Podvodné QR kódy: ako chrániť svoje peniaze, účty a zákazníkov

QR kódy sa už dávno stali bežnou súčasťou nášho života. Používajú sa na platenie za parkovanie a nákupy, otváranie jedálnych lístkov, získavanie vstupeniek, prechod na webové stránky, pripájanie k Wi-Fi alebo zanechávanie recenzií.

Samotný QR kód nie je nebezpečný. Je to len spôsob, ako preniesť odkaz, platobné údaje alebo iné informácie. Problém vzniká vtedy, keď je skutočný kód nahradený alebo keď podvodníci pošlú podvodný QR kód pod zámienkou bežného dokumentu, faktúry alebo správy.

Kybernetická polícia Ukrajiny upozorňuje na prípady zámeny QR kódov na verejných miestach. Podvodníci môžu nalepiť vlastný kód na skutočný kód alebo ho umiestniť tam, kde sú ľudia zvyknutí rýchlo naskenovať kód a prejsť k platbe. (Kybernetická polícia)

Dnes je to však len jeden zo spôsobov podvodu.

Ako podvodníci používajú QR kódy

1. Nahrádzajú QR kód v obchode alebo na verejnom mieste

Na platobnú tabuľku, jedálny lístok, reklamný plagát, parkovací automat alebo iný nosič môžu podvodníci nalepiť iný QR kód priamo na pôvodný.

Po naskenovaní sa človek dostane na falošnú webovú stránku, ktorá sa môže od skutočnej takmer vôbec nelíšiť. Na nej je vyzvaný na zadanie údajov platobnej karty, hesla alebo iných údajov.

Dobre vytvorený podvodný QR kód je vizuálne prakticky nemožné odlíšiť od skutočného.

2. Nahrádzajú QR kód určený na platbu

Pre obchod ide o samostatné riziko.

QR kód môže obsahovať platobné údaje predajcu. Ak podvodník nahradí takýto kód vlastným, kupujúci môže byť presvedčený, že platí obchodu, hoci peniaze v skutočnosti odídu na iný účet.

Preto je pred potvrdením platby dôležité v bankovej aplikácii skontrolovať príjemcu, platobné údaje a sumu platby.

Na Ukrajine sa QR kódy oficiálne používajú aj na prenos bankových údajov obchodníka. (Národná banka Ukrajiny)

3. Posielajú QR kód v e-maile alebo PDF

Tento druh podvodu sa nazýva QR phishing alebo quishing.

E-mail môže vyzerať ako bežná pracovná správa:

• faktúra alebo potvrdenie platby;

• dokument na podpis;

• správa od banky;

• doručenie;

• potreba potvrdiť používateľský účet;

• zmena hesla alebo nastavení prístupu.

Namiesto bežného odkazu je do e-mailu alebo PDF vložený QR kód. Zamestnanec ho naskenuje telefónom a dostane sa na falošnú stránku Microsoftu, Googlu, banky alebo inej známej služby.

Tento spôsob je pre podvodníkov mimoriadne výhodný: odkaz je ukrytý v obrázku a používateľ prechádza z pracovného počítača na telefón, kde je ťažšie všimnúť si adresu webovej stránky.

Podľa údajov Microsoft Threat Intelligence vzrástol v prvom štvrťroku 2026 počet QR phishingových útokov o 146 % a väčšina takýchto QR kódov sa šírila práve prostredníctvom PDF súborov.

4. Ponúkajú inštaláciu aplikácie

QR kód môže viesť aj na stránku s ponukou na inštaláciu aplikácie alebo udelenie určitých oprávnení telefónu.

Neinštalujte aplikácie prostredníctvom náhodných QR kódov. Ak potrebujete aplikáciu banky, doručovacej služby alebo inej služby, vyhľadajte ju sami v oficiálnom obchode s aplikáciami.

Kde treba byť obzvlášť opatrní

Pre kupujúceho vzniká najväčšie riziko tam, kde je potrebné QR kód naskenovať rýchlo a bez ďalších kontrol: pri platbe, parkovaní, v doprave, na podujatiach, v stravovacích zariadeniach alebo pri charitatívnych zbierkach.

