Kod QR na plakacie.

Kod QR w restauracji.

Kod QR na parkomacie.

Kod QR w wiadomości e-mail.

Kod QR w dokumencie PDF.

Kod QR służący do „potwierdzenia konta”.

Skanujemy je niemal automatycznie.

Wyciągamy telefon, uruchamiamy aparat i po chwili jesteśmy na stronie internetowej.

Bez przepisywania adresu. Bez zastanawiania się. Bez sprawdzania, dokąd właściwie prowadzi kod.

I właśnie tę wygodę wykorzystują cyberprzestępcy.

Quishing, czyli phishing wykorzystujący kody QR, staje się coraz częściej wykorzystywanym sposobem nakłaniania użytkowników do wejścia na fałszywe strony, przekazania danych logowania lub wykonania innych niebezpiecznych czynności.

Microsoft definiuje QR code phishing właśnie jako ataki, w których kod QR umieszczony w wiadomości, obrazie lub dokumencie prowadzi użytkownika do strony wyłudzającej dane. Co istotne, interakcja często przenosi się z komputera na telefon, gdzie adres docelowy może być trudniejszy do dokładnego sprawdzenia.

📱 Czym jest quishing?

Nazwa pochodzi od połączenia:

QR code + phishing = quishing.

Mechanizm może wyglądać bardzo niewinnie.

Otrzymujesz wiadomość:

„Twoje hasło wygasa dzisiaj.
Zeskanuj kod QR, aby zachować dostęp do konta.”

Albo:

„Nowy dokument HR jest dostępny.
Zeskanuj kod, aby się z nim zapoznać.”

Na ekranie nie ma podejrzanego linku.

Jest tylko znajomy czarno-biały kwadrat.

Skanujesz go telefonem.

Kod prowadzi do strony wyglądającej niemal identycznie jak Microsoft 365.

Podajesz:

login

i:

hasło.

Strona wyświetla błąd.

Próbujesz ponownie.

Nic się nie dzieje.

Zamykasz stronę.

Tymczasem cyberprzestępca właśnie otrzymał Twoje dane logowania.

🇵🇱 To nie jest teoretyczny scenariusz

W maju 2026 roku CERT Polska opisywał kampanię skierowaną do pracowników firm i organizacji.

Cyberprzestępcy podszywali się pod zespoły HR i informowali o rzekomej aktualizacji zasad lub nowych dokumentach, z którymi pracownik powinien się zapoznać.

W wiadomości znajdował się kod QR prowadzący do „firmowego systemu”.

Po zeskanowaniu użytkownik trafiał na stronę przypominającą portal Microsoft 365, gdzie był zachęcany do podania hasła. Dane trafiały następnie do przestępców.

To bardzo dobry przykład tego, jak współczesny quishing może wyglądać w środowisku firmowym.

Nie:

„Wygrałeś milion złotych!”

ale:

„Zaktualizowane zasady HR – 2026.”

Zwykła wiadomość.

Zwykły obowiązek pracownika.

Zwykły kod QR.

I właśnie dlatego może być skuteczna.

📈 Quishing staje się coraz bardziej widoczny w kampaniach phishingowych

Według Microsoft Security w pierwszym kwartale 2026 roku liczba wykrywanych wiadomości phishingowych wykorzystujących kody QR wzrosła z około 7,6 mln w styczniu do 18,7 mln w marcu, czyli o 146% w ciągu kwartału.

Najczęstszym sposobem dostarczania kodów były załączniki PDF. W marcu 2026 roku rosła również liczba kodów QR umieszczanych bezpośrednio w treści wiadomości e-mail.

To pokazuje ważną rzecz:

kod QR nie jest już tylko wygodnym sposobem otwierania menu w restauracji.

Może być również elementem dobrze przygotowanego ataku.

🧠 Dlaczego kod QR może uśpić naszą czujność?

Gdy otrzymujemy klasyczny phishing zawierający link:

https://jakas-podejrzana-domena.example

możemy zauważyć, że coś wygląda dziwnie.

W przypadku kodu QR adres strony jest ukryty wewnątrz obrazu.

Na pierwszy rzut oka użytkownik widzi tylko:

▦

Nie wie:

• jaka domena znajduje się za kodem,
• czy nastąpi przekierowanie,
• czy strona należy do prawdziwej organizacji,
• czy link prowadzi do logowania,
• czy zostanie uruchomione pobieranie pliku.

