Technika naklejki
Metoda jest rozbrajająco prosta. Przestępca wchodzi do restauracji, wypatruje stojaków z kodami QR na stolikach lub przy wejściu i przykleja na nie świeżo wydrukowaną naklejkę: z własnym kodem QR. Cała operacja zajmuje mniej niż trzydzieści sekund na stolik.
Fałszywa strona, która się otwiera, to niemal idealna kopia strony zamówień lub płatności: właściwe logo, właściwe barwy marki, czasem nawet nazwa restauracji. Klient, przekonany, że przegląda dzisiejsze menu, wpisuje dane swojej karty bankowej na oszukańczej witrynie.
Ta technika nie dotyczy tylko restauracji: Cybermalveillance.gouv.fr, francuska rządowa platforma pomocy ofiarom cyberprzestępczości, ostrzega także przed fałszywymi kodami QR naklejanymi na parkomaty i stacje ładowania samochodów elektrycznych.
Restauracje przechodzące na cyfrowe menu bez fizycznego zabezpieczenia (grawerowane kody QR, zamykane uchwyty) są głównym celem. Najbardziej narażone są małe lokale, które samodzielnie drukują swoje stojaki na zwykłym papierze.
Jak to rozpoznać
Przed zeskanowaniem obejrzyj kod QR z bliska. Fałszywe naklejki są często lekko przesunięte, z krawędziami zachodzącymi na siebie albo jakością druku odbiegającą od reszty materiałów restauracji.
Używaj czytnika kodów QR, który pokazuje pełny adres URL przed otwarciem linku. Natywna aplikacja Aparat w iOS oraz wbudowane czytniki Androida na ogół wyświetlają adres URL, poświęć chwilę, by go przeczytać. Napastnicy stosują typosquatting: „carte-restaurant-lyon.com” zamiast oficjalnej strony lokalu.
Zachowaj szczególną ostrożność, jeśli otwierająca się strona prosi o dane karty bankowej tylko po to, by wyświetlić menu. Żadna prawdziwa restauracja nie ukrywa dostępu do menu za płatnością.
W razie wątpliwości poproś pracownika, by pokazał ci kartę menu albo kod QR wyświetlany w jego panelu administracyjnym: a nie ten ze stojaka na stoliku.
Co robi Trasimène
Trasimène ma wbudowany skaner kodów QR. Każdy link odczytany przez ten skaner jest sprawdzany przez nasze serwery, zanim się otworzy: na listach stron phishingowych i złośliwego oprogramowania prowadzonych przez Trasimène, w Google Safe Browsing oraz pod kątem docelowego adresu ewentualnych przekierowań.
Jeśli link zostanie rozpoznany jako niebezpieczny, nie otworzy się: pojawi się ostrzeżenie, a to Ty decydujesz, czy mimo to go otworzyć. Data rejestracji domeny, jeśli jest znana, jest wyświetlana, aby pomóc Ci w ocenie, ale nie wpływa na werdykt.
Ta kontrola odbywa się w skanerze aplikacji: otwórz go, zanim skierujesz aparat na kod QR. Kod QR odczytany aparatem telefonu nie jest sprawdzany. Jeśli włączony jest opcjonalny VPN Trasimène, rozpoznaje on po fakcie wizytę na stronie, która jest już na naszych listach, i informuje Cię o niej w aplikacji. Sam nie blokuje strony: znane sobie złośliwe domeny odrzuca ze swojej strony jedynie Quad9, szwajcarska usługa, której VPN powierza tłumaczenie nazw.
Czujność wciąż pozostaje pierwszą linią obrony. Krótkie spojrzenie przed zeskanowaniem, przeczytanie adresu URL zanim cokolwiek wpiszesz, jedno pytanie w razie wątpliwości: te proste nawyki wystarczą, by udaremnić zdecydowaną większość ataków z użyciem kodów QR. A z odpowiednią aplikacją zabezpieczającą nie ma powodu, by ich nie zautomatyzować.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Chroń się przed phishingiem z kodów QR