Quishing: nadużywane domeny to generatory kodów QR

To odkrycie zmienia argument przedstawiony na tym blogu z opinii w dowód. Quishing — phishing dostarczany za pomocą kodu QR — działa, ponieważ wydrukowanego kwadratu nie da się odczytać gołym okiem. Ale *skaluje się*, ponieważ legalne firmy przez dekadę uczyły odbiorców, że skanowanie nieznanej krótkiej domeny jest czymś normalnym.

Dane telemetryczne Unit 42 z lutego 2026 roku pokazują średnio ponad 11 000 wykryć złośliwych kodów QR dziennie, przy czym ruch przez skracacze QR wzrósł o 55% od pierwszej połowy 2023 do pierwszej połowy 2024 roku, a następnie o kolejne 44% do pierwszej połowy 2025 roku. FBI i FTC wydały publiczne ostrzeżenia: Internet Crime Complaint Center opublikowało PSA 220118 o przestępcach podmieniających kody w celu kradzieży pieniędzy i danych logowania, a w lipcu 2025 roku ostrzegło przed niezamówionymi przesyłkami zawierającymi kody QR. FTC ostrzegła natomiast, że oszuści zakrywają legalne kody własnymi naklejkami, wskazując w szczególności parkometry.

Dlaczego nie można sprawdzić kodu QR przed skanowaniem?

Ludzi nauczono, z pewnym powodzeniem, sprawdzać link przed kliknięciem: najechać na niego, przeczytać domenę i zwrócić uwagę na literówki. Ta metoda ochrony zależy od możliwości zobaczenia adresu URL.

Kod QR ją obchodzi. Cel jest zakodowany we wzorze, którego człowiek nie potrafi odczytać gołym okiem. Nie można na niego najechać kursorem. Kierujesz aparat na kwadrat i albo coś się otwiera, albo nie. Jedynym możliwym momentem obrony jest podgląd wyświetlany wcześniej przez niektóre skanery — a na małym ekranie i w pośpiechu jest to skrócony ciąg znaków, którego większość osób nie czyta.

Jak wyglądają główne ataki?

NCSC wyraźnie wskazuje problem z pocztą e-mail: nie wszystkie narzędzia bezpieczeństwa skanują obrazy, więc kod QR prowadzący do złośliwej witryny może przejść przez filtry, które wykryłyby ten sam link zapisany jako tekst — a użytkownicy zwykle skanują go prywatnym telefonem, pozbawionym zabezpieczeń firmowo zarządzanego urządzenia. Nasza strona o kodach QR Wi-Fi wyjaśnia ten format ładunku; wiedza o tym, jak wygląda, pozwala go sprawdzić.

Jak przekierowania zniszczyły ostatnią linię obrony?

Załóżmy, że każda legalna firma używałaby statycznych kodów zawierających własną domenę. Podgląd skanera pokazywałby restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Byłoby to rozpoznawalne. Podgląd x7q-cdn.click/8Hf2 od razu wyróżniałby się jako błędny, ponieważ różniłby się od każdego legalnego kodu zeskanowanego wcześniej przez daną osobę.

Tak jednak nie wygląda świat. Ogromne liczby legalnych kodów — z restauracji, sklepów, muzeów, instytucji transportowych, a nawet organów administracji — prowadzą przez zewnętrzne krótkie domeny, które nic nie mówią skanującej osobie. Skutek jest bezpośredni: nieznana domena w podglądzie QR nie jest już żadnym sygnałem. Ludzie zostali nauczeni, by ją pomijać, setki razy, bez żadnych konsekwencji.

Unit 42 stwierdza to wprost: „Nawet osoby świadome zagrożeń, które sprawdzają podgląd adresu URL przed skanowaniem, nie mogą ustalić ostatecznego celu, gdy widzą skrócone linki”. Branża przekierowań nie wymyśliła quishingu. Odebrała zwykłym ludziom jedyną heurystykę chroniącą ich przed tym zagrożeniem — mechanizm opisano na stronie o przejęciu przekierowania.

Trzy skutki uboczne

• Ukrywanie celu. Przekierowanie może kierować różnych odwiedzających do różnych miejsc — bezpiecznej treści do badacza, a właściwego ładunku do telefonu znajdującego się w mieście docelowym. Statyczny kod nie potrafi tego zrobić; jego ładunek jest stały i identyczny dla wszystkich.
• Opóźniona aktywacja. Kod może przez tygodnie prowadzić do nieszkodliwego miejsca, przejść kontrolę, a potem zostać przełączony. To ta sama możliwość edycji, którą branża sprzedaje jako funkcję.
• Pranie reputacji. Rozpoznawalna domena skracacza nadaje wiarygodność wszystkiemu, do czego przekierowuje.

