„Opłata za postój — zeskanuj i zapłać w 30 sekund, bez aplikacji."
Zdanie wydrukowano czarną czcionką na białej naklejce: schludnej, zafoliowanej, przyklejonej idealnie równo na obudowie parkomatu. Kod QR poniżej działa bez zarzutu. Otwarta strona wyświetla nazwę twojego miasta, plan strefy, herb gminy i formularz płatności. Trzy minuty później dostajesz nawet SMS z potwierdzeniem i numerem biletu.
Wszystko jest fałszywe — poza obciążeniem twojej karty.
Quishing — zbitka słów QR i phishing — to najbardziej dyskretna forma współczesnego wyłudzania danych. Nie wymaga podszywania się pod nadawcę, nie potrzebuje wykradzionej bazy danych ani SMS Blastera ukrytego w bagażniku samochodu. Potrzebuje drukarki, rolki taśmy klejącej i dziesięciu sekund przed elementem infrastruktury miejskiej.
Dlaczego kod QR stał się idealną luką
Link internetowy można przeczytać. Można wychwycić podejrzany dywiz, rozszerzenie .top albo .xyz, subdomenę, która tylko udaje oryginał (ants-gouv.verif-doc.net). To wręcz pierwsza zasada profilaktyki przypominana przez Cybermalveillance.gouv.fr: najedź kursorem, przeczytaj, sprawdź nazwę domeny, zanim klikniesz.
Kod QR jest natomiast nieczytelny dla człowieka. To graficzny czek in blanco: adres docelowy poznajesz dopiero po otwarciu linku, czasem po dwóch przekierowaniach. A ergonomia smartfonów wcale nie pomaga — wiele urządzeń wyświetla adres URL drobnym druczkiem, obcięty, przez półtorej sekundy, w pasku powiadomień, którego nikt nie czyta.
Trzy cechy czynią z niego narzędzie wręcz wymarzone dla oszustów:
- Zaufanie wynikające z nośnika fizycznego. Tablica miejska, stacja ładowania, karta w restauracji: infrastruktura miejska korzysta z domniemania autentyczności, jakiego żaden SMS nigdy nie dostanie.
- Niewidzialność dla filtrów. Żaden operator telefoniczny, żaden system antyspamowy nie przeanalizuje naklejki przyklejonej na ulicy. Tam gdzie masowy SMS ze złośliwym adresem URL w końcu zostaje zablokowany, kod QR przechodzi przez kanał absolutnie nie do zatrzymania: twoje oczy.
- Wbudowany kontekst pośpiechu. Kod QR na parkingu skanuje się dlatego, że człowiek jest w biegu, stoi w drugim rzędzie, w deszczu, z umówionym spotkaniem za osiem minut. To dokładnie te warunki, w których czujność się załamuje.
ANSSI i Arcep regularnie przypominają, że techniczne wyrafinowanie oszustwa liczy się mniej niż moment, w którym do niego dochodzi. Uliczny quishing jest doskonałą ilustracją tej zasady.
Cztery najczęściej wykorzystywane scenerie we Francji
1. Parkomaty i automaty parkingowe
To przypadek najlepiej udokumentowany od 2024 roku, ze zgłoszeniami w dziesiątkach francuskich gmin — Charleville-Mézières, Rouen, Lyon, Tuluza, Nicea, kilka nadmorskich kurortów w sezonie. Sposób działania jest niezmienny: naklejkę umieszcza się na ekranie parkomatu lub obok niego, często zakrywając dawny, oficjalny kod QR.
Fałszywa strona odtwarza szatę graficzną legalnych aplikacji parkingowych. Pyta o numer rejestracyjny, czas postoju, a następnie o pełne dane karty płatniczej: 16-cyfrowy numer, datę ważności, kod CVV. Niektóre warianty idą dalej i proponują „abonament miesięczny za 1 €", za którym w rzeczywistości kryje się cykliczne obciążanie konta.
2. Stacje ładowania samochodów elektrycznych
Sceneria jest idealna: stacja ładowania to urządzenie techniczne, często słabo oznakowane, z kilkoma konkurującymi operatorami, mnogością aplikacji i nieczytelnymi taryfami. Kierowca nie zawsze wie, komu właściwie ma zapłacić. Oszukańczy kod QR przyklejony na słupku stacji, z adnotacją „płatność bez karty abonenckiej", od razu znajduje swoją ofiarę — szczególnie podczas dłuższych tras, gdy chce się szybko ruszyć w drogę.
3. Mandaty i awiza
Fałszywe „wezwania do zapłaty za nieopłacony postój" wsuwane pod wycieraczki, wydrukowane na żółtym lub zielonym papierze, z kodem QR do uregulowania należności. Ta sama logika dotyczy podrobionych awiz kurierskich zawieszanych na skrzynce pocztowej: nie trzeba już wysyłać SMS-a o paczce, wystarczy zostawić kartkę.
