Kod QR jest sposobem zapisania informacji lub odnośnika. Sam jego wygląd nie potwierdza, że materiał pochodzi od firmy widocznej na plakacie albo w wiadomości. Quishing to wykorzystanie kodu QR do nakłonienia użytkownika do odwiedzenia fałszywej strony.
Zwróć uwagę na żądaną czynność
Niepokojąca jest sytuacja, w której po zeskanowaniu kodu masz nagle podać hasło, dane płatnicze lub kod autoryzacyjny, choć nie rozpoczynałeś takiej operacji. Presja czasu nie jest powodem, żeby pomijać sprawdzenie adresu.
CERT Polska opisał kampanię podszywającą się pod firmowe działy HR: kod prowadził do strony imitującej logowanie Microsoft 365. To przykład mechanizmu, nie twierdzenie, że każda obecna wiadomość z kodem jest oszustwem.
Co sprawdzić
- Odczytaj adres docelowy przed przejściem dalej, jeśli skaner go pokazuje.
- Porównaj domenę z oficjalną stroną usługodawcy.
- Firmową prośbę o logowanie potwierdź wewnętrznym kanałem organizacji.
- Jeśli sprawę możesz wykonać w znanej aplikacji, otwórz ją samodzielnie.
Nie traktuj samej kłódki HTTPS jako potwierdzenia tożsamości firmy. Przy kontach służbowych wątpliwości wyjaśniaj z działem IT. Nie przesyłaj nieznanego kodu innym osobom z prośbą, żeby przetestowały go na własnym telefonie.
Jeśli wpisałeś dane
Zabezpiecz konto z zaufanego urządzenia i zgłoś incydent administratorowi lub usługodawcy. W razie ujawnienia danych płatniczych skontaktuj się z bankiem. Zachowaj wiadomość i adres strony do zgłoszenia; nie próbuj ponownie logować się na fałszywej witrynie.
Najczęstsze pytania
Czy każdy kod QR oznacza otwarcie strony?
Nie. Może zawierać różne dane. Zwróć uwagę na to, jaką operację proponuje telefon.
Czy podany kod może służyć do połączenia konta z obcym urządzeniem?
Dlatego przed zatwierdzeniem czytaj opis operacji w aplikacji. Nie zatwierdzaj parowania, którego sam nie rozpocząłeś.
Źródła
CERT Polska — przykład kampanii z kodami QR: https://moje.cert.pl/komunikaty/2026/64/nowe-zasady-w-firmie-oszusci-wykorzystuja-kody-qr/ CERT Polska — phishing: https://wiedza.cert.pl/bezpieczenstwo-osobiste/rozpoznanie-phishingu/ Powiązane: /poradniki/jak-zglosic-podejrzany-sms-email-strone-cert. Sprawdzono 25 października 2026 r.