Jak chronić się podczas skanowania?

1. Przeczytaj domenę w podglądzie. Jeśli Twój skaner jej nie pokazuje, użyj takiego, który to robi. NCSC zaleca skaner wbudowany w telefon zamiast aplikacji ze sklepu.
2. Traktuj każdy kod w niezamówionym liście lub e-mailu jak zagrożenie. Legalne organizacje rzadko wymagają skanowania wydrukowanego kwadratu, aby rozwiązać pilny problem z kontem — oba wspomniane wyżej komunikaty FBI dotyczą właśnie tego.
3. Sprawdź naklejki fizycznie. Podważ krawędź. Naklejka naklejona na inną naklejkę to najczęstszy sposób przygotowania quishingu, który można wykryć dotykiem.
4. Nigdy nie wpisuj danych płatniczych na stronie otwartej po zeskanowaniu. Przejdź do usługi samodzielnie, wpisując adres albo otwierając aplikację.
5. Gdy masz wątpliwości, odczytaj kod zamiast go skanować. Zrób zdjęcie kodu i odczytaj jego ładunek na naszej stronie dekodera, bez otwierania czegokolwiek.

Co zrobić po zeskanowaniu złośliwego kodu?

Samo skanowanie prawie nigdy nie narusza bezpieczeństwa telefonu. Liczy się to, co wydarzyło się później, więc od tego uzależnij dalsze działania.

1. Jeśli tylko wyświetliłeś stronę i ją zamknąłeś, najprawdopodobniej wszystko jest w porządku. Zapisz domenę na wypadek konieczności zgłoszenia i przejdź dalej.
2. Jeśli wpisałeś hasło, natychmiast zmień je na prawdziwej stronie, a także wszędzie tam, gdzie użyłeś go ponownie. Włącz przy okazji uwierzytelnianie wieloskładnikowe.
3. Jeśli podałeś dane karty, zadzwoń teraz do banku albo zablokuj kartę w aplikacji bankowej, zanim sprawdzisz cokolwiek innego. Zgłoś to jako fałszywą stronę, a nie jako zakwestionowany zakup.
4. Jeśli coś zainstalowałeś, odinstaluj to, a następnie sprawdź uprawnienia aplikacji oraz przyznane uprawnienia administratora urządzenia lub ułatwień dostępu. W większości przypadków mobilnych to właśnie te uprawnienia są ładunkiem ataku.
5. Jeśli dołączyłeś do sieci Wi-Fi za pomocą kodu, zapomnij tę sieć i załóż, że wszystko wysłane przez nią podczas połączenia mogło być widoczne dla napastnika.
6. Zgłoś zdarzenie. W USA FBI przyjmuje zgłoszenia przez IC3, a FTC skargi konsumenckie; w Wielkiej Brytanii zajmuje się tym Action Fraud. Jeśli kod był naklejką na infrastrukturze publicznej, powiadom także właściciela powierzchni — zarządca parkingu nie usunie naklejki, o której nie wie.

Jedna rzecz, której nie należy robić: zakładać, że to Twoja wina, bo zeskanowałeś kod. FBI i FTC wydały publiczne ostrzeżenia właśnie dlatego, że te kody są z założenia nie do odróżnienia od legalnych.

Jak firma może chronić swoich klientów?

Jeśli drukujesz kody QR, Twoje decyzje przesądzają o tym, czy klienci w ogóle będą mogli się bronić.

1. Używaj statycznych kodów zawierających własną domenę. Podgląd pokaże wtedy Twoją nazwę, czyli jedyny sygnał weryfikacyjny dostępny w chwili skanowania. To najskuteczniejsza zmiana, jaką możesz wprowadzić.
2. Drukuj czytelny adres URL obok kodu. Daje ludziom możliwość dotarcia do usługi bez skanowania i coś, z czym mogą porównać adres.
3. Regularnie sprawdzaj swoje fizyczne kody. Naklejki na kodach działają tylko wtedy, gdy nikt ich nie kontroluje.
4. Nigdy nie kieruj klientów przez domenę, która nie zawiera Twojej nazwy. Uczysz ich w ten sposób, że nieprzejrzyste cele są w porządku, i nie możesz opisać, jak wygląda legalny kod Twojej firmy.

Widać tu pożyteczną zbieżność: wybór, który chroni Cię przed uwięzieniem w subskrypcji, jest tym samym wyborem, który chroni Twoich klientów przed phishingiem.

Wygeneruj statyczny kod pokazujący Twoją domenę w podglądzie: kod QR dla adresu URL. Materiał uzupełniający: prawda o oszustwach z kodami QR.