Oszustwo na kod QR: jak rozpoznać fałszywy kod przed skanem

Oszustwo na kod QR polega na tym, że kod przenosi cię na fałszywą stronę, która chce od ciebie płatności, hasła albo instalacji aplikacji. Zanim zaufasz jakiemukolwiek kodowi, sprawdź adres, który telefon pokazuje przed otwarciem strony, i nigdy nie wpisuj danych karty ani haseł na stronie, na którą trafiłeś z kodu, którego się nie spodziewałeś.

Kody QR są dziś wszędzie: na parkomatach, stolikach w restauracjach, awizo, plakatach i drzwiach wejściowych. Właśnie dlatego oszuści tak je lubią. Z tego poradnika dowiesz się, jak zwykle działają te sztuczki, jak w kilka sekund sprawdzić kod, co zrobić, jeśli już zeskanowałeś podejrzany kod, i jak chronić kod, który sam gdzieś wieszasz.

Jak działa oszustwo na kod QR

Kod QR to po prostu link wydrukowany jako wzór z kwadracików. Nie da się go odczytać wzrokiem, więc nie wiesz, dokąd prowadzi, dopóki telefon go nie odczyta. Oszuści wykorzystują tę martwą strefę. Takie praktyki nazywa się często „quishingiem”, od połączenia słów QR i phishing.

Sam kod jest niegroźny. Niebezpieczna jest strona, którą otwiera. Zwykle próbuje wyciągnąć od ciebie jedną z trzech rzeczy:

• Pieniądze: fałszywa strona płatności za parking, przejazd autostradą, dopłatę do przesyłki albo mandat.
• Dane logowania: kopia strony logowania twojego banku, poczty e-mail albo firmy kurierskiej, która zapisuje wszystko, co wpiszesz.
• Instalację: prośba o pobranie aplikacji lub pliku spoza oficjalnego sklepu z aplikacjami.

Wydrukowanie kodu nie kosztuje prawie nic, a naklejkę można przykleić na prawdziwy kod w kilka sekund. Dlatego najczęstsze sztuczki zdarzają się w miejscach publicznych, gdzie nikt nie sprawdza, kto przykleił naklejkę.

Najczęstsze oszustwa z kodami QR

Szczegóły się zmieniają, ale większość przypadków wygląda podobnie:

• Naklejka na prawdziwym kodzie. Fałszywy kod jest przyklejony na oryginał na parkomacie, ładowarce do samochodów elektrycznych, stacji rowerów miejskich albo stoliku w restauracji.
• Fałszywe wezwania za parking lub mandaty. Kartka za wycieraczką informuje, że masz zaległą opłatę i musisz ją zapłacić od razu, skanując kod.
• Awizo i powiadomienia o przesyłkach. Kartka w skrzynce lub list informuje, że czeka na ciebie paczka, i prosi o niewielką dopłatę albo twoje dane.
• E-maile i SMS-y z kodem. Wiadomość zawiera kod QR zamiast linku, więc skanujesz go telefonem, z dala od zabezpieczeń komputera.
• Kody, które coś obiecują. Plakaty lub ulotki z nagrodami, rabatami albo darmowym Wi-Fi, które najpierw każą się zalogować.

Łączy je presja czasu. Prawdziwa firma parkingowa czy kurierska rzadko wymaga zapłaty w ciągu kilku minut przez kod przyklejony do słupa.

Jak sprawdzić kod QR, zanim mu zaufasz

Nie potrzebujesz specjalnych programów. Większość aparatów w telefonach pokazuje adres w małym okienku, zanim go otworzy, i ten podgląd to twoje najlepsze narzędzie. Jeśli nie wiesz, jak to wygląda w twoim telefonie, zajrzyj do naszego poradnika jak zeskanować kod QR na Androidzie i iPhonie.

1. Przyjrzyj się samemu kodowi. Przesuń po nim palcem. Naklejka z wypukłymi krawędziami, druga warstwa albo kod, który wygląda na nowszy niż tabliczka wokół niego, to sygnał ostrzegawczy.
2. Przeczytaj adres, zanim go dotkniesz. Sprawdź domenę: część tuż przed pierwszym pojedynczym ukośnikiem. Powinna to być firma, której się spodziewasz, poprawnie zapisana, a nie podróbka z dodatkowymi słowami albo zamienionymi literami.
3. Uważaj na skrócone linki. Skrócony adres ukrywa prawdziwy cel. Jeśli kod służy do płacenia, to powód, żeby się zatrzymać.
4. Zastanów się, czego chce strona. Menu czy rozkład jazdy powinny po prostu się otworzyć. Strona, która prosi o numer karty, hasło albo instalację aplikacji, zasługuje na drugie spojrzenie.
5. Wybierz oficjalną drogę. Jeśli kod każe ci zapłacić, otwórz aplikację tej firmy albo sam wpisz adres jej strony. Tracisz minutę, a ryzyko znika.
6. Zaufaj kontekstowi. Kod, którego się nie spodziewałeś, w wiadomości, o którą nie prosiłeś, z terminem do zapłaty, to klasyczny schemat oszustwa.

