Parkujesz w centrum miasta. Na parkomacie widnieje schludna, równo naklejona etykieta z wiarygodnym logo miejskim i formułą, która stała się już codziennością: „Zapłać za postój bez gotówki — zeskanuj". Wyjmujesz telefon, skanujesz, otwiera się formularz, wpisujesz numer rejestracyjny i dane karty. Trzydzieści sekund, zero aplikacji do instalowania. Dokładnie ten gest, do którego miasta zachęcają nas od lat.
Tyle że naklejkę przyklejono poprzedniej nocy na tę prawdziwą.
Żadnego widocznego linku, żadnego błędu ortograficznego, żadnego alarmistycznego tonu. Quishing — zbitka słów QR code i phishing — nie ma nic wspólnego z groźnym SMS-em, któremu nauczyliśmy się opierać. Nie wywiera na tobie presji: on ci pomaga. A kto czuje, że mu się pomaga, nie czuje zagrożenia.
Dlaczego kod QR stał się martwym punktem czujności
Od dziesięciu lat cała edukacja społeczna w zakresie phishingu opiera się na jednej umiejętności: czytaniu adresu. Wypatrzeniu nadmiarowego myślnika, końcówki .xyz zamiast .pl, nazwy banku z doklejonym obcym słowem. Instytucje zajmujące się cyberbezpieczeństwem i działy bezpieczeństwa banków powtarzają tę samą radę od lat: sprawdź link, zanim klikniesz.
Kod QR unieważnia tę umiejętność jednym ruchem. Kwadrat z czarnych pikseli nie mówi nic. Nie da się na niego najechać, nie da się go przeczytać ani z niczym porównać. Można go tylko zeskanować — czyli z góry mu zaufać.
Sytuację pogarszają trzy czynniki:
- Spowszednienie po 2020 roku. Karty w restauracjach, bilety, ładowarki do aut, instrukcje montażu mebli, etykiety produktów: skanowanie stało się odruchem, z którym nie wiąże się cień podejrzenia.
- Zerwanie kontekstu. Fałszywy SMS trafia do strumienia (twojej skrzynki), gdzie inne wiadomości służą za punkt odniesienia. Kod QR jest fizyczny: pożycza sobie wiarygodność nośnika, na którym został naklejony. Naklejka na oficjalnym elemencie miejskiej infrastruktury wygląda na oficjalną.
- Zmiana ekranu. Kod umieszczony na zewnątrz skanujesz zwykle telefonem trzymanym w wyciągniętej ręce, w pełnym słońcu, w pośpiechu. To najgorsze możliwe warunki do uważnego odczytania skróconego paska adresu.
Klasyczny smishing nie zniknął — świadczą o tym fale fałszywych SMS-ów bankowych i „urzędowych" opisywane w ostatnich miesiącach przez lokalną prasę. Ale kod QR daje oszustom coś, czego SMS już nie oferuje: całkowity brak filtra. Żaden operator nie przeanalizuje naklejki.
Gdzie spotykamy je w praktyce
Zgłoszenia napływające do organizacji konsumenckich i samorządów układają się w dość stałą mapę.
| Wykorzystany nośnik | Podany pretekst | Co zdobywa oszust |
|---|---|---|
| Parkomat, parking podziemny | Opłata za postój | Karta płatnicza, rejestracja, tożsamość |
| Ładowarka do aut elektrycznych | Uruchomienie sesji ładowania | Karta płatnicza, założenie konta |
| Rowery i hulajnogi miejskie | Szybkie odblokowanie pojazdu | Dane bankowe |
| Ogłoszenie o przejeździe / drobne ogłoszenie | Kontakt ze sprzedającym | Dane logowania do platformy |
| Papierowy list „urzędowy" | Uregulowanie sprawy, zwrot pieniędzy | Komplet danych osobowych |
| Paczka z ulotką „prezent" | Opinia w zamian za bon zakupowy | Konto sklepowe, ukryty abonament |
| Ogródek kawiarni, stolik w restauracji | Menu lub zapłata rachunku | Karta płatnicza |
Dwie odmiany zasługują na szczególną uwagę.
Fałszywy list urzędowy. Otrzymanie papierowego pisma wciąż jest dla wielu osób dowodem powagi sprawy. Kampanie podszywające się pod instytucje publiczne — ubezpieczenie zdrowotne, zakład emerytalny, administrację skarbową — zastępują dziś adres internetowy kodem QR właśnie dlatego, że kod QR łatwiej podrobić, niż zweryfikować stronę instytucji. Przypomnijmy zasadę powtarzaną przez publicznych płatników: instytucja ubezpieczenia zdrowotnego nigdy nie prosi o dane bankowe w wiadomości ani w niezamówionym liście, by „odblokować" zwrot.
„Brushing" z ulotką. Dostajesz małą przesyłkę, której nie zamawiałeś, a w niej bilecik z propozycją prezentu w zamian za opinię. Kod QR prowadzi do formularza zbierającego znacznie więcej danych, niż potrzeba.
