Wchodzisz do biura. Na recepcji leży komunikat: „Nowe zasady parkowania. Zeskanuj kod QR, aby aktywować wjazd”. Skanowanie trwa sekundę. Otwiera się strona, która wygląda jak ekran logowania Microsoft 365. Wpisanie służbowego maila i hasła też trwa sekundę.
I właśnie w tej sekundzie dane do firmowej skrzynki mogą trafić do przestępcy.
To jest quishing, czyli phishing prowadzony przez kody QR. Kod może pojawić się na plakacie, w wiadomości e-mail, w stopce faktury, przy parkometrze albo nawet w komunikacie pozornie wysłanym przez dział IT. Trzeba zapamiętać jedną rzecz: kod QR to po prostu link w przebraniu.
Spis treści:
Jak działa quishing?
Klasyczny phishing zazwyczaj każe kliknąć link w wiadomości. Quishing wykorzystuje kod QR, który ukrywa prawdziwy adres strony aż do momentu skanowania. To daje atakującym przewagę, bo trudno od razu ocenić, dokąd prowadzi kod.
Po zeskanowaniu może pojawić się strona logowania do poczty, banku, panelu płatności albo firmowego systemu. Często wygląda perfekcyjnie: ma logo, właściwy układ, znane kolory i tekst bez błędów. Po wpisaniu danych strona może nawet przekierować na prawdziwy portal. Ofiara uznaje, że coś chwilowo nie zadziałało. Tymczasem login i hasło zostały już przejęte.
Fałszywa strona logowania może wyglądać niemal identycznie jak prawdziwy portal.
Dlaczego dzisiejszy phishing jest trudniejszy do rozpoznania?
Dawniej podejrzaną wiadomość często zdradzały literówki, dziwny styl albo toporny język. Dziś to za mało. Oszustwa są coraz lepiej przygotowane i coraz bardziej dopasowane do konkretnej firmy.
- Maile są poprawne językowo. Treść może być przygotowana z pomocą AI, więc błędy przestają być wiarygodnym sygnałem ostrzegawczym.
- Stosowane są skrócone linki. Adresy typu Bitly, TinyURL i krótkie domeny maskują właściwy cel przekierowania, a niektóre z nich znikają, zanim zostaną zablokowane.
- Ataki podszywają się pod faktury i korekty. Temat finansowy uruchamia presję: trzeba szybko sprawdzić dane, potwierdzić płatność lub pobrać dokument.
- AI ułatwia personalizację. Wiadomość może zawierać imię, stanowisko, nazwę firmy, działu, a nawet brzmieć podobnie do maili pisanych przez przełożonego.
Typowy scenariusz: korekta faktury i przejęcie skrzynki
Firma usługowa zatrudniająca około 80 osób otrzymuje wiadomość rzekomo od dostawcy. Temat brzmi: „Korekta faktury, pilne potwierdzenie danych do płatności”. W treści znajduje się uprzejma prośba o potwierdzenie danych po zeskanowaniu kodu QR, z terminem wyznaczonym na ten sam dzień.
Księgowa skanuje kod, trafia na stronę logowania i wpisuje dane. Strona odświeża się, po czym przekierowuje na prawdziwy portal Microsoft. Na pierwszy rzut oka wygląda to jak zwykły błąd techniczny.
W rzeczywistości przestępca ma już dostęp do skrzynki. Następnie może ustawić regułę przekierowującą maile dotyczące faktur do archiwum, tak aby nikt nie zauważył nowych wiadomości. Kolejny krok to kontakt z kontrahentami i wysłanie informacji o zmianie numeru rachunku do płatności.
Skutek? Strata dziesiątek tysięcy złotych i bałagan, którego nikt nie chce rozliczać w ostatni dzień składania PIT-u.
7 sygnałów ostrzegawczych quishingu
1. Presja czasu
„Dziś do 15:00”, „ostatnie ostrzeżenie”, „konto zostanie zablokowane za dwie godziny”. Pośpiech ma wyłączyć analizę i skłonić do automatycznego działania.
Co zrobić? Zatrzymać się. Jeśli sprawa jest naprawdę ważna, można ją potwierdzić innym kanałem.
Presja czasu ma wymusić szybkie działanie, zanim pojawi się chwila na weryfikację.
2. Kod QR w sprawie pieniędzy
Faktura, korekta, dopłata, zmiana rachunku, potwierdzenie danych płatności. Każdy kod QR dołączony do spraw finansowych powinien uruchomić czujność.
Co zrobić? Poprosić o fakturę PDF z używanego systemu albo z wcześniej ustalonego adresu. Zmianę numeru konta potwierdzić telefonicznie, dzwoniąc do znanej osoby pod numer zapisany w umowie, a nie pod numer wskazany w wiadomości.
3. Kod prowadzi do logowania
Komunikat „zeskanuj, aby zalogować się do panelu płatności” powinien być traktowany jak czerwona flaga.
Co zrobić? Nie logować się przez kod QR. Ręcznie wpisać znany adres strony w przeglądarce i zalogować się dopiero tam.
4. Skrócony link po zeskanowaniu
Jeżeli po skanowaniu pojawia się skrócony adres, nie należy przechodzić dalej. Krótkie linki ukrywają pełną domenę i utrudniają ocenę, kto rzeczywiście prowadzi stronę.
Co zrobić? Rozwinąć adres w przeglądarce i sprawdzić pełną nazwę domeny. Jeżeli nie jest dokładnie taka, jak powinna, stronę należy zamknąć.
