Wysokie🎣 PhishingNOWE

Phishing przez kody QR (quishing)

Ataki quishingowe podmieniają prawdziwe kody QR na złośliwe w e-mailach i przestrzeni publicznej, przekierowując ofiary na strony phishingowe, które omijają zabezpieczenia poczty.

Opublikowano: 18 stycznia 2026Ostatnia aktualizacja: 10 marca 2026

Czym jest to zagrożenie?

Quishing (QR + phishing) to szybko rosnący rodzaj ataku wykorzystujący zaufanie ludzi do kodów QR. Ponieważ kody QR są nieprzejrzyste — nie widzisz adresu URL przed zeskanowaniem — idealnie nadają się do ukrywania złośliwych linków. Filtry bezpieczeństwa poczty mają też problem z ich analizą, co czyni quishing bardzo skutecznym.

Jak to działa

Atak fizyczny: przestępcy naklejają kody QR na prawdziwe kody na parkomatach, w menu restauracji, na stacjach rowerów miejskich i plakatach.

Atak e-mailowy: e-maile phishingowe zamiast klikalnych linków zawierają kody QR z prośbą o zeskanowanie telefonem — który ma słabsze zabezpieczenia niż firmowy laptop.

Skanujesz kod i trafiasz na telefonie na przekonującą fałszywą stronę logowania (Microsoft, PayPal, bank itp.).

Wpisujesz dane logowania na urządzeniu mobilnym, na którym firmowe narzędzia bezpieczeństwa nie działają.

Twoje dane logowania lub płatnicze zostają skradzione.

Prawdziwe przypadki z lat 2025–2026

Fałszywe kody QR do płatności za parkowanie zgłaszane na parkomatach w Niemczech, Austrii i Szwajcarii — ofiary płaciły przestępcom zamiast miastu.

E-maile quishingowe omijające Microsoft Defender dzięki umieszczeniu adresu phishingowego w kodzie QR w formie obrazka.

Fałszywe kody QR „do odbioru paczki” na papierowych awizo zostawianych pod drzwiami.

Sygnały ostrzegawcze

Naklejka z kodem QR umieszczona na oryginalnym, nadrukowanym kodzie (szukaj pęcherzyków powietrza lub przesunięć).

E-mail każe zeskanować kod QR zamiast kliknąć link.

Po zeskanowaniu adres w przeglądarce nie zgadza się z oczekiwaną usługą.

Strona od razu po zeskanowaniu prosi o dane logowania lub płatnicze.

Jak się chronić

Zanim zeskanujesz kod QR w miejscu publicznym, obejrzyj go — sprawdź, czy nie jest naklejką na oryginale
Po zeskanowaniu zawsze sprawdzaj adres URL w przeglądarce, zanim wpiszesz jakiekolwiek dane
Używaj aplikacji do skanowania QR, która pokazuje podgląd adresu przed jego otwarciem
Nigdy nie skanuj kodów QR z niezamówionych e-maili — wejdź do usługi bezpośrednio
Za parkowanie płać przez oficjalną aplikację lub parkomat, a nie przez naklejki z kodem QR

Co zrobić, jeśli padłeś ofiarą

1.Jeśli zeskanowałeś podejrzany kod, ale nie wpisałeś danych, najpewniej jesteś bezpieczny — wyczyść pamięć podręczną przeglądarki
2.Jeśli wpisałeś dane logowania, natychmiast zmień hasło i włącz 2FA
3.Jeśli zapłaciłeś na fałszywej stronie, skontaktuj się z bankiem, aby zakwestionować płatność
4.Zgłaszaj fałszywe kody QR na infrastrukturze publicznej lokalnym władzom lub policji
5.Zgłaszaj e-maile quishingowe zespołowi bezpieczeństwa IT lub krajowemu organowi ds. cyberbezpieczeństwa (w Polsce: CERT Polska)

#QR code#quishing#phishing#parking#email#2026