Quishing stał się jednym z najszybciej rozwijających się zagrożeń w phishingu. Idea jest prosta: pozornie nieszkodliwy kod QR ukrywa fałszywy adres. Microsoft oszacował ten wzrost: w marcu 2026 roku wykrył 18,7 miliona takich ataków , w porównaniu z 7,6 miliona w styczniu, co stanowi wzrost o 146% w ciągu zaledwie trzech miesięcy.
Problem tkwi w czynnościach, które stały się częścią naszej codziennej rutyny. Skanowanie menu w restauracji, płacenie za parking, pobieranie biletu czy szukanie informacji turystycznej stały się powszechne. Cyberprzestępcy wykorzystują tę powszechność. Eksperci z Áudea, działu cyberbezpieczeństwa Logicalis Spain, podkreślają, że adres internetowy pozostaje ukryty do momentu otwarcia linku, co zmniejsza liczbę sygnałów ostrzegawczych, które użytkownik mógłby dostrzec na pierwszy rzut oka.
Dlaczego kod QR ukrywa oszustwo i przenosi się z komputera na urządzenie mobilne
W przeciwieństwie do linku tekstowego, kod QR nie wyświetla adresu URL przed skanowaniem. Andrés Cartes Guilarte, konsultant ds. kultury cyberbezpieczeństwa w firmie Áudea, podkreśla, że ta nieprzejrzystość jest jedną z największych zalet dla atakujących. Użytkownik nie może zweryfikować, czy adres docelowy jest legalny, a w wielu przypadkach skanowanie odbywa się z telefonu komórkowego , co przenosi interakcję poza komputer firmowy i poza kontrolę bezpieczeństwa firmy.
Po otwarciu linku ofiara może trafić na strony imitujące usługi korporacyjne, platformy bankowe lub ekrany uwierzytelniania. Cel zależy od rodzaju oszustwa, ale zazwyczaj polega na uzyskaniu danych uwierzytelniających, danych osobowych lub informacji finansowych . Podszywanie się jest bardziej wiarygodne, gdy wiadomość pojawia się w znanym kontekście, na przykład w ramach domniemanej komunikacji wewnętrznej lub powiadomienia od podmiotu, z którego użytkownik regularnie korzysta.
Microsoft zidentyfikował również około 8.300 miliarda zagrożeń phishingowych rozprzestrzenianych za pośrednictwem poczty elektronicznej w tym samym okresie. Firma określiła quishing jako najszybciej rozwijający się wektor ataku w tym czasie, co jest zgodne z rosnącym wykorzystaniem kodów QR we wszystkich typach środowisk.
Pliki PDF, wiadomości e-mail i dokumenty pakietu Microsoft 365: preferowane kanały
Raport Barracudy na temat zagrożeń e-mailowych z 2026 roku ujawnia kilka zaskakujących ustaleń. 70% przeanalizowanych złośliwych plików PDF zawierało kody QR, które prowadziły do stron phishingowych. Innymi słowy, dokument działa jak kamuflaż, aby oszukać ofiarę i sprawić, by zaufała plikowi i nie podejrzewała zawartego w nim kodu.
W tym samym raporcie podano, że 56% złośliwych dokumentów Microsoft 365 zawierało kody quish. Co więcej, liczba kodów osadzonych bezpośrednio w treści wiadomości e-mail wzrosła o 336% w marcu 2026 roku. Atakujący nie ograniczają się do załączników: umieszczają również kod QR w samej treści wiadomości, aby zwiększyć prawdopodobieństwo jego zeskanowania.
Raport ESET Threat Report z pierwszej połowy 2026 roku wskazuje, że aż 11% wszystkich ataków phishingowych w pierwszej połowie roku zostało przeprowadzonych z wykorzystaniem metody quishing. Firma ostrzega, że techniki te stają się coraz bardziej wyrafinowane: niektóre kampanie mają na celu zdobycie tokenów uwierzytelniania wieloskładnikowego, instalację złośliwego oprogramowania, nakłonienie ofiar do pobrania szkodliwych aplikacji lub wykorzystanie legalnych aplikacji telefonicznych w ramach oszustwa.
