--- id: CP-006 slug: quishing-kod-qr-puapka lang: pl title: "Quishing: pułapka w kodzie QR" description: Podstawiony kod QR ukrywa adres w obrazie i prowadzi do fałszywej strony logowania. Jak go rozpoznać i co zrobić przed zeskanowaniem. canonical_url: https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Quishing: pułapka w kodzie QR”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-006 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/ fr: https://startbrain.io/cyberpedia/fr/articles/quishing-qr-code-pieges/ en: https://startbrain.io/cyberpedia/en/articles/quishing-qr-code-phishing/ de: https://startbrain.io/cyberpedia/de/articles/quishing-qr-code-falle/ es: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ it: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ nl: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ pt: https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/ sources: - "n": 1 title: What Is Quishing (QR Phishing)? Definition | Proofpoint US publisher: Proofpoint url: https://www.proofpoint.com/us/threat-reference/quishing published: "2025-03-31" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 5 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Quishing: pułapka w kodzie QR Quishing to atak phishingowy wykorzystujący kod QR. Kod jest obrazem: nie pokazuje adresu, który zawiera, więc użytkownik nie widzi go z góry [1]. Dla pracownika pułapka polega na zwykłym geście. Skanuje się kod otrzymany w e-mailu, przyklejony na plakacie lub umieszczony we współdzielonym dokumencie i trafia na stronę, która prosi o zalogowanie się lub zapłatę [1]. ## W 30 sekund - Gdzie to się zdarza: e-maile, SMS-y, fałszywe faktury, plakaty, menu, etykiety produktów, współdzielone pliki PDF lub arkusze [1]. - Czego chce atakujący: skierować Państwa na fałszywą stronę logowania albo skłonić do pobrania złośliwego oprogramowania [1]. - Odruch: zanim zeskanują Państwo kod, powinni Państwo sprawdzić jego pochodzenie innym kanałem, na przykład dzwoniąc do nadawcy [1]. - Jeśli już to się stało: nie należy wpisywać danych logowania ani danych płatniczych, dopóki autentyczność witryny nie zostanie potwierdzona [1]. Wiadomość należy zgłosić, a potem usunąć bez odpowiadania [2]. ## Pytania wprost ### Czym jest quishing? To phishing za pomocą kodu QR. Proofpoint opisuje go jako atak socjotechniczny, który przekierowuje ofiary na złośliwe strony lub wywołuje pobranie złośliwego oprogramowania. W odróżnieniu od klasycznego phishingu, opartego na odnośnikach zapisanych wprost, wykorzystuje kod w postaci obrazu [1]. ### Dlaczego kod QR trudniej ocenić niż odnośnik? Ponieważ adres jest niewidoczny. Proofpoint zauważa, że użytkownik nie może z góry zobaczyć adresu URL zawartego w kodzie, co czyni to narzędzie podatnym na nadużycia [1]. ### Dlaczego filtry firmowe nie zawsze go wychwytują? Według Proofpoint quishing omija filtry poczty [1]. Tim Bedard z IBM Expert Labs, cytowany na tej samej stronie, wyjaśnia, że narzędzia do ochrony poczty szukają w wiadomościach znanych podejrzanych odnośników, ale nie analizują obrazów pod kątem odnośników ukrytych w kodzie QR [1]. Istnieją wyspecjalizowane rozwiązania: wyodrębniają kody QR z e-maili i załączników, takich jak pliki PDF, dekodują adres i oceniają jego ryzyko [1]. ### Czy dotyczy to także mojego prywatnego telefonu? Tak. Proofpoint pisze, że ta taktyka naraża organizacje zarówno przez urządzenia służbowe, jak i prywatne [1]. Strona nie omawia tej kwestii szerzej. ### Co zrobić przed zeskanowaniem? Proofpoint radzi, by przed zeskanowaniem kodu otrzymanego e-mailem, SMS-em lub w miejscu publicznym potwierdzić jego wiarygodność u nadawcy innym kanałem, na przykład telefonicznie [1]. CISA dodaje ogólną zasadę: jeśli wiadomość może być prawdziwa, nie należy klikać żadnego zawartego w niej odnośnika ani dzwonić pod żaden podany w niej numer, tylko poszukać innego sposobu kontaktu z firmą lub osobą [2]. ### Co zrobić, gdy kod wygląda podejrzanie? CISA zaleca zgłosić wiadomość, a następnie usunąć ją bez odpowiadania [2]. Brytyjskie NCSC przypomina, że zgłoszenie oszukańczej wiadomości jest bezpłatne i zajmuje minutę oraz że instytucja ma uprawnienia do badania oszukańczych adresów i stron, by doprowadzić do ich usunięcia [3]. W firmie Proofpoint zaleca jasne kanały, dzięki którym pracownicy mogą zgłosić podejrzany kod bez obawy przed konsekwencjami [1]. NCSC zauważa ze swojej strony, że pracownicy obawiający się o posadę nie zgłaszają swoich błędów [4]. ## W skórze atakującego Według Proofpoint metoda przebiega w czterech krokach [1]. - Utworzenie