Jak zapobiegać oszustwom związanym z quiishingiem i kodami QR

Czy skanując kod QR, można paść ofiarą ataku hakerskiego?

Zrozumienie pełnego obrazu zagrożeń związanych z kodami QR pomoże Ci rozpoznać zagrożenia, zanim staniesz się ofiarą. Oto najczęstsze schematy ataków w 2025 roku.

Sztuczka z fałszywą naklejką

Najbardziej rozpowszechnioną metodą fizyczną jest umieszczanie fałszywych naklejek z kodami QR bezpośrednio na prawdziwych kodach – na parkometrach, stołach w restauracjach, znakach komunikacyjnych lub ekspozycjach sklepowych. Myślisz, że otwierasz link mapy lub płacisz w terminalu płatniczym. W rzeczywistości dane Twojej karty trafiają prosto do fałszywego portalu oszusta. Szybka kontrola fizyczna – sprawdzenie, czy kod leży płasko, czy wygląda na naklejony – może całkowicie uchronić Cię przed tym zagrożeniem.

Ataki typu „quishing" za pośrednictwem poczty elektronicznej i narzędzi biurowych

Ponieważ ludzie zazwyczaj skanują kody QR za pomocą telefonów, osadzone w nich adresy URL omijają narzędzia zabezpieczające na komputerach stacjonarnych, takie jak zapory sieciowe i blokery adresów URL. To sprawia, że hakowanie za pomocą kodów QR wysyłanych pocztą elektroniczną jest szczególnie skuteczne. Wiadomość wygląda tak, jakby pochodziła od firmy Microsoft, Twojego banku lub działu IT Twojej firmy – jest opatrzona logo i ma profesjonalny wygląd.

Aż 27% tych ataków typu quishing wykorzystuje fałszywe alerty dotyczące uwierzytelniania wieloskładnikowego: „Twoja sesja wygasła – zeskanuj, aby ponownie się zweryfikować". Ta pilność ma na celu powstrzymanie Cię przed zastanowieniem się.

Kody QR ukryte w dokumentach i poczcie tradycyjnej

Jest to jedno z częściej pomijanych zagrożeń związanych ze skanowaniem kodów QR: tylko w połowie 2024 r. wykryto pół miliona wiadomości phishingowych z kodami QR osadzonymi w załącznikach PDF. Dokument wygląda na autentyczny – faktura, zestawienie świadczeń, zawiadomienie o dostawie – a kod QR w środku wydaje się być wygodnym skrótem. FTC odnotowała również gwałtowny wzrost liczby oszustw związanych z pocztą tradycyjną, w których linki do złośliwego oprogramowania w kodach QR są drukowane na fałszywych listach przewozowych lub rachunkach za media.

Kampanie quishingowe oparte na sztucznej inteligencji

Najnowsza i najbardziej niepokojąca ewolucja zagrożeń cyberbezpieczeństwa związanych z quishingiem dotyczy generowanych przez sztuczną inteligencję stron phishingowych, które są niemal nie do odróżnienia od prawdziwych. Atakujący mogą teraz w ciągu kilku minut stworzyć przekonującą fałszywą stronę rezerwacji lub logowania do serwisu PayPal, dostosowaną do konkretnego celu, z realistycznym brandingiem i spersonalizowanym tekstem. To znacznie utrudniło zapobieganie oszustwom związanym z kodami QR zarówno osobom prywatnym, jak i organizacjom.

Jednak zagrożenie wykracza daleko poza fałszywe strony logowania. Sztuczna inteligencja jest obecnie wykorzystywana na każdym etapie procesu ataku – od wyboru celu, przez dostarczenie wiadomości, aż po unikanie wykrycia.

• Hiperpersonalizowane wabiki. Tradycyjny phishing opierał się na ogólnych przynętach – „Twoje konto zostało zawieszone". Kampanie oparte na sztucznej inteligencji czerpią z publicznie dostępnych danych: Twojego pracodawcy, miasta, ostatnich zakupów. W rezultacie powstaje oszustwo z wykorzystaniem kodu QR, które sprawia wrażenie, jakby zostało napisane specjalnie dla Ciebie, bo w pewnym sensie tak właśnie jest. Fałszywa faktura od znanego dostawcy. Awizo o „nieudanej dostawie" z Twoim prawdziwym adresem. To właśnie ten poziom szczegółowości sprawia, że współczesny phishing typu quishing jest tak trudny do zignorowania na pierwszy rzut oka.
• Wzmocnienie głosowe i deepfake. W atakach o większej wartości – zazwyczaj skierowanych do pracowników działu finansowego lub kadr – przed złośliwym kodem QR pojawiają się teraz generowane przez AI połączenia głosowe lub wiadomości wideo typu deepfake. Połączenie buduje zaufanie („Cześć, tu dział IT – wkrótce otrzymasz kod weryfikacyjny"), a kod QR pojawia się chwilę później w e-mailu lub SMS. Zanim ofiara go zeskanuje, jest już przygotowana do współpracy.
• Zautomatyzowana infrastruktura na dużą skalę. To, co kiedyś wymagało wiedzy technicznej – fałszywe domeny, certyfikaty SSL, strony internetowe wyglądające jak prawdziwe – można teraz generować i zmieniać automatycznie. Atakujący uruchamiają jednocześnie setki krótkotrwałych stron phishingowych, zmieniając domeny na tyle szybko, by wyprzedzać listy blokowanych adresów. Dlatego tradycyjne narzędzia bezpieczeństwa oparte na adresach URL mają trudności: zanim domena zostanie oznaczona, jest już zastąpiona.
• Unikanie wykrycia wbudowane w projekt. Modele AI wyszkolone na wzorcach wykrywania zagrożeń mogą teraz generować kody QR i strony docelowe specjalnie zaprojektowane tak, aby uniknąć uruchomienia filtrów. Naśladują one strukturę wizualną legalnych stron z dużą wiernością – mają odpowiednią grubość czcionki, autentycznie wyglądające pola formularzy oraz realistyczne komunikaty o błędach w przypadku wprowadzenia nieprawidłowych danych logowania (klasyczna sztuczka służąca do zebrania wielu prób haseł).

Praktyczne konsekwencje są oczywiste: wizualne i kontekstowe wskazówki, które kiedyś pomagały ludziom rozpoznać oszustwo, stają się niewiarygodne. Sceptycyzm wobec źródła – a nie tylko wyglądu – jest teraz ważniejszym filtrem.