Skutečné nebezpečí QR kódů: Buďte ostražití

Tento měsíc jste pravděpodobně bez rozmýšlení naskenovali desítky QR kódů – v restauraci, u parkovacího automatu, možná u platebního terminálu u pokladny. Právě tuto automatickou důvěru v současné době podvodníci zneužívají a čísla jsou těžko ignorovatelná.

Phishing pomocí QR kódů – lépe známý jako quishing – vzrostl mezi lety 2022 a 2023 o 587 % a v roce 2025 vyskočil o dalších 25 %, přičemž tímto způsobem bylo na škodlivé stránky přesměrováno již více než 26 milionů Američanů. A tady je ta nepříjemná část: pouze 39 % spotřebitelů dokáže spolehlivě rozpoznat infikované QR kódy, než je příliš pozdě, což znamená, že drtivá většina skenuje zcela naslepo.

Co se tedy vlastně děje, jak to útočníci dokážou a co s tím můžete dělat? Pojďme si to rozebrat.

Co je quishing – a proč je tak účinný

Quishing (QR + phishing) je praxe spočívající ve skrytí nebezpečných odkazů uvnitř QR kódů za účelem přesměrování lidí na falešné webové stránky, krádeže přihlašovacích údajů nebo instalace malwaru. Představte si to jako klasický hack QR kódu – ale zabalený do formátu, který lidské oko prostě nedokáže dekódovat.

To je hlavní problém s bezpečností QR kódů: na rozdíl od běžného odkazu v e-mailu, na který můžete najet myší a zobrazit náhled, QR kód nic neprozradí, dokud váš prohlížeč již nenačte cílovou stránku. Neexistuje žádná chybně napsaná doména, kterou byste mohli zachytit, ani podezřelý text odkazu, kterého byste si mohli všimnout. Nebezpečí QR kódů je ze své podstaty neviditelné – a právě to dělá quishingový phishing tak účinným ve srovnání s tradičními podvody.

Proto se QR kódy objevily v 22 % všech phishingových útoků v letech 2024–2025. Obcházejí většinu automatických e-mailových filtrů, protože bezpečnostní nástroje nedokážou přečíst URL zakódovanou uvnitř obrázku.

Může vás někdo hacknout naskenováním QR kódu?

Pochopení celého spektra hrozeb spojených s QR kódy vám pomůže rozpoznat hrozby dříve, než se stanete obětí. Zde jsou nejčastější vzorce útoků v roce 2025.

Trik s falešnými nálepkami

Nejrozšířenější fyzickou metodou jsou falešné nálepky s QR kódy umístěné přímo přes legitimní kódy – na parkovacích automatech, stolech v restauracích, dopravních značkách nebo v obchodních vitrínách. Myslíte si, že otevíráte link ng mapa nebo platíte u platebního terminálu. Ve skutečnosti však údaje o vaší kartě putují přímo na falešný portál podvodníka. Rychlá fyzická kontrola – zda kód leží rovně, nebo vypadá, jako by byl nalepený – vás před tímto útokem zcela ochrání.

Quishing prostřednictvím e-mailu a kancelářských nástrojů

Jelikož lidé obvykle skenují QR kódy pomocí svých telefonů, vložené URL adresy obcházejí bezpečnostní nástroje pro stolní počítače, jako jsou firewally a blokátory URL adres na koncových zařízeních. Díky tomu je hackování pomocí QR kódů prostřednictvím e-mailu obzvláště účinné. Zpráva vypadá, jako by pocházela od společnosti Microsoft, vaší banky nebo IT oddělení vaší firmy – včetně log a profesionálního formátování.

Až 27 % těchto quishingových útoků využívá falešná upozornění na vícefaktorové ověření: „Vaše relace vypršela – naskenujte kód pro opětovné ověření." Tato naléhavost je navržena tak, aby vás odradila od dalšího přemýšlení.

QR kódy skryté v dokumentech a fyzické poště

Toto je jedno z nejvíce přehlížených nebezpečí skenování QR kódů: jen v polovině roku 2024 bylo odhaleno půl milionu phishingových e-mailů s QR kódy vloženými do příloh ve formátu PDF. Dokument vypadá legitimně – faktura, výpis z účtu, oznámení o doručení – a QR kód uvnitř se jeví jako praktická zkratka. FTC také upozornila na nárůst podvodů v tištěné poště, kde se odkazy na malware v QR kódech objevují vytištěné na falešných dodacích listech nebo účtech za služby.

