QR kód na parkovacím automatu slibuje rychlou platbu. Kód na plakátu vás má dovést k dalším informacím. V obou případech stačí vytáhnout telefon a namířit fotoaparát. Jenže z černobílých čtverečků nepoznáte, jestli vás čeká web města, přihlášení do skutečné služby, nebo stránka připravená podvodníkem.
Právě na to upozorňuje Neskenuj.me, osvětový projekt našeho kolegy z BOITu. Ukazuje skutečné příklady podvodů s QR kódy a na vašem vlastním zařízení předvádí, jaké technické údaje může web zjistit, když jej otevřete. Co z toho plyne pro každodenní používání QR kódů?
Co je quishing a jak funguje?
Quishing je phishing, při kterém útočník používá QR kód jako cestu k podvodu. Místo odkazu v e-mailu vás kód může poslat na falešný web banky, parkovací služby nebo firemního přihlášení. Jindy v sobě nese platební údaje, které nasměrují peníze na účet podvodníka.
Samotný QR kód je jen způsob zápisu informace. Nebezpečný je cíl, který za něj někdo schová, a to, co po naskenování uděláme. Útočník může svůj kód nalepit přes původní, vložit ho do letáku nebo jím nahradit kód ve sdíleném obrázku. Protože jsme u automatu, na akci nebo při placení zvyklí jednat rychle, snáz uvěříme i stránce, kterou bychom v podezřelém e-mailu ignorovali.
Dva různé podvody pod stejným čtverečkem
QR kód s odkazem: Otevře podvodnou stránku. Ta může napodobovat známou službu a chtít číslo karty, heslo nebo přihlašovací údaje. Samotné otevření stránky obvykle ještě neznamená, že jste útočníkovi dali heslo nebo peníze. Rozhodující bývá další krok: vyplnění údajů, potvrzení platby nebo stažení a spuštění souboru.
Platební QR kód: Předvyplní platbu v bankovní aplikaci. Žádný falešný web se otevřít nemusí. Pokud si před potvrzením nezkontrolujete příjemce a částku, můžete peníze odeslat jinam, než jste chtěli.
Co ukazuje Neskenuj.me?
Stránka má jednoduchý nápad: místo pouhého varování vám předvede situaci na vašem zařízení. Po otevření zobrazí technické informace dostupné webu a vysvětlí, proč je může provozovatel stránky vidět. Najdete na ní také příklady quishingu, návštěvnické statistiky a vysvětlení takzvaného fingerprintu, tedy otisku prohlížeče a zařízení. Projekt podle vlastního popisu nepoužívá cookies ani sledovací nástroje třetích stran.
Co web zjistí při návštěvě a co až pomocí prohlížeče?
Už při načtení stránky dostane její server informace potřebné ke spojení, například IP adresu a údaje z požadavku prohlížeče. Z IP adresy lze odhadnout poskytovatele připojení a přibližnou oblast. Není to přesná poloha telefonu.
Další údaje může stránka získat pomocí kódu spuštěného v prohlížeči: například rozlišení displeje, jazyk, časové pásmo nebo některé parametry zařízení. Neskenuj.me tyto informace názorně vypisuje. Jejich kombinací může vzniknout fingerprint, podle kterého lze za určitých okolností poznat, že se podobně nastavený prohlížeč vrátil. Není to vaše jméno ani spolehlivý občanský průkaz zařízení; výsledek se může změnit třeba s prohlížečem nebo jeho nastavením.
Přesné rozlišení je důležité: údaje nejsou uložené v QR kódu a samotné namíření fotoaparátu je webu neodešle. Web je získává až tehdy, když otevřete odkaz, který v kódu je. U platebního QR kódu, který jen předvyplní příkaz v bankovní aplikaci, tento krok nemusí nastat vůbec.
K čemu by tyto informace mohl využít útočník?
