Jak działa kod QR i jak rozpoznać fałszywy link

Kod QR to zaszyfrowany w czarno-białym wzorze ciąg znaków, najczęściej adres internetowy, który telefon odczytuje w ułamek sekundy. Wygoda ma jednak drugą stronę: nie widzimy, dokąd kod prowadzi, zanim go zeskanujemy. Wyjaśniamy, jak to działa i jak sprawdzić kod, zanim otworzysz podejrzaną stronę.

Jak działa kod QR

Kod QR to rodzaj kodu kreskowego zapisanego w dwóch wymiarach, dzięki czemu mieści więcej informacji niż tradycyjne paski. Kwadratowy wzór składa się z małych jasnych i ciemnych modułów, które odpowiadają zerom i jedynkom. Aparat telefonu rozpoznaje ten układ i zamienia go z powrotem na tekst.

W kodzie można zapisać różne dane, na przykład:

• adres strony internetowej,
• dane do logowania do sieci Wi-Fi,
• numer telefonu lub treść wiadomości,
• wizytówkę z danymi kontaktowymi,
• dane do płatności.

Trzy duże kwadraty w rogach pomagają urządzeniu ustalić położenie i obrót kodu, dlatego można go zeskanować pod różnym kątem. Kod zawiera też nadmiarowe informacje korygujące błędy, więc zwykle działa nawet wtedy, gdy jest lekko zabrudzony lub uszkodzony. Warto pamiętać, że sam kod nie jest ani bezpieczny, ani niebezpieczny. To tylko nośnik, a o ryzyku decyduje to, co jest w nim zapisane.

Jak oszuści wykorzystują kody QR

Przestępcy liczą na to, że skanujemy kody odruchowo. Najczęstsze schematy są dość proste:

• Naklejka na naklejce. Fałszywy kod zostaje przyklejony na prawdziwy, na przykład na plakacie, w miejscu publicznym lub przy automacie płatniczym.
• Kod w wiadomości. E-mail, SMS lub ulotka podszywa się pod bank, kuriera albo urząd i prosi o „weryfikację” czy „dopłatę”.
• Fałszywa strona logowania. Po zeskanowaniu trafiasz na witrynę łudząco podobną do prawdziwej, która wyłudza hasła lub dane karty.
• Pobranie aplikacji. Kod prowadzi do instalacji programu spoza oficjalnego sklepu, który może wykradać dane.

Wspólny mianownik to presja czasu i emocje: „konto zostanie zablokowane”, „paczka czeka”, „ostatnia szansa”. Takie sformułowania powinny wzbudzić czujność.

Jak sprawdzić kod przed otwarciem strony

Dobra wiadomość jest taka, że większość aplikacji aparatu pokazuje adres, zanim go otworzysz. Wykorzystaj ten moment.

1. Przeczytaj cały adres. Nie klikaj od razu w podgląd. Sprawdź, czy nazwa domeny zgadza się z tym, czego oczekujesz.
2. Szukaj literówek i dziwnych dodatków. Oszuści stosują zamienione litery, dodatkowe myślniki albo długie ciągi znaków, które mają ukryć prawdziwą domenę.
3. Zwróć uwagę na skrócone linki. Adres z serwisu skracającego nie mówi, dokąd prowadzi. Jeśli kod nie pochodzi z zaufanego źródła, lepiej go nie otwierać.
4. Sprawdź, czy połączenie jest szyfrowane. Adres zaczynający się od „https” to minimum, ale nie gwarancja uczciwości, bo taki certyfikat mogą mieć także fałszywe strony.
5. Obejrzyj fizyczny kod. Jeśli widać, że naklejka jest nierówna, odklejona lub położona na innej, nie skanuj jej.

Gdy masz wątpliwości

Zamiast korzystać z kodu, wpisz adres usługi ręcznie w przeglądarce albo otwórz oficjalną aplikację. Dotyczy to zwłaszcza banków, urzędów i firm kurierskich. Jeśli wiadomość wygląda na pilną, skontaktuj się z nadawcą innym kanałem, korzystając z numeru lub adresu, który znasz z oficjalnych materiałów.

Dobre nawyki na co dzień

Kilka prostych zasad znacznie ogranicza ryzyko:

• skanuj kody tylko z miejsc i od nadawców, którym ufasz,
• nie podawaj haseł, kodów z SMS ani danych karty na stronie, na którą trafiłeś przez przypadkowy kod,
• przy płatnościach sprawdź na ekranie telefonu kwotę i odbiorcę, zanim cokolwiek zatwierdzisz,
• instaluj aplikacje wyłącznie z oficjalnych sklepów,
• aktualizuj system i przeglądarkę, bo poprawki często łatają znane luki,
• włącz uwierzytelnianie dwuskładnikowe tam, gdzie to możliwe.

Co zrobić, gdy już zeskanowałeś podejrzany kod

Jeśli strona poprosiła o dane i je wpisałeś, działaj szybko. Zmień hasło do danej usługi, a jeśli używasz go gdzie indziej, także w innych miejscach. Gdy podałeś dane karty lub zatwierdziłeś płatność, skontaktuj się z bankiem i zapytaj o możliwość zablokowania karty oraz zgłoszenia nieautoryzowanej transakcji. Zasady i terminy reklamacji bywają różne, dlatego sprawdź aktualne informacje u swojego dostawcy usług. W razie podejrzenia oszustwa warto też zgłosić sprawę policji lub właściwej instytucji zajmującej się cyberbezpieczeństwem.

Jeśli po zeskanowaniu kodu pobrał się jakiś plik lub aplikacja, nie uruchamiaj go. Usuń go i, jeśli to możliwe, przeskanuj urządzenie programem zabezpieczającym.

Kod QR sam w sobie nie jest zagrożeniem. Wystarczy chwila uwagi, by przed otwarciem sprawdzić adres i zastanowić się, skąd kod pochodzi i czy naprawdę musimy z niego skorzystać.