Kampaň „quishing" využívající umělou inteligenci

Nejnovější a nejznepokojivější vývoj kybernetických hrozeb typu quishing zahrnuje phishingové stránky generované umělou inteligencí, které jsou téměř k nerozeznání od těch skutečných. Útočníci nyní dokážou během několika minut vytvořit přesvědčivou falešnou stránku pro rezervaci nebo přihlášení do služby PayPal, přizpůsobenou konkrétnímu cíli, s realistickým brandingem a personalizovaným textem. To výrazně ztěžuje prevenci podvodů s QR kódy jak pro jednotlivce, tak pro organizace.

Hrozba však zdaleka přesahuje falešné přihlašovací stránky. Umělá inteligence se nyní používá v každé fázi útoku – od výběru cíle přes doručení až po únik.

Hyperpersonalizované lákání. Tradiční phishing se spoléhal na obecné návnady – „váš účet byl pozastaven". Kampaně založené na umělé inteligenci čerpají z veřejně dostupných údajů: váš zaměstnavatel, vaše město, vaše nedávné nákupy. Výsledkem je podvod s QR kódem, který působí, jako by byl napsán speciálně pro vás, protože v jistém smyslu tomu tak je. Falešná faktura od dodavatele, jehož jméno znáte. Oznámení o „nezastihnutém doručení" odpovídající vaší skutečné adrese. Právě tato míra konkrétnosti způsobuje, že moderní phishing s využitím QR kódů je tak těžké na první pohled odhalit.
Posílení hlasem a deepfake. U útoků s vyšší hodnotou – obvykle zaměřených na zaměstnance v oblasti financí nebo lidských zdrojů – nyní škodlivému QR kódu předcházejí hlasové hovory generované umělou inteligencí nebo deepfake videozprávy. Hovor navazuje důvěru („Dobrý den, tady je IT podpora – za chvíli obdržíte ověřovací kód") a QR kód dorazí o chvíli později e-mailem nebo SMS. V okamžiku, kdy jej cíl naskenuje, je již připraven vyhovět.
Automatizovaná infrastruktura v měřítku. To, co kdysi vyžadovalo technické znalosti k nastavení – falešné domény, SSL certifikáty, podobné webové stránky – lze nyní generovat a střídat automaticky. Útočníci nasazují stovky krátkodobých phishingových stránek současně a cyklicky mění domény dostatečně rychle, aby se vyhnuli blokovacím seznamům. Proto mají tradiční bezpečnostní nástroje založené na URL potíže: v době, kdy je doména označena, je již nahrazena.
Únik zabudovaný do designu. Modely AI trénované na vzorcích detekce zabezpečení nyní mohou generovat QR kódy a vstupní stránky speciálně navržené tak, aby se vyhnuly spuštění filtrů. Napodobují vizuální strukturu legitimních stránek s vysokou věrností – správné tloušťky písma, autenticky vypadající pole formulářů, realistické chybové zprávy při zadání nesprávných přihlašovacích údajů (klasický trik k získání více pokusů o zadání hesla).

Praktický dopad je jasný: vizuální a kontextové signály, které kdysi pomáhaly lidem identifikovat podvod, se stávají nespolehlivými. Skeptický přístup k zdroji – nejen k vzhledu – je nyní důležitějším filtrem.

Kdo je terčem nejčastěji?

Bezpečnostní rizika QR kódů nejsou rozložena rovnoměrně. Některá odvětví čelí dramaticky vyšší expozici kvůli povaze jejich používání QR kódů a hodnotě dat, se kterými pracují.

Odvětví	Proč je terčem	Běžný vektor útoku
Finance a bankovnictví	Cenné přihlašovací údaje, platební údaje	Falešné přihlašovací stránky bankovních aplikací, napodobené portály PayPal / Venmo se sběrem přihlašovacích údajů
Zdravotnictví	Citlivá data pacientů, starší systémy	Falešné formuláře pro pacienty zasílané e-mailem, QR kódy na tištěných přijímacích dokumentech
Vzdělávání	Rozsáhlá uživatelská základna, nižší bezpečnostní povědomí	Falešné přihlašovací portály k Wi-Fi na akademické půdě, QR kódy v PDF materiálech ke kurzům
Maloobchod a e-commerce	Zpracování plateb, vysoká návštěvnost	Podvody s nálepkami na legitimních platebních terminálech, falešné slevové nebo věrnostní kódy
Restaurace a cestovní ruch	Časté používání QR kódů, umístění na veřejných místech	Nahrazení QR kódů v jídelních lístcích falešnými stránkami pro objednávky, falešné Wi-Fi portály v lobby
Vláda	Zneužití důvěry veřejnosti	Falešné formuláře povolení, napodobené portály pro platbu daní napodobující oficiální webové stránky
Logistika	Naléhavost doručení zásilky	Falešné sledovací odkazy zasílané prostřednictvím SMS, QR kódy na padělaných doručovacích listech
Nemovitosti	Transakce s vysokou hodnotou	Falešné stránky s nabídkami nemovitostí, podvodné formuláře k podpisu dokumentů s krádeží přihlašovacích údajů

