QR kódy se staly běžnou součástí placení, faktur, jídelních lístků i reklamních letáků. Právě jejich jednoduchost ale využívají také podvodníci. Pomocí takzvaného quishingu mohou člověka přesměrovat na falešnou platební bránu nebo napodobeninu bankovnictví a pokusit se z něj vylákat citlivé údaje.
Stačí namířit fotoaparát telefonu, klepnout na oznámení a pokračovat. QR kódy nám usnadňují placení i přístup k informacím, zároveň však skrývají jeden důležitý detail: na první pohled nevidíme, kam nás skutečně zavedou.
Právě na tom staví quishing, tedy phishing využívající QR kódy. Podvodný kód může uživatele přesměrovat na stránku, která napodobuje banku, platební bránu, přepravní společnost, úřad nebo jinou známou službu. Jejím cílem bývá získat přihlašovací údaje, informace z platební karty nebo přimět člověka k potvrzení platby.
„QR kód v nás často vzbuzuje větší důvěru než běžný odkaz, přitom z bezpečnostního pohledu mezi nimi není zásadní rozdíl. V obou případech je důležité ověřit, na jakou adresu se člověk dostal, a teprve potom cokoli zadávat nebo potvrzovat," říká Aleš Černý, vedoucí oddělení Řízení retailových rizik.
Samotný QR kód podvod neprozradí
Podvodný e-mail nebo SMS mohou někdy odhalit gramatické chyby, zvláštní adresa odesílatele či podezřele vypadající odkaz. U QR kódu je cílová adresa ukrytá v obrazci a uživatel ji uvidí až po naskenování. Na mobilním telefonu navíc bývá zobrazena jen její část.
Před otevřením odkazu je proto vhodné zkontrolovat náhled cílové adresy. Pozornost si zaslouží překlepy, neobvyklé koncovky domén, nadbytečná slova nebo adresa, která se pouze snaží připomínat web známé instituce. Ani symbol zámečku a připojení přes HTTPS samy o sobě nezaručují, že je stránka důvěryhodná.
Pokud má člověk po naskenování kódu zadat přihlašovací údaje do bankovnictví, číslo karty, bezpečnostní kód nebo osobní údaje, měl by zpozornět. Bezpečnější je stránku zavřít a požadovanou službu otevřít přímo v oficiální aplikaci nebo ručním zadáním známé internetové adresy.
Pozor na přelepené kódy na veřejných místech
Zvýšenou obezřetnost si zaslouží QR kódy umístěné na veřejně přístupných místech - například na parkovacích automatech, plakátech, jídelních lístcích, nabíjecích stanicích nebo informačních tabulích. Podvodník může původní kód jednoduše překrýt vlastní samolepkou.
„U QR kódu na veřejném místě doporučuji zkontrolovat nejen adresu, ale také samotnou nálepku. Pokud kód vypadá dodatečně nalepený, je poškozený nebo překrývá jiný obrazec, raději ho nepoužívejte. U platby za parkování či jinou službu je bezpečnější využít oficiální aplikaci provozovatele," radí Aleš Černý.
Podobná opatrnost je namístě u QR kódů na nevyžádaných letácích, v e-mailech či dopisech. Varovným signálem bývá zejména tlak na rychlé jednání - například hrozba pokuty, zablokování účtu, propadnutí zásilky nebo příslib vrácení peněz.
Falešný QR kód se může objevit i na faktuře
Specifické riziko představují platební QR kódy na fakturách. Ty mohou obsahovat předvyplněné číslo účtu, částku i další platební údaje. Pokud útočník fakturu pozmění nebo nahradí původní QR kód, peníze mohou odejít na jiný účet.
Před potvrzením platby je proto potřeba zkontrolovat údaje, které bankovní aplikace z QR kódu načetla - zejména číslo účtu příjemce, částku a případně variabilní symbol. Zvýšená pozornost je namístě, pokud dodavatel údajně změnil bankovní účet nebo pokud faktura přichází z jiné adresy než obvykle. Změnu je vhodné ověřit u známého kontaktu, nikoli prostřednictvím telefonního čísla nebo e-mailu uvedeného pouze v podezřelé zprávě.
„QR kód sice platbu urychlí, ale kontrolu před jejím potvrzením by nahradit neměl. Bankovní aplikace vždy ukáže, komu a kolik posíláme. Je dobré těch několik sekund využít a údaje si opravdu přečíst," doplňuje Aleš Černý.
Co dělat, když už člověk údaje zadal
Samotné otevření podvodné stránky ještě nemusí znamenat finanční ztrátu. Pokud ale uživatel zadal přístupové údaje do bankovnictví, informace z platební karty nebo potvrdil požadavek v bankovní aplikaci, je důležité jednat okamžitě.
Měl by co nejrychleji kontaktovat svou banku prostřednictvím oficiálního telefonního čísla nebo aplikace, kartu dočasně zablokovat a řídit se pokyny banky. Pokud stejné heslo používá i u dalších služeb, měl by ho změnit také tam. Podezřelou stránku či zprávu je vhodné uchovat, například pomocí snímku obrazovky, a případ oznámit Policii ČR.
Základní pravidlo je přitom jednoduché: s QR kódem zacházet stejně obezřetně jako s jakýmkoli jiným odkazem. Nejdříve ověřit, kam vede, a až potom klikat, vyplňovat údaje nebo potvrzovat platbu.
Zdroj: Air Bank