Co naprawdę dzieje się po zeskanowaniu
Wbrew uporczywemu przekonaniu zeskanowanie kodu QR nie „hakuje" telefonu. Kod zawiera tylko jedną daną: najczęściej adres internetowy, czasem numer do wybrania, sieć Wi-Fi, tekst albo polecenie płatności. Niebezpieczeństwo bierze się z tego, co zrobisz później.
Dominują trzy scenariusze:
- Strona zbierająca dane. Bardzo wierna kopia serwisu płatniczego. Wpisujesz dane karty, a te trafiają prosto do oszusta — albo, co jeszcze bardziej podstępne, służą do zatwierdzenia cyklicznego abonamentu na kilka złotych tygodniowo, celowo tak niskiego, by umknął twojej uwadze na wyciągu.
- Wywołanie połączenia. Kod zawiera numer o podwyższonej opłacie; urządzenie proponuje zadzwonić, a wystarczy sekunda nieuwagi. To mechanika wangiri przeniesiona na nośnik fizyczny.
- Instalacja spoza oficjalnego sklepu. Strona zachęca do zainstalowania „aplikacji parkingowej" z pliku pobranego bezpośrednio. W Androidzie zgoda na instalację z nieznanego źródła otwiera drogę oprogramowaniu zdolnemu przechwytywać twoje SMS-y — a więc bankowe kody autoryzacyjne.
Trzeci przypadek jest najgroźniejszy, bo zamienia jednorazową kradzież w trwały dostęp. Jest też jedynym, który wymaga od ciebie kilku wyraźnych potwierdzeń — a więc daje kilka momentów, w których wciąż możesz powiedzieć „nie".
Prosta zasada do zapamiętania: legalny kod QR nigdy nie każe ci instalować czegokolwiek poza App Store lub Google Play. Nigdy.
Sześć nawyków, które wystarczą, by nie dać się złapać
1. Dotknij, zanim zeskanujesz
Najskuteczniejszy gest nic nie kosztuje: przesuń palcem po kodzie QR. Naklejkę przyklejoną na wierzchu da się wyczuć — lekko odstający brzeg, grubość, inny połysk niż podłoże, przekrzywienie, spikselowane logo. Na parkomacie czy ładowarce sprawdź też, czy kod nie zasłania częściowo jakiejś informacji (numer seryjny, nota prawna). Oficjalny operator nigdy nie zakrywa własnych oznaczeń.
2. Przeczytaj adres przed otwarciem
Wszystkie nowsze telefony pokazują podgląd adresu URL przed otwarciem strony. Poświęć na to dwie sekundy. Liczy się wyraz tuż przed pierwszym /: to prawdziwa domena. platnosci.um-krakow.pl/parking jest wiarygodne; um-krakow.platnosci-bezpieczne-pl.co/parking nie jest wcale, choć zaczyna się obiecująco.
Jeśli z trudem odczytujesz ekran na zewnątrz, w pełnym słońcu albo w okularach progresywnych, to nie jest kwestia komfortu: to czynnik ryzyka. Matowa folia antyrefleksyjna do smartfona wyraźnie poprawia czytelność w mocnym świetle, a pośrednio także twoją zdolność sprawdzenia adresu przed kliknięciem.
3. Odrzuć skrót, jeśli istnieje inna droga
Prawie zawsze istnieje ścieżka nie do podrobienia:
- w przypadku parkowania — oficjalna aplikacja miasta pobrana ze sklepu z aplikacjami albo po prostu bilon i karta włożona do parkomatu;
- w przypadku instytucji publicznej — ręczne wpisanie w przeglądarce znanego adresu (np. zus.pl, podatki.gov.pl, pacjent.gov.pl);
- w przypadku banku — już zainstalowana aplikacja, nigdy otrzymany link.
Zasada jest niezmienna: nigdy nie idź drogą, którą ci podsunięto; idź tą, którą już znasz.
4. Oddziel pieniądze na płatności
Wiele oszustw z kodem QR nie przynosi nic, bo użyta karta jest pusta. Do tego służą jednorazowe karty wirtualne oferowane przez większość banków albo doładowywana karta przedpłacona przeznaczona wyłącznie do płatności „w terenie" — parkowanie, ładowanie, zakupy w podróży. Limit z definicji ogranicza szkody, a ukryty abonament nie pobierze tego, czego nie ma.
5. Zabezpiecz urządzenie z wyprzedzeniem
Dwa ustawienia, raz na zawsze:
- w Androidzie pozostaw wyłączoną zgodę na instalowanie aplikacji z nieznanych źródeł (Ustawienia → Aplikacje → Dostęp specjalny);
- zarówno na iPhonie, jak i w Androidzie włącz ochronę przed oszukańczymi stronami w ustawieniach przeglądarki.
Osobom, które używają telefonu na dworze, często z zajętymi rękami, etui z wbudowanym portfelem na karty oszczędza wyjmowania jednocześnie telefonu i portfela na chodniku — czyli typowej sytuacji, w której skanuje się szybko i byle jak.