Zaměstnanci v maloobchodu mají nejvyšší míru selhání při odhalování škodlivé aktivity související s QR kódy, zatímco finance, výroba a zdravotnictví patří trvale mezi nejčastěji napadené sektory. Je třeba poznamenat, že bezpečnostní problémy s QR kódy ve zdravotnictví mají obzvláště závažné důsledky – v sázce jsou údaje o pacientech, přihlašovací údaje k pojištění a interní systémy.

Vytvořte
QR kód nyní!

Vložte svůj odkaz na QR kód, přidejte název pro svůj QR, vyberte kategorii obsahu a vygenerujte!

Vygenerujte QR kód

Jak zabránit quishingu: osvědčené postupy pro zabezpečení QR kódů

Zde je praktický přehled toho, jak zůstat v bezpečí – ať už jste individuální uživatel, majitel podnikání nebo osoba zodpovědná za marketingové materiály obsahující QR kódy.

1. Vždy si před otevřením URL adresu nejprve prohlédněte

Většina moderních smartphonů vám zobrazí cílový odkaz ihned po naskenování, ještě než prohlížeč cokoli načte. Tento desetisekundový zvyk je základem bezpečnosti QR kódů – nevynechávejte ho.

Při kontrole URL si všímejte:

HTTPS vs. HTTP – absence šifrování je okamžitým varovným signálem;
Zkrácené odkazy – bit.ly, tinyurl a podobné služby zakrývají skutečný cíl;
Špatně napsané domény – „paypa1.com" nebo „arnazon.com" jsou klasické triky;
Nesouvisející domény – QR kód restaurace odkazující na doménu, která nemá žádnou souvislost s daným podnikem;
Řetězce přesměrování – několik přesměrování před dosažením skutečné stránky často signalizuje útok prostřednictvím QR kódu.

Používejte bezpečná aplikace pro skenování QR kódů – ne jen výchozí fotoaparát vašeho telefonu. Správný nástroj pro kontrolu bezpečnosti QR kódů označí známé škodlivé domény ještě před otevřením, čímž vám poskytne skutečnou ochranu, nikoli jen pohodlí.

2. Fyzicky zkontrolujte QR kódy na veřejných místech

Detekce neoprávněné manipulace je v místech s vysokým provozem skutečným problémem. Než něco naskenujete na veřejnosti, podívejte se pozorně: leží kód rovně na povrchu, nebo vypadá, že je mírně vyvýšený? Jsou okraje čisté, nebo to vypadá, že se jedná o nálepku nalepenou na něco jiného?

To je obzvláště důležité u parkovacích automatů, na dopravních uzlech a kdekoli, kde jde o bezpečnost QR kódy pro platby – právě na těchto místech se podvodníci zaměřují nejvíce, protože jim nahrává naléhavost situace a rozptýlení pozornosti.

3. Nikdy neskenujte QR kódy z neočekávaných e-mailů

Právě zde způsobuje QR phishing největší škody. Legitimní společnosti – banky, poskytovatelé softwaru, personální oddělení – vás nepožádají, abyste naskenovali QR kód za účelem ověření vaší identity nebo resetování hesla prostřednictvím e-mailu. Pokud obdržíte takovou zprávu, přejděte přímo na oficiální webové stránky společnosti zadáním adresy ručně.

Nikdy neskenujte QR kód z obrázku nebo přílohy PDF, kterou jste nečekali, bez ohledu na to, jak oficiálně vypadá. To platí i pro přeposlané zprávy na WhatsAppu a SMS zprávy – hackeři využívající QR kódy se již dávno přesunuli mimo e-mail.