Pre podnikateľa treba do tohto zoznamu pridať pracovný e-mail, faktúry od dodávateľov, dokumenty vo formáte PDF a správy týkajúce sa prístupu k firemným službám.

Podvodníci sa spoliehajú práve na automatickú reakciu: človek uvidí známe logo alebo štandardný dokument — naskenuje — vykoná požadovanú akciu.

Ako bezpečne používať QR kódy

1. Kontrolujte fyzický kód. Ak na tabuľke vidíte dodatočnú nálepku, nerovné okraje, stopy po prelepení alebo iné zmeny — kód neskenujte.
2. Skontrolujte, kam QR kód smeruje. Pred otvorením väčšina telefónov zobrazí adresu. Kontrolujte samotnú doménu, nie logo alebo vzhľad stránky.
3. Buďte obzvlášť opatrní pri prihlasovaní. Ak QR kód neočakávane žiada prihlásenie do Microsoft 365, Googlu, banky, e-mailu alebo inej dôležitej služby, je lepšie samostatne otvoriť oficiálnu aplikáciu alebo zadať známu adresu webovej stránky.
4. Kontrolujte príjemcu platby. Pred potvrdením platby sa uistite, že peniaze smerujú správnej spoločnosti alebo Živnostníkovi.
5. Neposkytujte potvrdzovacie kódy iným osobám. Kód zo SMS alebo bankovej aplikácie môže slúžiť na potvrdenie vašej vlastnej operácie, ale netreba ho oznamovať «zamestnancovi banky», predajcovi, zákazníckej podpore ani inej osobe.
6. Neinštalujte aplikácie prostredníctvom náhodných QR kódov. Používajte na to oficiálne obchody s aplikáciami.

Čo by mal urobiť majiteľ obchodu

QR kódy v obchode treba chrániť rovnako ako ostatné prvky platobnej infraštruktúry.

Skontrolujte všetky kódy, ktoré môže zákazník vidieť: na platbu, jedálny lístok, Wi-Fi, vernostný program, recenzie, akcie, sociálne siete a ďalšie služby.

Pri QR kódoch, ktoré sa používajú trvalo:

• umiestnite vedľa nich zrozumiteľný názov služby alebo adresu webovej stránky;

• bez potreby nepoužívajte skrátené a nejasné odkazy;

• chráňte vytlačené kódy pred jednoduchým prelepením;

• pravidelne kontrolujte, či sa na kóde neobjavila cudzia nálepka;

• vysvetlite predajcom a administrátorom, kam majú QR kódy obchodu smerovať.

Ak sa vo vašej predajni objaví neznámy QR kód, treba ho okamžite odstrániť a zistiť, kto a kedy ho umiestnil.

Osobitné pravidlo je vhodné zaviesť pre účtovníctvo a vedúcich pracovníkov: QR kód vo faktúre, e-maile o platbe alebo správe týkajúcej sa prístupu k pracovnému účtu nerobí dokument bezpečným. Ak je požiadavka nezvyčajná, treba ju overiť prostredníctvom iného komunikačného kanála.

Čo robiť, ak niekto nahradil QR kód obchodu

Ak ste našli cudzí QR kód na platobnej tabuľke, jedálnom lístku alebo inom materiáli:

1. prestaňte ho používať;

2. odfoťte kód a miesto, kde bol umiestnený;

3. ak je to možné, uschovajte samotnú nálepku;

4. určite približný čas, počas ktorého mohol byť kód dostupný zákazníkom;

5. skontrolujte záznamy z bezpečnostných kamier;

6. ak sa kód používal na platby — informujte banku alebo poskytovateľa platobných služieb;

7. odovzdajte informácie Kybernetickej polícii.

Pomôže to nielen zastaviť podvodnú schému, ale aj zistiť, či mohli byť poškodení vaši zákazníci.

Už ste zadali údaje na podozrivej stránke?

