QR kód dnes najdete na jídelním lístku, na jízdence, na parkovacím automatu i v e-mailu od „banky“. Vypadá jako změť černých čtverečků, ale je to obyčejný zápis textu, který telefon přečte za zlomek vteřiny. Problém je v tom, že nikdo z nás nedokáže kód přečíst očima. Právě to využívají podvodníci. Tady je vysvětlení, co kód vlastně obsahuje, a jednoduchý postup, jak si před otevřením ověřit, kam vede.
Co je v QR kódu zakódované
QR kód vymyslel v roce 1994 Masahiro Hara s týmem ve firmě Denso Wave, která patří do skupiny Toyota. Původně sloužil ke sledování dílů a vozidel ve výrobě, kde klasický čárový kód nestačil.
Na rozdíl od čárového kódu, který nese jen řadu číslic, je QR kód dvourozměrný. Čte se ve vodorovném i svislém směru, a proto do něj vejde mnohem víc dat. Největší verze (číslo 40) pojme až 7 089 číslic nebo 2 953 bajtů běžných dat. V praxi se ale nejčastěji setkáte s krátkým obsahem:
- webová adresa (nejčastější případ),
- text nebo číslo, třeba údaje pro platbu,
- kontakt, údaje pro připojení k wifi nebo pozvánka do kalendáře.
Důležité je pochopit jednu věc: kód sám o sobě nic „nespouští“. Je to jen zápis. Nebezpečný může být až cíl, kam vás odkaz zavede, nebo akce, kterou telefon nabídne.
Proč se kód přečte i poškozený
V kódu je kromě samotných dat uložená i záloha ve formě opravných údajů. Používá se k tomu takzvané Reed-Solomonovo kódování, které dokáže chybějící část dopočítat. Na nejvyšší úrovni se podle dostupných popisů obnoví až 30 procent poškozených dat. Proto se kód přečte, i když je trochu otřepaný, zašpiněný nebo přelepený drobným logem.
Má to i odvrácenou stranu. Kód působí důvěryhodně a čtenáři neřekne nic o tom, kdo ho vytvořil. Vytisknout ho zvládne kdokoli a nálepka s ním se dá za pár vteřin přilepit přes ten původní.
Kde se dá QR kód použít bezpečně
Většina kódů je nevinná. Rozumný přístup není nedůvěra ke všemu, ale rozlišování podle situace:
| Situace | Riziko | Co udělat |
|---|---|---|
| Jídelní lístek v restauraci, kód stojí přímo na stole | Nižší | Zkontrolovat adresu, že sedí k podniku |
| Kód na letáku nebo plakátu ve veřejném prostoru | Střední | Zkontrolovat, zda není přelepený nálepkou |
| Kód na parkovacím automatu nebo nabíječce | Vyšší | Raději použít oficiální aplikaci provozovatele |
| Kód v e-mailu nebo SMS, který tlačí na rychlé jednání | Vysoké | Neskenovat, ověřit přímo u odesílatele |
Jak vypadá podvod s QR kódem
Podvodům přes QR kódy se říká quishing (spojení QR a phishing). Americký spotřebitelský úřad FTC popisuje dva typické scénáře.
Přelepený kód na automatu
Podvodník přilepí svůj kód přes ten pravý, například na parkovacím automatu. Řidič ho naskenuje, otevře se stránka, která vypadá jako platební brána, a zadá do ní údaje z karty. Peníze ale neputují za parkování, nýbrž k útočníkovi. Podobná nálepka může skončit kdekoli, kde se dá platit nebo se přihlašovat.
Kód v e-mailu nebo SMS
Druhý scénář: dorazí zpráva, že se nepodařilo doručit balík, že účet bude zablokován nebo že se u něj objevila podezřelá aktivita. Součástí je kód, který máte „rychle“ naskenovat. Vede na falešnou stránku, kde se prozradí přihlašovací údaje. Podle FTC může skenování v některých případech vést i k instalaci škodlivého softwaru. Kód v e-mailu navíc skrývá adresu: na první pohled nevidíte, kam vede, na rozdíl od textového odkazu, který si můžete prohlédnout. Jak se falešné zprávy pozná, čtěte také v článku o AI podvodech, klonovaném hlasu a falešných voláních z banky.
Společný znak obou scénářů je naléhavost. Kdo vás tlačí, abyste jednali okamžitě, dělá to záměrně, aby vám nezbyl čas na kontrolu.