4. Používejte správný nástroj pro kontrolu bezpečnosti QR kódů

Ne všechny aplikace pro skenování nabízejí stejnou úroveň ochrany. Základní fotoaparát pouze načte vzor – nejbezpečnější skener QR kódů aktivně porovnává cílovou URL s databázemi hrozeb v reálném čase. Hledejte aplikace, které výslovně nabízejí bezpečnostní funkce pro čtení QR kódů: náhled URL, detekci malwaru a kontrolu reputace domény.

Ověřování QR kódů předtím, než na ně kliknete, je nejúčinnějším zvykem, který si můžete osvojit. Pokud vám aplikace nezobrazí odkaz před jeho otevřením, najděte si takovou, která to dělá.

5. Jsou QR kódy bezpečné? Varovné signály, které byste neměli ignorovat

Dávejte pozor na tyto varovné signály bez ohledu na kontext – ať už skenujete QR kód pro stránku na sociálních médiích, Wi-Fi síť, kontakt vCard nebo platební odkaz:

Strach nebo naléhavost v textu připojeném ke kódu („Naskenujte nyní, nebo ztratíte přístup");
Kódy zasílané prostřednictvím nevyžádaných SMS, e-mailů nebo zpráv WhatsApp;
QR kódy z PDF příloh nebo obrázků od neznámých odesílatelů;
Kódy, které vás žádají o instalaci neznámé aplikace z obchodů s aplikacemi;
Platební odkazy, které procházejí několika přesměrováními, než se dostanou k pokladně;
Jakýkoli kód slibující bezplatný přístup ke službám Spotify, YouTube nebo prémiovému obsahu.

6. Už jste naskenovali něco podezřelého? Jednejte okamžitě

Chyby se stávají – zde je návod, jak omezit škody. Okamžitě se odpojte od Wi-Fi a mobilních dat, abyste přerušili komunikaci se serverem útočníka. Spusťte skenování pomocí důvěryhodné aplikace pro zabezpečení mobilních zařízení. Změňte všechna hesla zadaná po skenování, přičemž upřednostněte finanční a pracovní účty. Zkontrolujte historii instalací v obchodech s aplikacemi, zda neobsahuje něco neznámého, zrušte neznámá oprávnění a okamžitě kontaktujte svou banku, pokud se jednalo o platební údaje.

Pro firmy: Jak zajistit důvěryhodnost vašich QR kódů

Pokud vaše organizace používá QR kódy v marketingových kampaních, e-commerce, realitních inzerátech, formulářích pro přijetí do zdravotnických zařízení nebo jídelních lístcích restaurací – zabezpečení QR kódů je součástí vaší odpovědnosti vůči uživatelům.

Mezi účinné bezpečnostní funkce QR kódů pro firmy patří použití stylizovaných kódů s vaším logem a barvami značky (které je těžší přesvědčivě napodobit), jasné sdělení uživatelům, co mohou po naskenování očekávat, a pravidelná kontrola veřejně přístupných kódů, zda nevykazují známky manipulace.

Kromě toho záleží také na zabezpečení generátoru QR kódů. Nejbezpečnější generátor QR kódů prověří cílovou URL adresu již při vytváření kódu – a zablokuje tak škodlivé odkazy, spam a zakázaný obsah ještě předtím, než se kód vůbec zveřejní. Me-QR přesně toto dělá: každý dynamický QR kód vygenerovaný prostřednictvím této služby je automaticky zkontrolován na přítomnost malwaru, phishingového obsahu a porušení zásad, takže ani vy, ani vaši zákazníci nejste prostřednictvím vašich vlastních materiálů vystaveni bezpečnostním rizikům spojeným s QR kódy.

Buďte ostražití, skenujte chytře

Nebezpečí spojená s používáním QR kódů nespočívají v samotné technologii – spočívají v tom, kam kód vede a zda se obtěžujete to zkontrolovat. Bezpečnost nespočívá v tom, že se QR kódům vyhýbáte – spočívá v tom, že víte, na co se zaměřit, než kód naskenujete.

Zkontrolujte URL. Prohlédněte si fyzický kód. Použijte bezpečnostní skener QR kódů, který ověření provede za vás. Podvodníci stojící za těmito útoky na QR kódy spoléhají na to, že lidé jednají automaticky. A statisticky mají pravdu – 61 % lidí stále skenuje, aniž by zkontrolovalo, kam kód vede. Právě toto číslo představuje skutečnou zranitelnost. Odstraňte ji a už jste udělali víc než většina ostatních.