4. Ogródki, afisze i witryny
Zaklejony kod QR z kartą menu, przerobiony plakat koncertu czy pchlego targu, naklejka „darmowe Wi-Fi" w poczekalni. Tutaj celem nie zawsze jest natychmiastowa płatność: częściej chodzi o zbieranie numerów telefonu i adresów e-mail, odsprzedawanych lub wykorzystywanych później w ukierunkowanej kampanii smishingowej, kilka tygodni po fakcie.
SMS, czyli drugie piętro oszustwa
To kwestia, o której zapomina większość materiałów prewencyjnych: kod QR prawie nigdy nie jest końcem historii. Służy do przechwycenia pewnej danej, a ta dana pozwala następnie napisać całkowicie wiarygodnego SMS-a.
Pełny scenariusz wygląda tak:
| Etap | Co przeżywasz | Co dzieje się w rzeczywistości |
|---|---|---|
| 1 | Skanujesz kod QR na parkomacie | Trafiasz na domenę utworzoną w poprzednim tygodniu |
| 2 | Wpisujesz rejestrację, telefon, dane karty | Dane lecą otwartym tekstem na serwer osób trzecich |
| 3 | Dostajesz SMS „bilet zatwierdzony nr 48219" | SMS-a wysyłają oszuści, by uśpić wszelkie wątpliwości |
| 4 | Od 3 do 20 dni później: „płatność nieudana, ureguluj" | Drugie obciążenie lub kradzież kodu 3-D Secure |
| 5 | Telefon „z twojego banku" z prośbą o potwierdzenie | Oszustwo na fałszywego doradcę, z prawdziwymi danymi w ręku |
SMS z potwierdzeniem odgrywa zasadniczą rolę psychologiczną: zamienia wątpliwą operację w udaną transakcję. Chowasz telefon uspokojony, nie pilnujesz konta i nigdy nie skojarzysz dziwnego obciążenia z 14. dnia miesiąca z parkingiem z 2. dnia.
To także ten SMS sprawia, że oszustwo jest tak trudne do wytropienia: w chwili gdy ofiara zaczyna rozumieć, wiadomość jest już usunięta, historia przeglądarki wyczyszczona, a nazwa ulicy zapomniana.
Prosta zasada do zapamiętania: kod QR nigdy niczego ci nie potwierdza. Może to zrobić wyłącznie oficjalna aplikacja, którą ty zainstalowałeś, albo strona, której adres ty sam wpisałeś.
Jak rozpoznać przerobiony kod QR w dziesięć sekund
Dobra wiadomość jest taka, że to oszustwo ma charakter fizyczny — a więc można je wykryć gołym okiem. Zanim zeskanujesz cokolwiek w przestrzeni publicznej:
- Dotknij kodu. Naklejkę nałożoną na coś innego wyczuwa się palcem: wypukła krawędź, odklejający się róg, bąbel powietrza. Oficjalne kody QR są sitodrukowane, grawerowane lub nadrukowane wprost na obudowie, pod twardym plastikiem.
- Przyjrzyj się wyrównaniu i typografii. Czcionka inna niż na pozostałej części tablicy, brak polskich znaków lub akcentów, spikselowane logo, wzmianka „Miasto…" bez oficjalnego herbu: to wszystko są sygnały ostrzegawcze.
- Szukaj duplikatów. Dwa kody QR na tym samym urządzeniu, z których jeden dodano naprędce, to najczęstszy scenariusz.
- Sprawdź domenę, zanim otworzysz stronę. Francuskie administracje i samorządy używają rozpoznawalnych domen w
.gouv.frlub.fr. Link w.top,.icu,.shop,.online, skracacz adresów (bit.ly,cutt.ly) albo długa domena upchana dywizami: zamykamy. - Uważaj na kod CVV. Żadna publiczna usługa parkingowa nigdy nie poprosi cię o trzycyfrowy kod z tyłu karty na stronie otwartej przez kod QR, bez przejścia przez 3-D Secure.
Bardzo banalne akcesorium pomaga tu więcej, niż można przypuszczać: uchwyt samochodowy na telefon, który pozwala trzymać smartfon na wysokości oczu i spokojnie przeczytać adres URL, zamiast skanować na wyciągnięcie ręki, przy otwartych drzwiach i pracującym silniku.
Odruch, który rozwiązuje 90% problemu
Płacić za postój inaczej. Oficjalne aplikacje parkingowe we Francji można pobrać ze sklepów z aplikacjami, a po instalacji nie wymagają już żadnego kodu QR. Płatność kartą bezpośrednio na parkomacie, tam gdzie jest dostępna, również pozostaje bezkonkurencyjna: żadnej strony internetowej, żadnego formularza, żadnego podawanego numeru telefonu.