Proč to funguje i na opatrné lidi
Podvodné kódy nepůsobí na neopatrné, ale na uspěchané. Řidič, který stojí u automatu a za ním čeká fronta, nemá chuť zkoumat nálepku. Člověk, kterému přišla zpráva o zablokovaném účtu, chce problém vyřešit hned. Nejlepší obranou proto není technická znalost, ale zvyk: udělat před každým neznámým kódem malou pauzu a přečíst si adresu. Trvá to pár vteřin a přesně tu pauzu podvodník chce odstranit.
Pomáhá i jednoduché pravidlo. Kód, který jste si sami nevyžádali a který vás k něčemu tlačí, je podezřelý, dokud se neprokáže opak. Kód, který stojí u služby, kterou právě chcete použít, je přijatelný, ale pořád stojí za kontrolu adresy. A kód, který vede k placení nebo zadávání hesla, si zaslouží největší opatrnost.
Postup kontroly v pěti krocích
- Prohlédněte si kód fyzicky. Je na automatu nebo plakátu nálepka přilepená přes jinou? Zvedá se jí okraj, je jinak lesklá, nebo jinak velká než okolní tisk? Zkuste ji nehtem opatrně nadzvednout.
- Naskenujte kód a zatím nic neotvírejte. Fotoaparát iPhonu po přečtení kódu zobrazí oznámení s odkazem, který se otevře až po klepnutí. U jiných telefonů a aplikací se postup liší, ale zásada je stejná: nejdřív si přečtěte adresu, teprve potom ji otevřete.
- Přečtěte si celou adresu, hlavně část před první lomítkem. Právě tam je skutečný web. FTC radí hledat překlepy a zaměněná písmena. Web, který se tváří jako platba za parkování, ale končí neznámou doménou, je varování.
- Ptejte se, jestli to dává smysl. Proč by kód na automatu měl vést na jinou firmu, než která je uvedená na automatu? Proč vám banka posílá kód místo odkazu na svou aplikaci?
- Když váháte, nepokračujte. Otevřete oficiální aplikaci nebo napište adresu ručně do prohlížeče. U zpráv o balíku či účtu kontaktujte společnost přes údaje, které znáte odjinud, ne ze zprávy.
Na co si dát pozor po naskenování
I když adresa vypadá dobře, dál platí několik pravidel:
- Nezadávejte heslo, číslo karty ani kód z SMS na stránce, kam jste se dostali z neznámého kódu.
- Neinstalujte aplikaci, kterou vám stránka nabídne přímo. Aplikace patří do oficiálního obchodu.
- Věnujte pozornost tomu, co telefon nabízí: připojení k wifi nebo přidání kontaktu neschvalujte, pokud jste o to nestáli.
- Mějte aktualizovaný systém telefonu a zapnuté dvoufázové přihlášení u důležitých účtů. FTC to doporučuje jako základní ochranu.
Přihlašování bez hesel, které se nedá tak snadno vylákat na falešné stránce, popisuje článek o přístupových klíčích (passkeys).
Co dělat, když už jste kód naskenovali
Samotné naskenování zpravidla škodu nezpůsobí, rozhoduje, co jste udělali dál. Pokud jste na stránce nic nezadali, zavřete ji a ničeho se nebojte. Pokud jste zadali přihlašovací údaje, změňte hned heslo u dané služby i všude, kde jste ho používali stejné. Pokud jste zadali údaje z platební karty, kontaktujte banku a nechte kartu zablokovat. U podezřelých plateb sledujte výpis účtu. Případ můžete nahlásit také Policii ČR.
Časté otázky
Může mi QR kód „nakazit“ telefon jen tím, že ho naskenuji?
Samotný zápis v kódu je jen text. Riziko vzniká, když otevřete odkaz nebo potvrdíte nabízenou akci, případně když je v telefonu neopravená chyba. FTC uvádí, že škodlivý software se může nainstalovat i po naskenování, proto je dobré držet systém aktualizovaný a odkazy neotvírat naslepo.
Je bezpečnější skenovat aplikací, nebo fotoaparátem?
Na iPhonu stačí vestavěný fotoaparát: ukáže odkaz a otevře ho až na vaše klepnutí, což je pro kontrolu ideální. Jinou aplikaci na skenování nepotřebujete a neznámé skenery raději neinstalujte.
Jak poznám, že je kód na automatu přelepený?
Hledejte nálepku s odlišným okrajem, bublinu pod ní nebo kód, který se liší od okolního potisku. Když si nejste jisti, zaplaťte jinak, třeba v oficiální aplikaci provozovatele nebo na jiném automatu.
Můžu si kód zkontrolovat, aniž bych ho otevřel?
Ano. Po naskenování si přečtěte adresu, která se zobrazí, a otevřete ji až po kontrole. Když adresa nedává smysl, kód ignorujte.