IP adresa a parametry prohlížeče samy o sobě útočníkovi běžně nedají přístup k účtu. Mohou mu ale pomoci vyhodnotit návštěvu a upravit podvod. Vidí například, jestli lidé na jeho QR kód chodí, zda přicházejí převážně z mobilů a jaký jazyk či typ zařízení používají. Podle toho může upravit podobu falešné stránky nebo poznat opakované návštěvy. Pokud kód připraví zvlášť pro konkrétní místo či skupinu lidí, může návštěvu spojit i s tímto kontextem.
Největší škoda obvykle vzniká až v dalším kroku. Člověk na falešném webu zadá údaje ke kartě, přihlašovací údaje nebo potvrdí platbu. Technické údaje pomáhají podvod zacílit; přístup k penězům nebo účtu útočník typicky získá tím, co na stránce uděláme my.
Dva případy z Česka: parkovné a pomoc po tornádu
Praha: falešné QR kódy na parkovacích automatech
V listopadu 2024 upozornila pražská Technická správa komunikací na růžové samolepky s logem EasyPark a falešnými QR kódy na některých parkovacích automatech. Kódy vedly na podvodné weby, kde lidé mohli odevzdat citlivé údaje v domnění, že platí za parkování. Správce parkování nalezené samolepky odstranil a vyzval řidiče, aby si před platbou ověřovali adresu stránky. To je typický quishing: útočník využije důvěryhodné místo a napodobí službu, kterou tam člověk očekává. Zdroj: Parking Praha.
Jižní Morava: pozměněný kód u sbírky po tornádu
Po tornádu v roce 2021 se objevil pozměněný QR kód u sbírky Diecézní charity Brno. Podvodník zkopíroval grafiku sbírky, ale vložil do ní kód s jiným bankovním účtem. Policie podezřelého zadržela a obvinila z pokusu o podvod. Tady nešlo o falešnou přihlašovací stránku: rizikem bylo odeslání příspěvku na nesprávný účet. Případ popisuje také Neskenuj.me, kde jsou uvedené původní zdroje.
Oba příklady mají společný trik. QR kód si půjčí důvěryhodnost prostředí kolem sebe: parkovacího automatu nebo známé charitativní sbírky. Obojí přitom může napodobit někdo, kdo s původní službou nemá nic společného.
Jak používat QR kódy bezpečněji?
- Před otevřením odkazu si přečtěte celou adresu. Sledujte hlavně doménu, tedy skutečný název webu před prvním lomítkem. Logo a hezký vzhled stránky nejsou důkazem, že patří správné organizaci.
- Prohlédněte místo, kde je kód umístěný. Přelepená samolepka, jiný tisk nebo kód nalepený přes původní jsou důvodem zbystřit. Samolepka sama o sobě podvod nedokazuje, ale zaslouží si kontrolu.
- Při platbě nebo přihlašování otevřete službu vlastní cestou. Bankovní aplikaci, web parkování nebo stránku organizace vyhledejte samostatně, zvlášť pokud si nejste jistí adresou z QR kódu.
- V bankovní aplikaci zkontrolujte údaje před potvrzením. U platebního kódu věnujte pozornost příjemci, číslu účtu a částce. Banka nepozná, komu jste peníze původně zamýšleli poslat.
- Pokud jste něco zadali na podezřelé stránce, jednejte hned. U platební karty nebo převodu kontaktujte banku. U hesla ho změňte přes skutečný web služby, zkontrolujte aktivní přihlášení a zapněte vícefaktorové ověření, pokud je k dispozici.
Smyslem není bát se každého QR kódu. Stačí si ponechat stejnou obezřetnost, jakou byste měli u odkazu v e-mailu. Nástroj Neskenuj.me je dobrý způsob, jak si tento návyk názorně osvojit.
Ve firmě se podobné podvody snadno přenesou z veřejného prostoru do každodenní práce: QR kód může být na faktuře, v pozvánce nebo v materiálech k akci. Na našich školeních kybernetické bezpečnosti proto s lidmi trénujeme rozpoznávání phishingu a sociálního inženýrství na konkrétních situacích. Cílem je, aby věděli, co zkontrolovat dřív, než odešlou údaje nebo peníze.
Zpět na všechny články