W przypadku stacji ładowania karta lub identyfikator RFID twojego operatora mobilności rozwiązuje problem u źródła. Kompatybilny czytnik karty ładowania albo karta wielosieciowa sprawia, że nie musisz skanować niczego na nieznanej stacji.
Przygotuj telefon, zanim będzie za późno
Kilka ustawień, wykonanych raz, zmienia wszystko w dniu, w którym zeskanujesz zły kod.
Wyłącz automatyczne otwieranie linków. Zarówno na iPhonie, jak i na Androidzie aplikację kamery można skonfigurować tak, by wyświetlała adres URL i czekała na potwierdzenie, zamiast natychmiast otwierać przeglądarkę. To jedyna naprawdę skuteczna zapora, a jest darmowa.
Włącz powiadomienia o płatnościach w banku. Alert przy każdym obciążeniu, choćby na 1 €, skraca czas wykrycia z trzech tygodni do trzech minut. Wszystkie francuskie banki oferują tę usługę bezpłatnie w swojej aplikacji.
Używaj karty wirtualnej lub z ograniczonym limitem do płatności na ulicy. Większość banków i neobanków pozwala wygenerować numer jednorazowego użytku. Oszust, który przechwyci już wygasły numer, nie przechwycił niczego.
Dbaj o naładowany telefon. Wydaje się to drobnostką, ale duża część złych decyzji podejmowanych na parkingu rodzi się w pośpiechu, przy 6% baterii i z chęcią, by mieć to wreszcie za sobą. Kompaktowy powerbank w schowku eliminuje część tej presji.
Zapisz, co zeskanowałeś. Jeśli masz wątpliwości, natychmiast zrób zdjęcie urządzenia i kodu QR. To dowód, który pozwoli gminie usunąć naklejkę, a twojemu bankowi rozpatrzyć reklamację.
Zeskanowałeś i zapłaciłeś: co robić
Czas ma tu ogromne znaczenie. Po kolei:
- Natychmiast zastrzeż kartę w swoim banku (numer awaryjny dostępny 24 godziny na dobę) lub, w ostateczności, przez międzybankowy serwer pod numerem 0 892 705 705.
- Zażądaj zwrotu środków. Artykuł L133-18 francuskiego kodeksu monetarnego i finansowego zobowiązuje bank do zwrotu nieautoryzowanej transakcji płatniczej zgłoszonej w terminie, chyba że udowodnione zostanie twoje rażące zaniedbanie. Złóż wniosek na piśmie.
- Zgłoś otrzymanego SMS-a pod numer 33700, oficjalnej platformy zgłaszania oszukańczych SMS-ów i połączeń, prowadzonej przez francuskich operatorów.
- Złóż zawiadomienie w komisariacie policji, w żandarmerii albo przez platformę THESEE na service-public.fr, przeznaczoną do oszustw internetowych.
- Zgłoś oszukańczą stronę w Phishing Initiative, a fizyczny kod QR w urzędzie miasta lub u operatora stacji: to właśnie dzięki temu naklejka zostaje usunięta.
- Monitoruj konta przez trzy miesiące. Wykradzione dane są często odsprzedawane i wykorzystywane z kilkutygodniowym opóźnieniem, zwłaszcza w formie fałszywych telefonów „od twojego doradcy".
A jeśli musisz szybko ostrzec bliską osobę albo kolegę, który parkuje na tej samej ulicy, wystarczy krótka wiadomość: „Spreparowany kod QR na parkomacie na ulicy X, płać kartą bezpośrednio w automacie." To dokładnie ten rodzaj natychmiastowego alertu, przy którym wysłanie SMS-a online, bez instalowania czegokolwiek, okazuje się przydatne.
Co to oszustwo mówi nam o całej reszcie
Uliczny quishing nie jest przesadnie wyrafinowanym oszustwem. Jest oszustwem dobrze umiejscowionym. Ilustruje zwrot, który widać niemal we wszystkich najnowszych kampaniach: oszuści nie próbują już zwieść twojego rozsądku, szukają momentu, w którym rozsądku nie używasz.
Przed parkomatem, w deszczu, z widmem mandatu krążącym w głowie, nikt nie analizuje nazwy domeny. Dlatego jedyną trwałą obroną nie jest nieufność — wyczerpująca i niemożliwa do utrzymania — lecz nawyk: płacić zawsze tym samym kanałem, wybranym na chłodno, w dniu, w którym nie byłeś w pośpiechu.
Notes trzymany w samochodzie z przydatnymi numerami (zastrzeżenie karty, assistance, 33700) kosztuje dwa euro i pozwala zaoszczędzić decydujący kwadrans. Profilaktyka — czy chodzi o oszukańcze SMS-y, czy o spreparowane kody QR — rozgrywa się niemal zawsze przed incydentem.
