Je QR kód bezpečný ? Ako prísť o údaje jedným skenom ( 3 prípady z praxe)

Obsah článku

Nenechaj v tom známych samých – zdieľaj

Začiatočník

Ešte pred pár rokmi si väčšina ľudí myslela, že QR kódy sú slepá ulička technológií. Potom prišla pandémia a z „divnej čiernobielej kocky“ sa stal štandard: menu v reštauráciách, očkovacie preukazy, platby za parkovanie, vstupenky, faktúry. Dnes skenujeme automaticky – bez premýšľania, či je QR kód bezpečný.

A práve to je problém. Ľudské oko nedokáže z QR kódu vyčítať, čo sa za ním skrýva. Môže to byť oficiálna stránka mesta, ale aj phishing na kradnutie hesiel alebo falošná platobná brána. Útočníci tento „slepý sken“ milujú – a vznikol nový trend: quishing (QR phishing).

Je QR kód bezpečný v každodennom živote?

Na QR kódy sa pozeráme s väčšou dôverou ako na bežné odkazy. Na plagáte v MHD, na parkovacom automate či v reštaurácii vyzerajú „oficiálne“, často vedľa loga mesta alebo firmy. Otázka „je QR kód bezpečný“ však nemá univerzálnu odpoveď – bezpečný je len konkrétny kód, konkrétne na konkrétnom mieste a v konkrétnom čase.

Problém je, že QR kód:

nevieme vizuálne overiť, kam smeruje,
dokáže odkázať na čokoľvek – od webu až po stiahnutie súboru,
veľmi ľahko nahradíš nálepkou s vlastným (škodlivým) kódom.

Keď sa pýtaš, či je QR kód bezpečný, správna otázka v skutočnosti znie: „Mám dôvod veriť, že tento konkrétny kód patrí entite, ktorá je na papieri/obruse/plagáte napísaná?“

Čo je quishing a prečo je QR kód bezpečný len naoko?

Quishing (QR phishing) je útok, pri ktorom útočník nahradí dôveryhodný QR kód alebo pošle vlastný (napríklad v e-maile), aby ťa presmeroval na podvodnú stránku alebo ti podsunul škodlivý obsah.

Prečo je to tak účinné?

E-mailové filtre vidia len obrázok – zatiaľ čo textové odkazy vedia analyzovať, obrázkový QR kód prejde kontrolou ľahšie.
Útok ide mimo firemných kontrol – používateľ často skenuje QR kód súkromným mobilom, ktorý nemá firemný antivirus ani MDM ochranu.
Ľudia sú naučení skenovať – „skenni a vyhraj“, „skenni a zaplať“, „skenni a prihlás sa“. Komfort zabíja obozretnosť.

Útočník vytvorí QR kód, ktorý vedie na:

falošnú prihlasovaciu stránku (Microsoft 365, bankovníctvo, WhatsApp),
stránku so stiahnutím škodlivého súboru,
platobnú bránu, ktorá vyzerá ako oficiálna, ale peniaze idú na jeho účet.

Pre útočníka je výhodou, že veľa ľudí si stále myslí, že je QR kód bezpečný len preto, že je na „slušne vyzerajúcej“ grafike.

Prípady z praxe: ako vyzerá útok jedným skenom

1. Parkovací fantóm – prelepené QR kódy na automatoch

V Európe aj USA už riešili viaceré prípady, keď útočníci v noci prelepili QR kódy na parkovacích automatoch vlastnými nálepkami. Použili pritom logá známych parkovacích aplikácií (PayByPhone, RingGo a pod.), aby pôsobili dôveryhodne. Vodič naskenoval kód, zadal údaje z karty a zaplatil – lenže nie mestu, ale podvodníkovi.

Niektoré mestá už preto oficiálne odporúčajú neskenovať QR kódy na automatoch, ale zadávať adresu alebo používať oficiálnu aplikáciu manuálne.

2. Reštauračné menu a „zaplať pri stole“

Reštaurácie milujú QR kódy: menu bez papiera, rýchle platby, moderný imidž. Útočníci tiež.

Scenár je jednoduchý:

Na stole je kartička s QR kódom na menu alebo platbu.
Útočník nalepí cez originál vlastnú nálepku.
Zákazník naskenuje – dostane sa na falošnú platobnú stránku.
Zadá údaje karty alebo zaplatí – peniaze idú útočníkovi.

Bezpečnostné organizácie už upozorňujú, že falošné QR kódy v reštauráciách sú rastúci trend a vedú k krádežiam platobných údajov.