Kod QR wizualnie nie mówi nam praktycznie nic o swoim celu.

I dlatego można traktować go dokładnie tak, jak link:

nie skanuj kodu, któremu nie zaufałbyś jako zwykłemu adresowi URL.

Microsoft również rekomenduje myślenie o kodach QR jak o linkach internetowych.

📧 Dlaczego cyberprzestępcy umieszczają QR w e-mailach?

Wyobraź sobie zwykły phishing.

Wiadomość zawiera link.

System bezpieczeństwa poczty może analizować:

• domenę,
• reputację adresu,
• strukturę URL,
• przekierowania,
• znane strony phishingowe.

Co jeśli adres zostanie ukryty w obrazie?

Właśnie między innymi dlatego kody QR zaczęły być wykorzystywane do obchodzenia części mechanizmów zaprojektowanych pierwotnie z myślą o klasycznych linkach tekstowych.

Microsoft wskazuje, że atakujący wykorzystują kody osadzone w obrazach i załącznikach, a następnie próbują przenieść użytkownika z chronionego środowiska poczty na urządzenie mobilne.

Schemat może wyglądać tak:

komputer służbowy

⬇️

wiadomość e-mail

⬇️

kod QR

⬇️

prywatny telefon

⬇️

fałszywa strona logowania

W ten sposób użytkownik sam przenosi atak na drugie urządzenie.

🔐 „Zeskanuj, aby ponownie aktywować MFA”

Jednym ze scenariuszy może być podszywanie się pod procesy związane z uwierzytelnianiem.

Wiadomość informuje:

„Twoja konfiguracja MFA wygasa.”

lub:

„Wymagana jest ponowna rejestracja urządzenia.”

Następnie:

„Zeskanuj kod QR.”

Dla pracownika taki komunikat może wyglądać logicznie.

Przecież podczas prawdziwej konfiguracji aplikacji uwierzytelniających również korzysta się z kodów QR.

I właśnie dlatego należy zwracać szczególną uwagę na kontekst.

Czy sam rozpocząłeś konfigurację MFA?

Czy administrator zapowiadał zmianę?

Czy firma rzeczywiście stosuje taki proces?

Jeżeli nie – nie skanuj kodu tylko dlatego, że wiadomość wygląda profesjonalnie.

📄 „Dokument oczekuje na podpis”

Inny scenariusz:

„Otrzymałeś dokument wymagający podpisu.”

Poniżej logo znanej usługi.

Kod QR.

Komunikat:

„Zeskanuj, aby zobaczyć dokument.”

Użytkownik może pomyśleć:

„Pewnie ktoś wysłał mi umowę.”

Skanuje.

Pojawia się logowanie do Microsoft 365.

A skoro dokument jest „firmowy”, podanie służbowego loginu i hasła wydaje się czymś normalnym.

Problem polega na tym, że strona może nie mieć nic wspólnego z Microsoftem.

👔 „Nowy dokument HR”

Ten scenariusz zasługuje na szczególną uwagę, ponieważ bazuje na czymś bardzo zwyczajnym.

Cyberprzestępcy mogą podszyć się pod:

• HR,
• księgowość,
• dział IT,
• administratora Microsoft 365,
• dostawcę usług,
• kuriera,
• przełożonego.

Temat wiadomości może brzmieć:

„Aktualizacja polityki wynagrodzeń”

„Nowy regulamin pracy”

„Rozliczenie benefitów”

„Lista płac – wymagane potwierdzenie”

„Zmiany w polityce bezpieczeństwa”

„Dokument oczekuje na zatwierdzenie”

Pracownik nie spodziewa się wtedy cyberataku.

Spodziewa się kolejnego firmowego zadania.

💳 Kod QR na parkomacie też może być fałszywy

Quishing nie musi pojawiać się w e-mailu.

Może również występować w świecie fizycznym.

Federalna Komisja Handlu w USA ostrzegała między innymi przed przypadkami, w których przestępcy umieszczali własne naklejki z kodami QR na parkomatach, zasłaniając prawdziwe kody płatności.

Wyobraź sobie:

Parkujesz samochód.

