnit i u dalších služeb. Incident doporučují odborníci nahlásit také Policii ČR.
Zdroj: autorský text / ČTK
