Phishing přes QR kódy (quishing) — jak rozpoznat falešný QR kód a zůstat v bezpečí

V restauraci naskenujete QR kód, abyste si prohlédli menu. U parkovacího automatu naskenujete další, abyste zaplatili. Z oznámení o doručení naskenujete kód, abyste mohli sledovat zásilku. Všechno to působí naprosto neškodně. Ale co když ten QR kód není tím, čím se zdá?

Phishingové útoky přes QR kódy v letech 2025–2026 vzrostly o 270 % meziměsíčně a 12 % všech phishingových útoků už obsahuje QR kódy. FBI dokonce varovala před severokorejskými hackery, kteří nasazují škodlivé QR kódy. Je načase přistupovat ke QR kódům se stejnou opatrností jako k podezřelým odkazům.

Co je quishing?

Quishing = QR + phishing

Klasický phishing vám pošle falešný odkaz e-mailem nebo přes iMessage. Quishing místo toho používá falešný QR kód, který vás přesměruje na škodlivý web. V čem je hlavní rozdíl? QR kód si očima nepřečtete — a proto je ještě nebezpečnější než textový odkaz.

Skutečné podvody s quishingem

1. Falešné QR kódy na parkovacích automatech

Podvodník přelepí legitimní QR kód nálepkou
→ Naskenujete ho a ocitnete se na falešné platební stránce
→ Zadáte údaje o kartě → okamžitě jsou ukradeny

Po celých USA se falešné QR nálepky objevily na parkovacích automatech, stanicích sdílených kol i nabíjecích stanicích pro elektromobily. Města jako Austin, San Antonio a Houston vydala veřejná varování.

2. Falešné QR kódy s menu v restauracích

Podvodníci přelepí skutečný kód s menu restaurace podvodnou QR nálepkou. Místo menu se dostanete na stránku, která po vás chce osobní údaje nebo platební informace — zejména v podnicích, kde se objednává předem.

3. QR kódy v phishingových e-mailech

„Váš účet vyžaduje bezpečnostní ověření — naskenujte QR kód níže“
→ Falešná přihlašovací stránka
→ Firemní přihlašovací údaje jsou ukradeny

K tvorbě velmi přesvědčivých phishingových e-mailů s vloženými QR kódy se dnes používají nástroje AI a LLM. Tyto e-maily obcházejí tradiční e-mailové filtry, protože škodlivá URL je skrytá uvnitř obrázku.

4. Falešné QR kódy v oznámeních o doručení

„Doručení bylo přeplánováno — naskenujte tento QR kód a aktualizujte adresu“
→ Falešný web přepravce
→ Jméno, adresa a platební údaje jsou vytěženy

SMS a e-maily s QR kódy, které se vydávají za FedEx, UPS nebo USPS, patří k nejrychleji rostoucím způsobům podvodů.

5 znaků falešného QR kódu

#	Varovný signál	Na co si dát pozor
1	Fyzická nálepka přes původní kód	Přejeďte po povrchu prstem — pokud je navrchu nalepená další vrstva, jde pravděpodobně o podvrh
2	URL neodpovídá očekávané doméně	Naskenovaná URL by měla odpovídat provozovateli (např. parking-city.gov, ne p4rking-pay.net)
3	Okamžitě žádá osobní nebo platební údaje	Legitimní QR kódy jen zřídka hned vyžadují údaje o kartě
4	Chybí HTTPS	Pokud URL začíná http:// místo https://, spojení není zabezpečené
5	Přesměrování přes zkrácené URL	Několik přesměrování, která zakrývají konečný cíl, je varovný signál

Jak bezpečně skenovat QR kódy

Krok 1: Používejte vestavěný fotoaparát telefonu

Fotoaparát iPhonu nebo Androidu zobrazí náhled URL ještě před otevřením odkazu. Nikdy nepoužívejte aplikace třetích stran pro QR kódy, které odkazy otevírají automaticky.

Krok 2: Než klepnete, zkontrolujte URL

Pozorně si URL přečtěte. Odpovídá očekávanému provozovateli? cityparking.gov je v pořádku. c1ty-parking-pay.com není.

Krok 3: Nikdy nezadávejte platební údaje na stránce z naskenovaného QR kódu

Pokud vás QR kód zavede na platební stránku, zavřete ji. Místo toho zaplaťte přímo v oficiální aplikaci nebo na oficiálním webu.

Krok 4: Používejte čtečku QR kódů s kontrolou URL

Čtečky QR kódů zaměřené na bezpečnost dokážou známé škodlivé URL označit ještě předtím, než je otevřete.

Krok 5: QR kód si fyzicky prohlédněte

Na veřejných místech zkontrolujte, zda QR kód není nálepka přelepující jiný kód. Pokud je vystouplý, odlepuje se nebo je nakřivo — neskenujte ho.

Bezpečné vs. nebezpečné QR kódy

Legitimní použití

• Sdílení Wi-Fi: kavárny a hotely poskytují přihlašovací údaje k Wi-Fi přes QR kód
• Oficiální menu: QR kódy restaurací napojené na jejich objednávkový systém
• Důvěryhodné platby: QR kódy vygenerované v oficiálních bankovních nebo platebních aplikacích
• Sdílení odkazů přes LOCK.PUB: QR odkazy chráněné heslem s důvěryhodnou doménou lock.pub

Nebezpečné varovné signály

• QR kódy v nevyžádaných e-mailech
• Nálepky rozmístěné na veřejných místech neznámým původcem
• QR kódy na náhodných letácích, plakátech nebo vizitkách
• QR kódy přijaté přes iMessage nebo Messenger od neznámých odesílatelů

Co dělat, když jste naskenovali podezřelý QR kód

Nepanikařte. Okamžitě postupujte takto:

1. Zavřete prohlížeč — pokud jste nezadali žádné údaje, jste pravděpodobně v bezpečí
2. Pokud jste zadali přihlašovací údaje, okamžitě si změňte heslo
3. Pokud jste zadali platební údaje, kontaktujte banku nebo vydavatele karty a nechte kartu zablokovat
4. Zkontrolujte, zda se nenainstalovaly neznámé aplikace, a případně je odstraňte
5. Nahlaste to FTC (reportfraud.ftc.gov) nebo místnímu orgánu pro kyberkriminalitu

Jak LOCK.PUB používá QR kódy bezpečně

LOCK.PUB vám umožňuje sdílet odkazy přes QR kódy — ale s vestavěnými bezpečnostními funkcemi, které ho odlišují:

• Ochrana heslem: i po naskenování QR kódu je k zobrazení obsahu potřeba heslo
• Důvěryhodná doména: odkaz vždy vede na lock.pub — snadno si ho ověříte
• Vypršení platnosti (Pro): po nastavené době se odkaz přestane otevírat
• Sledování přístupů: přesně uvidíte, kdo a kdy váš odkaz otevřel

Problémem nejsou samotné QR kódy — jsou jím neověřené QR kódy z neznámých zdrojů. Držte se QR kódů z důvěryhodných zdrojů a před klepnutím vždy zkontrolujte URL.

Závěr

QR kódy jsou všude, protože jsou pohodlné. A právě tohoto pohodlí podvodníci zneužívají. Jediné naskenování může vydat vaše údaje o platební kartě, přihlašovací údaje nebo přístup do firemní sítě.

Než naskenujete jakýkoli QR kód, věnujte 3 vteřiny jeho ověření. Tyto 3 vteřiny mohou ochránit vaši identitu, vaše peníze i váš klid.

Začněte bezpečně sdílet odkazy -->