Fałszywe kody QR (quishing) - jak rozpoznać i się chronić

Aktualizacja: 19 października 2026 · 5 min czytania

Oszuści coraz częściej używają kodów QR zamiast zwykłych linków - bo kodu nie da się „przeczytać” wzrokiem. Ten rodzaj wyłudzenia nazywa się quishing (QR + phishing). Wyjaśniamy, jak działa, gdzie najczęściej się pojawia i jak się przed nim chronić.

Jak działa oszustwo na kod QR

Kod prowadzi na stronę, która wygląda jak prawdziwa: płatność za parking, bank, firma kurierska, urząd. Ofiara wpisuje dane karty, login do banku albo kod BLIK - i trafiają one prosto do oszusta.

Naklejki na parkomatach i ładowarkach - fałszywy kod naklejony na prawdziwy.
Fałszywe „wezwania do zapłaty” za wycieraczką - np. rzekomy mandat z kodem do opłacenia.
Maile z kodem QR - „zeskanuj, żeby potwierdzić konto” (kod w obrazku omija filtry antyspamowe).
Ogłoszenia sprzedażowe - „zeskanuj, żeby odebrać pieniądze”.

Jak rozpoznać fałszywy kod

Kod na naklejce naklejonej na oficjalną tablicę lub urządzenie - zawsze podejrzane.
Adres nie pasuje do firmy - telefon pokazuje go przed otwarciem. Literówki, dziwne końcówki, dodatkowe słowa w domenie.
Pośpiech i strach - „opłać w 24 godziny”, „konto zostanie zablokowane”.
Prośba o dane, które nie są potrzebne - pełne dane karty do „weryfikacji”, login do banku, kod BLIK „do odebrania” przelewu.

Kod BLIK służy wyłącznie do płacenia i wypłacania. Nikt nie potrzebuje Twojego kodu BLIK, żeby Ci zapłacić.

Jak się chronić

Przed otwarciem przeczytaj adres, który pokazuje telefon.
Płać przez oficjalną aplikację (parkingową, bankową) zamiast kodu z naklejki.
Na stronie otwartej z kodu nie loguj się do banku - wejdź do aplikacji banku samodzielnie.
Kod z maila, który każe „potwierdzić konto”, zignoruj - zaloguj się na stronie firmy, wpisując adres ręcznie.

Dałeś się nabrać? Działaj od razu

Zadzwoń do banku i zablokuj kartę lub dostęp - numer jest na odwrocie karty i w aplikacji.
Zmień hasło, jeśli wpisałeś je na podejrzanej stronie.
Zgłoś stronę do CERT Polska przez formularz na incydent.cert.pl - to pomoże zablokować ją dla innych.
Zgłoś sprawę na policję, jeśli straciłeś pieniądze.

Jeśli sam drukujesz kody QR

Zadbaj, żeby klienci ufali Twoim kodom: dopisz pod kodem krótki adres (np. zlik.pl/menu), drukuj kod jako część plakatu, a nie osobną naklejkę, i co jakiś czas sprawdzaj, czy nikt nie nakleił na niego innego kodu. Krótki link z własną domeną (np. link.twojafirma.pl) dodatkowo pokazuje, że kod jest Twój.

Najczęstsze pytania

Czy samo zeskanowanie fałszywego kodu jest groźne?

Zwykle nie - niebezpieczne jest dopiero wpisanie danych na otwartej stronie. Mimo to nie otwieraj podejrzanych adresów.

Co to jest quishing?

Wyłudzanie danych przez kod QR - połączenie słów QR i phishing. Kod prowadzi na fałszywą stronę podszywającą się pod bank, parking czy kuriera.

Gdzie zgłosić fałszywy kod QR?

Stronę możesz zgłosić do CERT Polska (incydent.cert.pl). Fałszywą naklejkę na parkomacie warto zgłosić też zarządcy parkingu.