Na urządzeniu widzisz:

„Zapłać telefonem – zeskanuj QR.”

Skanujesz.

Strona wygląda jak system płatności parkingowych.

Wpisujesz dane karty.

Płatność „nie przechodzi”.

Próbujesz jeszcze raz.

W rzeczywistości dane mogą trafiać do oszusta.

Dlatego kod znajdujący się w przestrzeni publicznej także należy traktować z ostrożnością.

🏷️ Naklejka na naklejce? To sygnał ostrzegawczy

Jeżeli kod znajduje się:

• na parkomacie,
• automacie biletowym,
• plakacie,
• stoliku,
• terminalu,
• urządzeniu publicznym,

warto spojrzeć na niego fizycznie.

Czy wygląda jak oryginalny element urządzenia?

Czy ktoś nie nakleił drugiego kodu na pierwszy?

Czy naklejka nie odstaje?

Czy grafika nie różni się od reszty oznaczeń?

Cyberatak nie zawsze zaczyna się w Internecie.

Czasami zaczyna się od zwykłej naklejki.

🍽️ Czy kod QR w restauracji może być niebezpieczny?

Sam kod QR nie jest z definicji niebezpieczny.

Może po prostu prowadzić do menu.

Problem pojawia się wtedy, gdy kod został:

• podmieniony,
• zaklejony,
• umieszczony przez osobę trzecią,
• powiązany z fałszywą stroną.

Jeżeli po zeskanowaniu kodu do menu strona nagle żąda:

logowania do banku,

podania danych karty,

pobrania aplikacji,

instalacji profilu,

to należy się zatrzymać.

Cel kodu powinien odpowiadać sytuacji.

Kod do menu powinien prowadzić do menu.

Nie do „weryfikacji konta Microsoft”.

📦 „Zeskanuj, aby dowiedzieć się, kto wysłał paczkę”

Kody QR mogą pojawiać się nawet w fizycznych przesyłkach.

FTC ostrzegała przed scenariuszem, w którym odbiorca dostaje niespodziewaną paczkę z kartką zachęcającą do zeskanowania kodu QR, aby dowiedzieć się, kto ją wysłał albo jak ją zwrócić.

Kod może prowadzić do strony wyłudzającej dane lub próbować nakłonić użytkownika do instalacji niebezpiecznego oprogramowania.

Ciekawość robi tu dokładnie to samo, co strach w vishingu.

Ma sprawić, że użytkownik wykona czynność zanim zacznie ją analizować.

🚩 Jak rozpoznać quishing?

Sam wygląd kodu QR nie pozwala określić, czy jest bezpieczny.

Można jednak zwrócić uwagę na kontekst.

🚨 Nie spodziewałeś się wiadomości

Nagły mail:

„Zeskanuj QR, bo Twoje konto wygaśnie.”

To powód do weryfikacji.

🚨 Wiadomość wywołuje presję

„Masz 30 minut.”

„Konto zostanie usunięte.”

„Dostęp zostanie zablokowany.”

🚨 Kod zastępuje zwykłą procedurę

Firma zawsze wysyłała linki, a nagle wymaga skanowania QR?

Sprawdź dlaczego.

🚨 Po zeskanowaniu pojawia się logowanie

Zwłaszcza jeśli strona wymaga danych służbowych.

🚨 Adres strony wygląda podobnie, ale nie identycznie

Przykładowo nazwa domeny może różnić się:

• jedną literą,
• dodatkowym słowem,
• końcówką domeny,
• nietypowym subdomenowym ciągiem znaków.

🚨 Kod znajduje się na naklejce zasłaniającej inny kod

W przestrzeni publicznej to szczególnie ważny sygnał ostrzegawczy.

👀 Sprawdź adres ZANIM otworzysz stronę

Większość współczesnych telefonów po skierowaniu aparatu na kod QR wyświetla podgląd adresu.

Nie klikaj automatycznie.

Spójrz na domenę.

Jeżeli spodziewasz się strony:

firma.pl

a telefon pokazuje:

firma-login-security-example.xyz

– zatrzymaj się.

FTC zaleca dokładne sprawdzenie adresu po zeskanowaniu kodu i zwracanie uwagi na literówki lub zmienione znaki w domenie.