5. Kod QR na plakacie, naklejce lub w przestrzeni publicznej
Parkometr, recepcja, tablica informacyjna, stanowisko płatności. Kod może zostać naklejony na prawdziwy komunikat lub podmieniony przez oszusta.
Co zrobić? Sprawdzić, czy kod nie wygląda na doklejony. Kod QR w przestrzeni publicznej warto traktować jako potencjalnie złośliwy, dopóki jego źródło nie zostanie potwierdzone. Oficjalne informacje firmowe powinny być dostępne na stronie internetowej lub w mailu z firmowej domeny.
6. Perfekcyjnie wyglądająca strona
Logo, układ, fonty i kolory można dziś skopiować bardzo łatwo. Fałszywa strona banku, Facebooka czy Microsoft 365 może wyglądać jak oryginał.
Co zrobić? Patrzeć na adres strony, a nie na logo. Domena musi zgadzać się w 100 procentach. Jedna różniąca się litera wystarczy, aby natychmiast zamknąć stronę.
7. Kod QR rzekomo od zarządu lub HR
„Pilna aktualizacja listy płac”. „Nowy regulamin premii, wymagane potwierdzenie do końca dnia”. To szczególnie groźne, bo działa tu autorytet, presja i wstyd przed zadaniem pytania.
Co zrobić? Wprowadzić prostą zasadę: sprawy HR i finansów zawsze potwierdza się drugim kanałem. Wystarczy telefon, wiadomość na Teamsie albo krótki kontakt z konkretną, znaną osobą.
Jak rozpoznać podejrzany mail z kodem QR?
Wróćmy do wiadomości o korekcie faktury. Taki mail może zawierać kilka sygnałów jednocześnie:
- presję czasu,
- kod QR zamiast faktury PDF,
- brak numeru faktury,
- prośbę o zalogowanie się,
- domenę nadawcy niemal identyczną z prawdziwą domeną dostawcy.
To nie jest po prostu „dziwny mail”. To jest sytuacja, dla której firma powinna mieć jasną procedurę działania.
Co zrobić po podejrzanym skanowaniu lub logowaniu?
Najważniejsze: nie próbować skanować tego kodu ponownie „dla pewności”. Trzeba działać spokojnie i według kolejności.
- Wykonać zrzut ekranu wiadomości lub zapisać jej treść.
- Zgłosić podejrzenie do IT albo osoby odpowiedzialnej za bezpieczeństwo.
- Jeżeli sprawa dotyczy przelewu, zadzwonić do kontrahenta na numer zapisany w umowie lub w zweryfikowanej bazie kontaktów.
- Jeśli doszło do logowania, natychmiast zmienić hasło i zgłosić incydent.
Szybkie zgłoszenie nie jest powodem do wstydu. Jest dokładnie tym, co może zatrzymać przejęcie skrzynki, fałszywe faktury i kolejne oszustwa wobec kontrahentów.
„Kod QR należy traktować dokładnie tak samo jak nieznany link. Problem w tym, że na telefonie widzimy mniej szczegółów i częściej działamy automatycznie. Jeśli kod prowadzi do logowania, płatności czy zmiany danych - zatrzymaj się i potwierdź żądanie inną drogą.”
Prosta zasada ochrony firmy przed quishingiem
Quishing będzie rósł, bo jest szybki, omija część filtrów pocztowych, wygląda nowocześnie i pozwala przestępcom wykorzystywać dopracowane wiadomości generowane z pomocą AI. Obrona nie musi jednak być skomplikowana.
- Nie logować się przez QR.
- Sprawdzać pełny adres strony.
- Weryfikować sprawy finansowe i HR drugim kanałem.
- Uczyć zespół, że QR jest linkiem w przebraniu.
- Ustalić procedurę na wypadek kliknięcia, skanowania lub wpisania danych.
Jedna krótka wiadomość do współpracownika, na przykład „Hej, też dostałeś taką prośbę?”, potrafi uratować firmę przed bardzo kosztownym incydentem.
FAQ - quishing i fałszywe kody QR
Czym jest quishing?
Quishing to odmiana phishingu wykorzystująca kod QR. Kod prowadzi do strony, która może wyłudzać loginy, hasła, dane płatnicze lub inne informacje firmowe.
Czy sam skan kodu QR jest niebezpieczny?
Skanowanie może przenieść na złośliwą stronę. Największe ryzyko pojawia się wtedy, gdy osoba wpisze tam hasło, dane firmowe albo potwierdzi płatność. Bezpieczniej jest nie otwierać nieznanych kodów i nie logować się przez QR.
Jak zweryfikować kod QR z faktury?
Należy poprosić o dokument PDF z ustalonego wcześniej systemu lub adresu e-mail. Każdą zmianę rachunku bankowego trzeba potwierdzić telefonicznie z kontrahentem pod znanym numerem kontaktowym.
Co zrobić, jeśli hasło zostało wpisane na stronie z kodu QR?
Hasło trzeba natychmiast zmienić i od razu zgłosić incydent do działu IT lub osoby odpowiedzialnej za bezpieczeństwo. Szybka reakcja pozwala ograniczyć skutki przejęcia konta.
Dlaczego fałszywa strona logowania może wyglądać wiarygodnie?
Przestępcy potrafią skopiować logo, układ strony i treść prawdziwych serwisów. Dlatego o wiarygodności nie decyduje wygląd strony, lecz dokładny adres domeny.
