Quishing: podvodné QR kódy, ktoré vás pripravia o peniaze

Zaparkujete v meste, na automate je QR kód na rýchlu platbu, naskenujete ho smartfónom, otvorí sa platobná stránka a zadáte kartu. O pár minút vám z účtu zmizne oveľa viac, než stálo parkovanie. Vitajte vo svete quishingu, podvodu, ktorý v posledných rokoch prudko rastie a je záludný práve preto, že QR kódu bezmyšlienkovito dôverujeme.

Čo je quishing

Quishing je spojenie slov QR a phishing. Je to phishing schovaný do QR kódu. Podvodník do kódu ukryje odkaz na falošnú stránku, ktorá vyzerá ako platobná brána, prihlásenie do banky alebo overovací formulár. Vy odkaz očami neprečítate, vidíte len štvorček plný bodiek, takže netušíte, kam vlastne mieri.

Prečo QR kód uspáva pozornosť

Pri podozrivom e-maile si dnes už mnohí adresu odkazu prezrú. Pri QR kóde to nejde:

• Nevidno, kam vedie. Adresa je skrytá v obrázku.
• Máme ho spojený s dôverou. QR kódy poznáme z reštaurácií, faktúr aj úradov.
• Je to rýchle. Naskenujeme a konáme, bez zastavenia a rozmýšľania.

Presne na túto pohodlnosť podvodníci stavajú.

Kde sa najčastejšie objavuje

• Prelepené nálepky na parkovacích automatoch a nabíjačkách. Cez pravý QR kód nalepia vlastný. Toto je dnes najčastejší prípad.
• Faktúry a e-maily. Falošný QR s platbou na účet podvodníka, viac v článku o podvodných faktúrach.
• Správy o doručení balíka s výzvou doplatiť clo alebo poštovné.
• Plagáty a letáky s lákavou ponukou alebo súťažou.
• Falošné výzvy na overenie alebo vrátenie preplatku, podobne ako pri podvodných správach.

Ako podvod prebehne

1. Podvodník umiestni QR kód na miesto, kde ho očakávate.
2. Naskenujete ho a otvorí sa presvedčivo vyzerajúca, no falošná stránka.
3. Stránka si vypýta údaje karty, prihlásenie do banky alebo osobné dáta.
4. Vy ich v dobrej viere zadáte a odošlete rovno útočníkovi.

Ako sa nenachytať

• Po naskenovaní vždy skontrolujte adresu, ktorá sa zobrazí, skôr než čokoľvek zadáte. Nesedí názov stránky? Nezadávajte nič.
• Nálepka nalepená cez niečo iné je varovný signál. Na automate skúste palcom, či pod QR kódom nie je ďalší.
• Neplaťte cez QR z neznámeho zdroja. Radšej otvorte aplikáciu banky alebo oficiálnu stránku, ktorú si nájdete sami.
• Nikdy nezadávajte kartu ani heslo na stránke, na ktorú vás hodil QR kód z verejného priestoru.
• Ak si nie ste istí, overte podozrivý odkaz alebo sa opýtajte.

Dobrá správa je, že samotné naskenovanie zvyčajne neuškodí. Nebezpečné je až zadanie údajov. Ak ste teda len naskenovali a nič nevyplnili, zavrite stránku a ste v pohode.

Firmy: pozor na QR na faktúrach

Vo firmách je obľúbeným trikom podstrčiť falošný QR kód s platbou na účet podvodníka. Zamestnanec naskenuje, zaplatí a peniaze sú preč. Číslo účtu preto overujte aj iným kanálom, plaťte cez firemný bankový systém a zamestnancov o tomto triku poučte. Ak vytvárate vlastné QR platby, ukazujeme to v článku QR platba na faktúre a ako vytvoriť QR kód bezpečne.

Ak chcete mať firmu proti takýmto podvodom lepšie pripravenú, ozvite sa nám, nastavíme pravidlá aj školenie.

Tento článok je súčasťou prehľadu Kybernetická bezpečnosť.