QR kódy jsou dnes všude — na restauračních jídelních lístcích, na průkazech akcí, v platebních terminálech, na parkovacích automatech. Jejich všudypřítomnost z nich udělala vážnou bezpečnostní hrozbu. "Quishing" (phishing s QR kódy) umožňuje útočníkům obejít e-mailové filtry, protože škodlivá adresa URL je skrytá v obrázku místo v prostém textu. Bezpečnostní týmy velkých bank a státních institucí jej označily za jeden z nejrychleji se šířících vektorů sociálního inženýrství posledních dvou let. Pokud ve své firmě vytváříte QR kódy, porozumění quishingu chrání jak vás, tak i lidi, kteří vaše kódy skenují.
Jak vypadá útok quishing
Útok quishing následuje jednoduchý scénář:
- Útočník vygeneruje QR kód s kódovanou škodlivou adresou URL — obvykle stránkou na sběr přihlašovacích údajů, která vypadá jako bankovní služba, kuriér nebo přihlášení do práce.
- Kód je vložen do phishingového e-mailu (kde se vyhne filtrům kontrolujícím odkazy), vytištěn na nálepce přilepené přes legitimní QR kód nebo ponechán na letáku na veřejném místě.
- Oběť kód naskenuje. Mobilní prohlížeče mají slabší ochranu před phishingem než desktopové prohlížeče, takže útok uspěje mnohem často.
Nejzávaznější varianta v reálném světě je zajetí nálepkou: zločinec vytiskne padělný QR kód a přilepí jej přes váš kód na fyzickém místě. Vaši zákazníci skenují kód, který vypadá jako váš, ale skončí na falešné stránce s platbou nebo přihlášením.
Šest signálů, že QR kód může být škodlivý
Vysvětlete svému týmu — a připomínejte svým zákazníkům — aby kontrolovali tyto znaky před tím, než se budou řídit naskenovanou adresou:
- Nálepka na vytištěném materiálu. Legitimní kódy jsou obvykle součástí původního tisku. Nálepka na vrchu, zvláště pokud je mírně křivá nebo bublinková, je varovný signál.
- Doména URL neodpovídá značce. Po naskenování většina fotoaparátů v telefonech zobrazí náhled URL. Kód tvrdící, že je od "vasebank.cz", který odkazuje na "vaseb4nk-secure.net", je padělný.
- Bez HTTPS. Každý cíl pro platbu nebo přihlášení by měl používat HTTPS. Obyčejné HTTP v roce 2026 je okamžitý varující signál.
- Naléhavý jazyk kolem kódu. "Naskenuj nyní nebo bude tvůj účet suspendován" je sociální inženýrství, ne legitimní obchodní komunikace.
- Neočekávané místo. QR kód na náhodné lampě požadující platbu je ze podstaty podezřelý; stejný kód na značce patřící ověřené firmě s laminací uvnitř není.
- Řetězce přesměrování, které jste nenstavili. Pokud jste prodejce a ve svých datech o skením vidíte neočekávané mezilehlé domény v cestě přesměrování, prověřte to okamžitě.
Jak posílit své QR kampaně
Používejte dynamické QR kódy s monitoringem cíle
S dynamickým QR kódem můžete cílovou adresu URL změnit kdykoliv bez nového tisku. Pokud někdo zneužije váš kód nálepkou, můžete příslušnou adresu přesměrovat na stránku, která uživatele varuje — a můžete monitorovat data skení na anomálie (neobvyklá místa, náhlé skokové zvýšení provozu z neznámých měst), které by mohly naznačovat, že váš kód je zneužíván. Statické kódy po vytištění nemají žádné možnosti.
Zaregistrujte rozpoznatelnou krátkou doménu
Generické krátké domény jako bit.ly nebo qr.io trénují uživatele ignorovat náhled URL, protože nikdy nevypadá jako vaše značka. Pokud vaše platforma podporuje vlastní krátkou doménu (např. odkazy.vasibrand.cz), používejte ji. Zákazníci se ji naučí poznávat; útočníci ji nemohou levně napodobit.
Přidejte viditelné branding do samotného kódu
Značkový QR kód — s vaším logem, barvami značky a jasným výzvou jako "Naskenuj pro platbu — VašeBrand.cz" — je složitější přesvědčivě napodobit pomocí nálepky. Náš Super QR Code Generator podporuje vkládání loga a vlastní styly očí, čímž je hotový kód vizuálně odlišný natolik, že jednoduchou černobílou padělnou nálepku je vidět, že je falešná.
Laminujte a označujte fyzické kódy
Zajetí nálepkou je jednodušší u kódů na papírových jídelních lístcích nebo lehkých displejích. Laminované vložky, plastové stojany nebo kódy vytištěné přímo na odolné cedulích se mnohem hůře překrývají. Pro vysoce rizikové lokality (zvláště platební QR kódy) zvažte zahrnutí sekundárního ověřovacího kroku — například zobrazení prvních čtyř číslic očekávané částky na obrazovce před tím, než uživatel zadá nějaké údaje.
Pravidelně kontrolujte vytištěné kódy
Zabudujte jednoduchou kontrolu do svého provozu: každý, kdo ráno otevře váš podnik, rychle prohlédne všechny zobrazené QR kódy. Hledejte nálepky, bublinky nebo jakékoliv fyzické poškození. Toto nic nestojí a chytí zajetí nálepkou dříve, než ho narazí většina zákazníků.
Co říci svým zákazníkům
Pokud používáte QR kódy pro platby nebo přístup k účtu, jedna věta instrukce vedle každého kódu uděla zázraky:
"Po naskenování potvrďte, že URL začíná vasibrand.cz, než zadáte jakékoliv údaje."
Tím se vytvoří očekávání. Zákazníci zvyklí ověřovat URL jsou dramaticky méně pravděpodobní, že padnou pro zajetý kód, i kdyby vaše fyzická bezpečnostní kontrola nálepku přehlédla.
Poznámka k analytice skení jako bezpečnostnímu signálu
Sledování analytiky skení QR kódů není jen marketingové cvičení — je to lehký bezpečnostní signál. Pokud kód, který normálně dostane 20 skení za den, náhle ukazuje 400 skení z města, kde nemáte zákazníky, něco je špatně. Buď je váš kód sdílen v neočekávaném kontextu, nebo někdo testuje klonovanou verzi. V každém případě to stojí za prošetření.
Klíčové poznatky
- Quishing (QR phishing) funguje kódováním škodlivých adres URL do obrázků, obcházením e-mailových skenerů — čímž se stává rostoucí hrozbou.
- Zajetí nálepkou je nejčastější vektor fyzického útoku: zločinci lepí padělné kódy přes legitimní.
- Dynamické QR kódy vám umožňují měnit cíle a monitorovat zneužití; statické kódy vám po tisku nic nenabízejí.
- Vizuálně označte své kódy, používejte rozpoznatelnou doménu a přidejte instrukci pro ověření URL vedle jakéhokoliv platebního nebo přihlašovacího QR kódu.
- Anomálie ve vaší analytice skení — náhlé skokové zvýšení, neznámé zeměpisy — považujte za potenciální bezpečnostní výstrahu, ne jen za marketingovou kuriozitu.
- Denní fyzické kontroly zobrazených kódů nic nestojí a zůstávají nejspolehlivějším způsobem, jak včas chytit zajetí nálepkou.