Ak ste zadali údaje bankovej karty, okamžite kontaktujte banku prostredníctvom oficiálneho telefónneho čísla alebo aplikácie a postupujte podľa jej odporúčaní týkajúcich sa zablokovania karty a ochrany účtu.

Ak ste zadali heslo k pracovnému e-mailu, Microsoft 365, Googlu alebo inému firemnému účtu:

• okamžite zmeňte heslo z dôveryhodného zariadenia;

• ukončite aktívne prihlásené relácie;

• skontrolujte nastavenia dvojfaktorovej autentifikácie;

• skontrolujte, či sa neobjavili neznáme pravidlá presmerovania alebo filtrovania e-mailov;

• informujte osobu zodpovednú za IT alebo informačnú bezpečnosť.

Podvodníci môžu napadnutý firemný e-mail použiť na rozosielanie falošných faktúr vašim zamestnancom, zákazníkom a partnerom. Práve takéto správanie sa vyskytuje v moderných QR phishingových kampaniach.

Ak ste sa stali obeťou podvodu, uložte si snímky obrazovky, adresu stránky, samotný QR kód, e-maily a ďalšie podrobnosti a podajte oznámenie Kybernetickej polícii: https://ticket.cyberpolice.gov.ua/ 

Uložte si snímky obrazovky, adresu podozrivej webovej stránky, správy a ďalšie podrobnosti — tieto informácie môžu byť užitočné pre orgány činné v trestnom konaní.

BRAMA: ako sa zapojiť do boja proti nebezpečnému obsahu na internete

Kybernetická polícia Ukrajiny rozvíja projekt «BRAMA» — komunitu, ktorej účastníci pomáhajú odhaľovať a obmedzovať šírenie podvodného, dezinformačného a iného nebezpečného obsahu na internete.

Do projektu sa môžu zapojiť občania, štátne inštitúcie a zástupcovia súkromného sektora. Na účasť nie sú potrebné špeciálne technické znalosti.

Čo robia účastníci projektu BRAMA

Účastníci projektu môžu:

• nahlasovať zdroje s potenciálne nebezpečným obsahom;

• odosielať sťažnosti prostredníctvom oficiálnych mechanizmov sociálnych sietí a iných platforiem;

• získavať informácie o aktuálnych podvodných schémach a kybernetických hrozbách;

• využívať materiály o mediálnej gramotnosti a kybernetickej hygiene.

Na zapojenie stačí smartfón alebo počítač.

Vedúci oddelenia Úradu boja proti počítačovej kriminalite v meste Kyjev, policajný major Ihor Čepur, uvádza, že zapojenie používateľov pomáha rýchlejšie odhaľovať nebezpečný obsah a reagovať naň.

Podľa jeho slov môže používateľ nahlásiť podozrivý zdroj, využiť mechanizmus nahlasovania na platforme alebo overiť pochybné informácie pred ich ďalším šírením.

Výsledky projektu

Podľa údajov Kybernetickej polície poslali používatelia počas fungovania projektu BRAMA viac ako 140-tisíc oznámení o potenciálne nebezpečných zdrojoch.

V rámci činnosti komunity bolo zároveň zablokovaných viac ako 26-tisíc zdrojov nevhodného obsahu.

Ako sa bude projekt BRAMA rozvíjať

Kybernetická polícia plánuje rozšíriť projekt vo viacerých oblastiach:

• «Kyber BRAMA» — vzdelávací webový portál s materiálmi o kybernetickej bezpečnosti a digitálnej gramotnosti;

• «Chaty Online» — platforma na vzdelávanie a zapojenie sa do boja proti nebezpečnému obsahu;

• mobilná aplikácia BRAMA.

Projekt bude aj naďalej informovať používateľov o podvodných schémach, kybernetických hrozbách a pravidlách bezpečného používania internetu.

Viac informácií o projekte a možnostiach zapojenia nájdete na oficiálnych zdrojoch projektu BRAMA a Kybernetickej polície Ukrajiny.