Josep Albors, dyrektor ds. badań i świadomości w ESET Hiszpania, wyjaśnia, że atakujący mogą dodatkowo zamaskować kod, osadzając go w plikach PDF, obrazach JPEG lub innych dokumentach , albo korzystając z usług skracających adresy URL przed wygenerowaniem kodu QR. Jednocześnie wiadomość dołączona do kodu może zawierać bardzo mało tekstu, eliminując klasyczne wskazówki, takie jak błędy ortograficzne, widoczne linki czy nietypowe domeny.
Z menu restauracji na parking: ryzyko fizyczne i środki obronne
Zagrożenie nie kończy się na Twojej skrzynce odbiorczej. Kody QR umieszczone w restauracjach, sklepach, środkach transportu publicznego, parkingach i punktach usług turystycznych stwarzają ten sam problem: nie można sprawdzić, którą stronę wyświetlą przed ich zeskanowaniem. Co więcej, w miejscach publicznych kod mógł zostać zmodyfikowany lub zastąpiony fałszywym.
W sierpniu INCIBE udokumentował prawdziwy przypadek, który doskonale ilustruje to ryzyko. Użytkownik zeskanował kod QR menu restauracji i po kliknięciu linku i zaakceptowaniu wyskakującego okienka, nieumyślnie aktywował niezamówioną subskrypcję premium . Inni klienci tego samego lokalu doświadczyli podobnych sytuacji, co dowodzi, że problem nie był odosobnionym incydentem dotyczącym jednej osoby.
Rozwój tej technologii częściowo wyjaśnia to zjawisko. Według danych zebranych przez QR TIGER, około 75% restauracji na całym świecie korzysta już z kodów QR, aby ułatwić dostęp do cyfrowego menu. Wykorzystanie tego narzędzia w marketingu i reklamie wzrosło o 323% między 2021 a 2023 rokiem, co pomaga zrozumieć, dlaczego przestępcy skupili na nim uwagę.
ESET zaleca firmom włączenie quishingu do programów uświadamiających i ćwiczeń symulacyjnych, aby pracownicy nauczyli się rozpoznawać podejrzane kody QR. Odradza również skanowanie kodów w niechcianych wiadomościach e-mail i zaleca zgłaszanie wszelkich podejrzanych wiadomości.
Gdy pracownik uważa, że wiadomość pochodzi z wiarygodnego źródła, zaleca się jej weryfikację za pośrednictwem niezależnego kanału , wykorzystując dane kontaktowe, których nie ma w samej wiadomości e-mail. Taka weryfikacja zapobiega opieraniu potwierdzenia na informacjach przesłanych przez potencjalnego atakującego.
Istotne znaczenie ma również ochrona techniczna. Wśród wymienionych środków znajdują się rozwiązania zabezpieczające pocztę e-mail, narzędzia bezpieczeństwa mobilnego, zarządzanie urządzeniami za pośrednictwem MDM, uwierzytelnianie wieloskładnikowe odporne na phishing , zasada minimalnych uprawnień, dostęp just-in-time, regularne aktualizacje oraz monitorowanie nietypowych zachowań. Ponadto, kluczowe jest testowanie planów reagowania na incydenty, aby zapewnić szybką reakcję w przypadku ataku.
- Bezpieczeństwo poczty e-mail i urządzeń mobilnych aby zablokować złośliwe linki i kod.
- Zarządzanie urządzeniami MDM stosować minimalne zasady.
- MFA odporne na phishing i zasada najmniejszych przywilejów.
- Aktualizacje, dostęp na bieżąco i ciągły nadzór.
Schemat ujawniony we wszystkich tych danych jest wyraźny: kody QR znalazły swoją niszę w życiu codziennym, ponieważ są wygodne, szybkie i wszechobecne. To właśnie ta wszechobecność sprawia, że są one trudnym zagrożeniem do wykrycia. Kluczem jest ostrożność wobec nieoczekiwanych zdarzeń , sprawdzanie kontekstu przed skanowaniem oraz wdrażanie środków bezpieczeństwa, które towarzyszą użytkownikowi od poczty e-mail po urządzenia mobilne, w tym dokumenty i przestrzenie fizyczne.