🔎 Nie oceniaj strony wyłącznie po wyglądzie

Fałszywa strona może posiadać:

• logo Microsoft,
• logo banku,
• kolory firmy,
• formularz logowania,
• prawdziwie wyglądające komunikaty,
• stopkę,
• regulamin.

Skopiowanie wyglądu strony jest stosunkowo proste.

Znacznie ważniejsze jest:

jaka domena znajduje się w pasku adresu?

Logo można skopiować.

Domeny organizacji nie da się po prostu zastąpić inną i nadal oczekiwać, że będzie to ta sama strona.

🛡️ Jak chronić się przed quishingiem?

✅ Traktuj QR jak link

Kod QR to nie magiczny, bezpieczny skrót.

Jeżeli nie kliknąłbyś podejrzanego linku w wiadomości, nie skanuj odpowiadającego mu kodu QR.

✅ Nie skanuj pod presją

Komunikat:

„Zeskanuj natychmiast”

powinien zwiększać czujność, a nie przyspieszać reakcję.

✅ Zweryfikuj drugim kanałem

Dostałeś kod od działu HR?

Sprawdź firmowy intranet albo zapytaj HR.

Bank?

Otwórz aplikację bankową.

Microsoft 365?

Wejdź samodzielnie na znany portal organizacji.

✅ Sprawdzaj domenę

Zanim podasz dane, upewnij się, że znajdujesz się na właściwej stronie.

✅ Nie loguj się automatycznie po zeskanowaniu

Kod QR, który nagle prowadzi do formularza logowania, powinien być traktowany szczególnie ostrożnie.

✅ Zwracaj uwagę na fizyczne podmiany

Sprawdź, czy kod nie został naklejony na inny.

✅ Nie instaluj aplikacji tylko dlatego, że kod tego wymaga

Kod z restauracji, plakatu czy wiadomości e-mail nie powinien być wystarczającym powodem do instalowania nieznanego oprogramowania.

🏢 Co powinny robić organizacje?

Quishing jest również problemem organizacyjnym.

Sama edukacja użytkowników jest bardzo ważna, ale warto połączyć ją z rozwiązaniami technicznymi i proceduralnymi.

Organizacje mogą między innymi:

• szkolić pracowników z rozpoznawania kodów QR w phishingu,
• uwzględniać quishing w symulacjach phishingowych,
• analizować QR znajdujące się w wiadomościach,
• ograniczać możliwość logowania z niezarządzanych urządzeń tam, gdzie jest to uzasadnione,
• stosować nowoczesne mechanizmy ochrony tożsamości,
• monitorować nietypowe logowania,
• stosować uwierzytelnianie odporne na phishing,
• stworzyć prosty kanał zgłaszania podejrzanych wiadomości.

Szczególnie ważne jest również ustalenie jasnych procedur.

Jeżeli dział IT nigdy nie wysyła kodów QR do resetowania hasła, pracownik powinien o tym wiedzieć.

Wtedy wiadomość:

„IT: zeskanuj kod w celu zresetowania hasła”

staje się znacznie łatwiejsza do rozpoznania.

📲 Telefon prywatny może stać się elementem ataku na firmę

To bardzo istotny aspekt quishingu.

Pracownik otrzymuje phishing na służbowy komputer.

Ale skanuje kod prywatnym telefonem.

Telefon może znajdować się poza:

• systemem firmowego EDR,
• kontrolą administratora,
• firmowym filtrowaniem ruchu,
• politykami bezpieczeństwa organizacji.

Następnie właśnie na tym telefonie użytkownik podaje dane do służbowego Microsoft 365.

W efekcie atak, który rozpoczął się na służbowej poczcie, kończy się przejęciem firmowego konta poprzez prywatne urządzenie.

Dlatego świadomość użytkownika jest tutaj szczególnie ważna.

🔐 Co zrobić, jeśli zeskanowałem podejrzany kod?

Samo zeskanowanie kodu i zobaczenie podglądu adresu zwykle nie oznacza jeszcze utraty konta.

Kluczowe jest to, co wydarzyło się później.

Jeśli tylko zobaczyłeś adres

Nie otwieraj go.

Jeśli otworzyłeś stronę, ale niczego nie podałeś

Zamknij ją i nie pobieraj żadnych plików.