6. Zgłaszaj, za każdym razem
Oszukańcza naklejka zostaje na miejscu tak długo, jak długo nikt jej nie usunie. Trzy przydatne kroki:
- odklej fałszywy kod QR, jeśli widać, że został dodany, albo go sfotografuj;
- powiadom zarządcę: urząd miasta, zarząd dróg, operatora ładowarki, właściciela lokalu;
- zgłoś stronę na krajowej platformie zgłaszania incydentów (CERT Polska, incydent.cert.pl), a powiązanego SMS-a przekaż na 8080, jeśli wiadomość poprzedziła skanowanie lub po nim nadeszła.
Jeśli płatność została wykonana, natychmiast zastrzeż kartę, a następnie złóż zawiadomienie na policji. Unijna dyrektywa o usługach płatniczych (PSD2), wdrożona do prawa krajowego, reguluje zwrot nieautoryzowanych transakcji: bank musi zwrócić kwotę operacji, na którą nie wyraziłeś zgody, chyba że wykaże rażące niedbalstwo z twojej strony. Stąd znaczenie zachowania dowodów — zdjęcia naklejki, zrzutu ekranu strony, daty i godziny.
Szczególny przypadek seniorów i osób wrażliwych
Quishing uderza zwłaszcza w osoby, które sięgnęły po smartfon późno. Często przyswoiły uproszczoną regułę — „nie klikaj w linki" — a kod QR nie mieści się w tej kategorii myślowej. Dla wielu skanowanie to nie klikanie.
Kilka sprawdzonych sposobów wsparcia:
- przeformułuj zasadę w kategoriach celu, a nie nośnika: „nigdy nie płacimy z kodu wywieszonego na zewnątrz, płacimy z aplikacji, którą sami zainstalowaliśmy";
- zainstalujcie razem dwie albo trzy naprawdę potrzebne aplikacje (parkowanie, transport, bank), by w ogóle wyeliminować potrzebę skanowania czegokolwiek;
- zwiększ rozmiar czcionki i kontrast, żeby podgląd adresu był czytelny;
- w przypadku rodzica bardzo niechętnego technologii przyjmij minimalne rozwiązanie: telefon dla seniora z dużymi klawiszami bez przeglądarki zamyka drogę wszystkim tym atakom, co pozostaje w pełni sensownym wyborem.
Popularnonaukowa książka o cyberbezpieczeństwie zostawiona na ławie robi często większe wrażenie niż dziesięciominutowe tłumaczenie na głos: lektura we własnym tempie oszczędza poczucia infantylizacji, które blokuje tyle rodzinnych rozmów na ten temat.
Co odróżnia legalny kod QR od pułapki
| Sygnał | Legalny | Podejrzany |
|---|---|---|
| Nośnik | Nadrukowany fabrycznie, wygrawerowany, zintegrowany z urządzeniem | Doklejona naklejka, nałożona na wierzch |
| Wyświetlana domena | Nazwa instytucji przed pierwszym / | Nazwa instytucji jako subdomena lub z myślnikiem |
| Żądane dane | Kwota, numer rejestracyjny, sesja | Karta + dokument tożsamości + numer PESEL/NIP |
| Instalacja | Przekierowanie do App Store / Google Play | Bezpośrednie pobranie pliku |
| Pilność | Żadna | Odliczanie, „oferta ważna 15 minut" |
| Alternatywa | Dostępna zwykła płatność | Kod QR przedstawiony jako jedyna możliwość |
Ostatnie kryterium jest chyba najbardziej wymowne. Żadna instytucja nie likwiduje wszystkich pozostałych kanałów. Gdy nośnik tłumaczy ci, że skanowanie to jedyna droga, chodzi o to, byś nie mógł zweryfikować niczego gdzie indziej.
Sedno problemu nie jest techniczne
Quishing nie opiera się na żadnym informatycznym wyczynie. Opiera się na zbiorowym nawyku wypracowanym w ciągu kilku lat: ufaniu fizycznemu nośnikowi tylko dlatego, że jest tu, widoczny, w przestrzeni publicznej. Nauczyliśmy się nieufności wobec tego, co samo pojawia się na naszym ekranie — SMS-y, e-maile, telefony — ale nie wobec tego, co naklejono na słupku przy ulicy.
Dobra wiadomość jest taka, że obrona wymaga tu mniej wysiłku niż w przypadku fałszywego SMS-a. Link z wiadomości trzeba przeanalizować w głowie w ułamku sekundy. Kodu QR wystarczy dotknąć palcem. Najpewniejszy test przeciwko temu oszustwu roku 2026 jest zarazem najstarszy na świecie: sprawdzić ręką, czy czegoś nie przyklejono na wierzchu czegoś innego.
A jeśli chcesz szybko ostrzec bliską osobę przed oszustwem zauważonym w twojej okolicy, krótka i jasna wiadomość pozostaje najskuteczniejszym narzędziem — o wiele lepszym niż długie nagranie głosowe czy nieczytelny zrzut ekranu. Jedno zdanie, miejsce, rada. Często właśnie tego brakowało, by uniknąć tego jednego skanu za dużo.
