Bezpieczeństwo kodów QR: jak skanować i nie dać się oszukać
Kody QR z niszowego narzędzia magazynowego stały się czymś, co skanujesz kilkanaście razy w tygodniu: menu, parkomaty, ulotki, etykiety paczek, a nawet reklamy w telewizji. Ta wygoda sprawiła, że oszuści zaczęli drukować własne kody. Kodu QR nie da się odczytać wzrokiem jak adresu strony, więc ufasz aparatowi telefonu, że zaprowadzi Cię w bezpieczne miejsce, którego nie widzisz.
Dlaczego kody QR są łatwym celem
Link w rodzaju paypaI-secure-login.com może wzbudzić podejrzenia, jeśli przeczytasz go uważnie. Kod QR ukrywa to wszystko: widzisz tylko czarno-biały kwadrat, dopóki nie skierujesz aparatu i telefon nie otworzy linku. Atakujący wykorzystują to ślepe zaufanie na kilka sposobów:
- Naklejki nakładane na oryginał: fałszywa naklejka z kodem QR przyklejona na prawdziwy, na parkomacie, stoliku w restauracji lub plakacie, przekierowująca na stronę płatności lub logowania udającą oryginał.
- E-maile „quishingowe”: wiadomości phishingowe z kodem QR zamiast klikalnego linku, w nadziei, że filtry poczty (i Twój instynkt) są nastawione na podejrzane linki tekstowe, a nie obrazy.
- Fałszywe powiadomienia: wydrukowana kartka na samochodzie lub drzwiach z prośbą o „zeskanowanie, by zapłacić opłatę” lub „umówić ponownie dostawę”.
Jak skanować bezpiecznie
- Podejrzyj adres przed otwarciem. Większość aparatów pokazuje podgląd linku; przeczytaj domenę przed kliknięciem. Jeśli nie pasuje do firmy, której się spodziewasz, lub to skrócony link bez kontekstu, nie otwieraj.
- Sprawdź fizyczne kody pod kątem manipulacji. Naklejka lekko przesunięta lub nachodząca na krawędź nadruku to sygnał ostrzegawczy. W razie wątpliwości wejdź na stronę firmy bezpośrednio.
- Nie wpisuj hasła ani danych płatniczych zaraz po zeskanowaniu, jeśli nie masz pewności co do celu.
- Bądź ostrożny z kodami QR w e-mailach i SMS-ach, zwłaszcza tych, które wywołują pośpiech („paczka wstrzymana”, „zweryfikuj konto teraz”).
- Aktualizuj system telefonu. Niektóre ataki celują w nieaktualne oprogramowanie aparatu lub przeglądarki.
Problemem nie jest kod, tylko ślepe zaufanie
Kod to tylko pojemnik na link; nie wie, czy link jest bezpieczny. Te same zasady co dla każdego nieznanego linku obowiązują tu, tylko stosowane o krok wcześniej.
Jeśli sam potrzebujesz kodu QR, wygenerowanie go w przeglądarce jest bezpieczniejsze i bardziej przejrzyste niż przypadkowy generator, który może zapisywać, co tworzysz. Nasz generator kodów QR działa w całości po stronie klienta, a czytnik kodów QR pokaże Ci surowy adres docelowy, zanim zeskanujesz kod telefonem.