kodu. Bezpłatne narzędzia online generują kody QR kierujące do strony phishingowej lub do domeny hostującej złośliwe oprogramowanie. - Rozpowszechnienie go. Kod trafia do e-maila phishingowego, na fałszywą fakturę, na plakat, do menu restauracji albo zostaje naklejony na prawdziwy kod QR. - Ponaglanie do szybkiego działania. Wiadomości wzywają do natychmiastowej reakcji, na przykład „Scan to unlock a discount" lub „Verify your account". - Wykorzystanie skanu. Ofiara trafia na fałszywą stronę logowania, do narzędzia przechwytującego dane logowania lub na stronę z pobraniem złośliwego oprogramowania. MITRE ATT&CK zalicza phishing do technik uzyskania początkowego dostępu. Opisuje podszywanie się pod nadawcę, które może oszukać zarówno odbiorcę, jak i zautomatyzowane narzędzia bezpieczeństwa, a także „thread hijacking" (przejęcie wątku): atakujący włącza cel do istniejącej rozmowy, w której wiadomości zawierają złośliwe pliki lub odnośniki [5]. Odwiedzona strona MITRE nie wspomina o kodach QR: te sztuczki są typowe dla phishingu w ogóle. ## Co widać na ekranie Typowa wiadomość prosi o zeskanowanie kodu, często z pilnym powodem. Proofpoint podaje „Scan to avoid account suspension" jako przykład wabika opartego na pośpiechu [1]. Kody występują też jako alerty o „weryfikacji konta" lub powiadomienia o przesyłce, z pozornym nadawcą w postaci banku, urzędu lub dostawcy [1]. W miejscach publicznych Proofpoint wymienia menu restauracji, parkomaty, plakaty sklepowe i ulotki wydarzeń, z obietnicami zniżek, dostępu do WiFi lub ekskluzywnych treści [1]. W firmie kody mogą kryć się w wewnętrznych plikach PDF lub arkuszach podszywających się pod ankiety albo materiały szkoleniowe [1]. Gdy strona jest już otwarta, CISA wymienia klasyczne oznaki phishingu: język pełen pilności lub emocji, prośbę o dane osobowe lub finansowe, niewiarygodne skrócone adresy oraz błędne adresy lub odnośniki, jak „amazan.com" [2]. Proofpoint podaje natomiast „arnazon.com" [1]. CISA zaznacza, że dawna oznaka w postaci błędów ortograficznych nie jest już pewna: w epoce sztucznej inteligencji niektóre e-maile mają bezbłędną gramatykę [2]. NCSC ostrzega, że żadne szkolenie nie pozwoli wychwycić wszystkich prób, a szczegółowe badanie każdego e-maila nie zostawiłoby dość godzin na pracę [4]. ## Pod maską Kod QR to czytelna dla maszyn macierz, która może zawierać do 7089 znaków numerycznych lub adresy URL, dostępna przez aparat smartfona lub aplikację do odczytu. Jego konstrukcja obejmuje korekcję błędów, dzięki której działa nawet częściowo uszkodzony [1]. Po stronie obrony Proofpoint opisuje kilka warstw. Silniki analizy używają modeli widzenia komputerowego, by znajdować kody QR w e-mailach, dekodować adresy i oceniać ich ryzyko. Piaskownica online wyodrębnia kody z załączników i symuluje odwiedzenie adresów w odizolowanym środowisku przed doręczeniem. Według Microsoftu, cytowanego przez Proofpoint, ta kontrola przed doręczeniem zablokowała w 2024 roku około 1,5 miliona prób quishingu dziennie [1]. Przeciw danym logowania wykradanym na takich fałszywych stronach Proofpoint zaleca uwierzytelnianie wieloskładnikowe, a przeciw sfałszowanym e-mailom protokoły DMARC, SPF i DKIM [1]. NCSC wyjaśnia, że DMARC uniemożliwia phisherom podszywanie się pod domenę organizacji oraz że potrzeba kilku warstw obrony, a nie polegania wyłącznie na czujności użytkowników, bo część ataków zawsze się przedostanie [4]. ## Analizy incydentów ### 2023: fałszywe faktury firmowe Proofpoint opisuje atak z 2023 roku, który naśladował faktury firmowe. Pracownicy byli kierowani do fałszywych portali płatności [1]. Strona nie podaje ani nazwy atakowanej firmy, ani sprawcy ataku. ### 2024: menu restauracji zaklejone kodami Według Proofpoint kampania z 2024 roku wymierzona w sieci restauracji polegała na nakładaniu złośliwych kodów QR na drukowane menu. Klienci byli przekierowywani na strony wyłudzające dane logowania, które naśladowały programy lojalnościowe [1]. Również tu źródło nie podaje nazwy sieci. Oba przypadki pochodzą z jednego źródła komercyjnego, które nie podaje liczby ofiar. Brytyjskie NCSC opublikowało też 8 lutego 2024 roku wpis zatytułowany „QR Codes - what's the real risk?", z którego odwiedzona strona zawiera tylko tytuł i zdanie zapowiadające [3]. ## Źródła 1. Proofpoint, „What Is Quishing (QR Phishing)? Definition | Proofpoint US”, 31 marca 2025. https://www.proofpoint.com/us/threat-reference/quishing (dostęp 3 listopada 2026) 2. CISA, „Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026) 4. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.