Co zrobić, jeśli zeskanowałeś fałszywy kod QR

Samo zeskanowanie kodu rzadko szkodzi. Liczy się to, co zrobiłeś potem na stronie. Działaj w zależności od tego, co się stało:

• Tylko otworzyłeś stronę. Zamknij ją. Zwykle wystarczy zamknąć tę kartę.
• Wpisałeś hasło. Od razu zmień je na prawdziwej stronie i na każdym innym koncie, na którym używasz tego samego hasła. Włącz weryfikację dwuetapową, jeśli jest dostępna.
• Podałeś dane karty albo zapłaciłeś. Zadzwoń do banku pod numer z odwrotu karty i poproś o zablokowanie karty oraz sprawdzenie transakcji.
• Coś zainstalowałeś. Odinstaluj to i sprawdź w ustawieniach telefonu, czy nie ma aplikacji, których nie rozpoznajesz.
• Kod wisiał w miejscu publicznym. Powiadom właściciela parkomatu, sklepu albo ładowarki, żeby mógł go usunąć, a jeśli straciłeś pieniądze, zgłoś to na policję.

Jak chronić kod QR na własnych drzwiach

Coraz więcej osób przykleja kod QR przy swoich drzwiach, furtce albo ladzie: do menu, płatności, Wi-Fi albo jako dzwonek. Ta sama sztuczka z naklejką może dotknąć ciebie, więc warto wyrobić sobie kilka nawyków:

1. Umieść go tam, gdzie go widzisz. Przyklej go na wysokości oczu, we framudze drzwi albo za szybą, gdzie obcy nie zakryje go niezauważenie.
2. Zerkaj na niego od czasu do czasu. Kiedy wracasz do domu, rzuć okiem na kod. Jeśli wygląda inaczej, ma drugą warstwę albo zmienił miejsce, zeskanuj go sam.
3. Chroń go przed pogodą. Wyblakły albo odklejający się kod aż prosi się o podmianę. Zabezpiecz go przezroczystą taśmą albo koszulką. Jeśli już teraz trudno go zeskanować, zajrzyj do naszych 10 sposobów na wydrukowany kod QR, który zawodzi.
4. Nie używaj go do płatności, nad którymi nie masz kontroli. Kod na drzwiach powinien zaczynać rozmowę, a nie prosić gości o pieniądze.

Dzwonek QR taki jak Qoorbell z założenia trzyma się tej ostatniej zasady. Gość skanuje kod aparatem w telefonie, otwiera się strona internetowa bez aplikacji i bez konta, a on może zadzwonić do ciebie z wideo albo napisać na czacie. Nic na tej stronie nie prosi gościa o pieniądze ani hasło. Widzi tylko nazwę twojego dzwonka, nigdy twojego numeru telefonu, adresu e-mail ani innych danych osobowych, więc kod nie naraża też ciebie.

Nazwa dzwonka to także szybki test dla gości: jeśli zeskanują kod na twoich drzwiach i zobaczą nazwę, która nie jest twoja, coś jest nie tak. A jeśli kod kiedyś się zniszczy albo ktoś go zerwie, możesz za darmo wydrukować nowy egzemplarz ze swojego konta, bo nie ma żadnego sprzętu do wymiany.

O czym warto pamiętać

Żadna lista kontrolna nie daje pełnej odporności. Dobrze zrobiona fałszywa strona może wyglądać dokładnie jak prawdziwa, więc najbezpieczniejszy nawyk jest prosty: nie płać i nie loguj się na stronie, na którą trafiłeś z kodu, którego się nie spodziewałeś.

Dzwonek QR nie powstrzyma nikogo przed przyklejeniem fałszywego kodu na twoje drzwi; pomaga jedynie to zauważyć. Qoorbell nie jest systemem alarmowym ani kamerą, która obserwuje twoje drzwi. Jeśli chcesz, żeby całe wejście było bezpieczniejsze, nasze tanie sposoby na bezpieczny dom omawiają zamki, oświetlenie i nawyki, które znaczą więcej niż jakikolwiek kod.

Na koniec: to ogólne porady dotyczące bezpieczeństwa, a nie porada prawna ani finansowa. Jeśli straciłeś pieniądze, właściwym miejscem są twój bank i policja.

Najczęściej zadawane pytania

Czy zeskanowanie kodu QR może zhakować mój telefon?

Samo skanowanie bardzo rzadko cokolwiek robi. Ryzyko pojawia się przy tym, co robisz dalej: wpisujesz hasło, płacisz albo instalujesz aplikację ze strony, która się otworzyła.

Jak poznać, że kod QR jest fałszywy?

Szukaj naklejki na innym kodzie, czytaj adres, który telefon pokazuje przed otwarciem, i uważaj na każdą stronę, która pogania cię do zapłaty albo logowania.

Czy kody QR na parkomatach są bezpieczne?

Wiele z nich jest prawdziwych, ale parkomaty to częsty cel naklejek. W razie wątpliwości zapłać przez oficjalną aplikację albo stronę strefy płatnego parkowania zamiast przez kod.

Czy ktoś może przykleić fałszywy kod na mój dzwonek QR?

Może, dlatego warto umieścić kod tam, gdzie widzisz go codziennie, i od czasu do czasu go sprawdzać. Goście, którzy zeskanują twój kod Qoorbell, widzą nazwę twojego dzwonka, więc inna nazwa to łatwy znak, że coś jest nie tak.

Skanuj bezpiecznie

Kody QR są przydatne i większość z nich jest dokładnie tym, na co wygląda. Kilka sekund na sprawdzenie naklejki, adresu i tego, o co prosi strona, wystarczy, żeby uniknąć większości oszustw. Jeśli chcesz mieć na drzwiach kod, który łączy gości tylko z tobą i nie pokazuje twojego numeru, utwórz swój darmowy dzwonek Qoorbell.