Jeśli podałeś login i hasło

Niezwłocznie zmień hasło poprzez oficjalny serwis.

Jeżeli jest to konto firmowe – zgłoś zdarzenie do działu IT lub zespołu bezpieczeństwa.

Jeśli podałeś dane karty

Skontaktuj się z bankiem oficjalnym kanałem.

Jeśli zatwierdziłeś MFA

Zgłoś incydent i zabezpiecz konto.

Jeśli pobrałeś aplikację lub plik

Nie uruchamiaj go ponownie. W przypadku urządzenia firmowego niezwłocznie skontaktuj się z IT.

⚠️ MFA nie zawsze wystarczy

Jeżeli użytkownik trafia na zaawansowaną stronę phishingową, atakujący może próbować przejąć nie tylko hasło.

Niektóre techniki phishingowe typu Adversary-in-the-Middle (AiTM) mogą służyć do przechwytywania sesji użytkownika po uwierzytelnieniu.

Microsoft opisywał kampanie, w których kody QR prowadziły właśnie do takich stron phishingowych.

Dlatego należy pamiętać:

MFA jest bardzo ważne, ale nie zwalnia z weryfikowania strony, na której się logujemy.

🔒 Uwierzytelnianie odporne na phishing

W organizacjach warto również rozważać mechanizmy logowania bardziej odporne na klasyczny phishing, takie jak odpowiednio wdrożone:

• passkeys,
• FIDO2,
• sprzętowe klucze bezpieczeństwa,
• Windows Hello for Business.

Takie rozwiązania mogą ograniczać skuteczność ataków polegających na wyłudzaniu tradycyjnych haseł i kodów.

Technologia powinna jednak działać razem z edukacją użytkownika.

🧠 Kod QR nie jest problemem. Problemem jest automatyczne zaufanie

Kody QR są użyteczne.

Pozwalają szybko:

• otwierać strony,
• płacić,
• udostępniać informacje,
• konfigurować urządzenia,
• korzystać z usług.

Nie trzeba więc przestać ich używać.

Trzeba przestać traktować je jak coś, co z definicji jest bezpieczne.

Kod QR może prowadzić dokładnie tam, gdzie chciał jego twórca.

Pytanie brzmi:

kto stworzył kod?

🔍 Zanim zeskanujesz, zadaj sobie trzy pytania

1. Czy spodziewałem się tego kodu?

2. Czy jego cel ma sens w tej sytuacji?

3. Czy mogę dotrzeć do tej samej usługi samodzielnie, bez skanowania?

Jeżeli możesz otworzyć aplikację bankową zamiast skanować kod – zrób to.

Jeżeli możesz wejść do Microsoft 365 przez znany adres – zrób to.

Jeżeli możesz zapytać dział HR – zapytaj.

To dokładnie ta sama zasada, która chroni przed smishingiem, vishingiem czy spear phishingiem:

nie podejmuj decyzji wyłącznie w kanale przygotowanym przez potencjalnego napastnika.

🔴 Nie skanuj automatycznie. Sprawdź. Zweryfikuj. Dopiero potem otwórz.

Następnym razem, gdy zobaczysz:

„PILNE! Zeskanuj kod QR, aby zachować dostęp do konta.”

nie myśl:

„To tylko kod QR.”

Pomyśl:

„Gdyby zamiast tego był tutaj link – czy bym mu zaufał?”

Bo za niewinnym czarno-białym kwadratem może znajdować się dokładnie ten sam phishing, którego nauczyliśmy się już unikać w wiadomościach e-mail.

Kod QR ukrywa adres. Nie ukrywa ryzyka.

Artinus System Sp. z o.o.

Cyberbezpieczeństwo to nie tylko ochrona przed złośliwymi załącznikami i podejrzanymi linkami. Zagrożenia zmieniają formę, dlatego równie ważna jest świadomość użytkowników i umiejętność weryfikowania tego, co znajduje się za pozornie zwykłym kodem QR.

Zanim zeskanujesz – sprawdź, komu ufasz.

#Quishing #QRCodePhishing #CyberSecurity #Cyberbezpieczeństwo #Phishing #SocialEngineering #SecurityAwareness #CyberAwareness #MFA #Microsoft365 #CERTPolska #BezpieczeństwoDanych #BezpieczeństwoIT #ArtinusSystem