3. Falošné pokuty za parkovanie s QR kódom

V niektorých mestách útočníci začali rozdávať falošné „pokuty“ za parkovanie – vyzerajú takmer identicky ako oficiálne mestské lístky. Obsahujú QR kód na „rýchlu úhradu“.

Ľudia v strese (a hanbe) často zaplatia bez kontroly – a až neskôr zistia, že mesto o žiadnej pokute nevie. Podobné prípady boli hlásené napríklad v Kalifornii.

Čo všetko môže QR kód spraviť s tvojím zariadením?

QR kód nie je len „link na web“. V jednom obrázku môže byť zabalené napríklad:

URL adresa – otvorenie stránky (legitímnej alebo falošnej).
Wi-Fi konfigurácia – automatické pripojenie k prístupovému bodu, ktorý môže odpočúvať tvoju komunikáciu.
Kontaktné údaje – uloženie novej položky do adresára (napr. s podvodným číslom).
SMS / telefónne číslo – príprava SMS na spoplatnenú linku alebo volanie na drahé číslo.
Stiahnutie súboru – napríklad .apk na Android, ktorý môže byť malware, alebo konfiguračný profil pre iOS.

Ak teda slepo veríš, že je QR kód bezpečný, v skutočnosti len dúfaš, že autor kódu to s tebou myslí dobre.

Ako sa pýtať správne: je QR kód bezpečný práve tu a teraz?

Tu je praktický check-list, ktorý môžeš učiť aj menej technických ľudí:

Pozri sa na zdroj, nie len na kód
Je kartička profesionálne spracovaná? Je QR kód nalepený cez iný? Je plagát na podozrivom mieste (stĺp verejného osvetlenia, náhodná nálepka na dverách)? Ak niečo nesedí, nerieš, či je QR kód bezpečný – jednoducho ho neskenuj.
Kontroluj URL náhľad
Moderné telefóny zobrazujú pred otvorením náhľad adresy. Ak vidíš skrátené linky (bit.ly, tinyurl) alebo podozrivé domény (micr0soft-login.com, parkovanie-mesto-sk-payment.org), nič neotváraj.
Nevypĺňaj citlivé údaje po náhodnom skene
QR kód, ktorý ťa pošle na stránku pýtajúcu heslo do banky, Microsoft 365, e-mailu alebo číslo karty, je na 99 % podvod. Seriózne inštitúcie takto neprihlasujú používateľov z náhodných plagátov ani z nevyžiadaných e-mailov.
Používaj bezpečný QR skener
Niektoré bezpečnostné aplikácie vedia link z QR kódu overiť cez reputačné databázy ešte pred otvorením. Je to malý krok navyše, ktorý ti môže zachrániť účet.
Keď nevieš povedať „áno, je QR kód bezpečný“, neskenuj
Ak si nevieš dôveryhodne zdôvodniť, prečo by mal byť kód legitímny (oficiálna aplikácia, oficiálna webová adresa, komunikácia od banky, ktorú si sám inicioval), najrozumnejšie je neurobiť nič.

Tipy pre firmy: keď sa zamestnanci pýtajú, či je QR kód bezpečný

Vo firmách je problém ešte väčší: quishing cieli často na firemné účty, VPN a cloudové služby, najmä Microsoft 365. Útočníci posielajú e-maily, kde je namiesto linku QR kód na „zabezpečené prihlásenie“ alebo „overenie účtu“.

Čo môžeš spraviť ako admin alebo bezpečák:

Zahrň QR kódy do phishing školení – používatelia sú zvyknutí na falošné linky, ale nie na falošné QR.
Nastav politiku: „Na prihlasovanie do firemných služieb nikdy nepoužívame QR kód z e-mailu.“
Chráň mobily – MDM, antivírus, blokovanie inštalácie neznámych aplikácií, kontrola profilov.
Komunikuj jasne oficiálne kanály – kde a ako sa zamestnanci prihlasujú, ako vyzerajú legitímne notifikácie.

Aj vo firme teda nestačí len odpovedať, či je QR kód bezpečný – treba nastaviť pravidlá, kde sa QR kódy vôbec používajú a kde sú zakázané.

Záver: QR kódy nie sú zlo, len zrkadlo našej dôverčivosti

QR kód je len nástroj. Môže zrýchliť život, ale aj veľmi zrýchliť cestu k úniku dát a peňazí. Odpoveď na otázku „je QR kód bezpečný?“ teda nikdy nie je automatické „áno“.

Platí jednoduché pravidlo: