4 Listopada 2026
Quishing – co to jest i jak rozpoznać fałszywy kod QR?
Kod QR może prowadzić do menu restauracji, płatności, biletu, formularza lub strony logowania. To wygodne rozwiązanie jest też wykorzystywane przez oszustów. Quishing to odmiana phishingu, w której spreparowany kod QR kieruje użytkownika do fałszywej witryny, płatności albo pobrania niebezpiecznego pliku. Problem polega na tym, że przed zeskanowaniem nie widzisz od razu adresu docelowego. Dlatego każdy kod QR, który prowadzi do logowania, płatności lub podania danych, warto traktować tak samo ostrożnie jak link z nieznanego SMS-a.
ZWIĘKSZ BEZPIECZEŃSTWO SWOICH DANYCH
O czym pamiętać?
- Kod QR nie jest bezpieczny tylko dlatego, że znajduje się na plakacie, parkomacie, fakturze, ulotce lub w wiadomości od znanej marki.
- Po zeskanowaniu sprawdź adres strony przed logowaniem, płatnością lub pobraniem pliku. Nazwa i wygląd witryny mogą być skopiowane.
- Jeśli kod prowadzi do banku, operatora płatności lub strony wymagającej hasła, bezpieczniej otworzyć oficjalną aplikację albo samodzielnie wpisać adres usługi.
- Nie instaluj aplikacji ani „aktualizacji” tylko dlatego, że po zeskanowaniu QR pojawiła się taka instrukcja.
- Samo odczytanie kodu nie musi oznaczać kradzieży danych. Największe ryzyko zaczyna się po otwarciu strony, podaniu informacji, pobraniu pliku lub wykonaniu płatności.
- Jeśli podałeś hasło, dane karty lub kod autoryzacyjny, reaguj od razu – nie czekaj, aż pojawi się strata.
Co to jest quishing?
Quishing to oszustwo wykorzystujące kod QR jako sposób dostarczenia złośliwego linku. Nazwa powstała z połączenia „QR” i „phishing”. Mechanizm pozostaje podobny do klasycznego phishingu, czyli przestępca chce skłonić użytkownika do wejścia na fałszywą stronę, podania danych logowania, informacji osobowych lub płatniczych, wykonania przelewu albo pobrania złośliwego oprogramowania.
Różnica polega na sposobie ukrycia adresu. W zwykłej wiadomości możesz od razu zobaczyć link albo przynajmniej jego fragment. Kod QR jest obrazem. Dopiero po zeskanowaniu telefon odczytuje zakodowany adres lub inną informację. Oszust liczy na to, że użytkownik skupi się na samym komunikacie: „zapłać”, „odbierz”, „potwierdź”, „zaloguj się” i nie sprawdzi, dokąd naprawdę prowadzi kod.
Różnica polega na sposobie ukrycia adresu. W zwykłej wiadomości możesz od razu zobaczyć link albo przynajmniej jego fragment. Kod QR jest obrazem. Dopiero po zeskanowaniu telefon odczytuje zakodowany adres lub inną informację. Oszust liczy na to, że użytkownik skupi się na samym komunikacie: „zapłać”, „odbierz”, „potwierdź”, „zaloguj się” i nie sprawdzi, dokąd naprawdę prowadzi kod.
Jak działa oszustwo z kodem QR?
1. Oszust tworzy wiarygodny pretekst
Kod może być przedstawiony jako sposób zapłaty, sprawdzenia mandatu, odebrania przesyłki, pobrania biletu, uzyskania rabatu, zalogowania się do usługi albo „potwierdzenia bezpieczeństwa”. Sam scenariusz ma wywołać pośpiech lub obiecać wygodę.
2. Kod ukrywa docelowy adres
Użytkownik widzi grafikę QR, ale nie widzi od razu domeny. To daje oszustowi przewagę, bo może umieścić kod w e-mailu, dokumencie, wiadomości, grafice albo przestrzeni publicznej, a następnie skierować ofiarę do serwisu wyglądającego jak prawdziwy.
3. Fałszywa strona prosi o działanie
Po otwarciu mogą pojawić się pola logowania, formularz danych, bramka płatnicza, prośba o podanie danych karty, kodu SMS lub BLIK albo przycisk pobierania aplikacji. Czasem użytkownik jest przekonywany, że musi zainstalować „aktualizację”, „certyfikat” albo dodatkowy program.
4. Dane lub pieniądze trafiają do przestępcy
Jeżeli ofiara wpisze hasło, dane karty lub kod autoryzacyjny, oszust może próbować wykorzystać je natychmiast. W innym wariancie pobrany plik może zainfekować urządzenie albo przejąć dane zapisane w systemie.
Kod może być przedstawiony jako sposób zapłaty, sprawdzenia mandatu, odebrania przesyłki, pobrania biletu, uzyskania rabatu, zalogowania się do usługi albo „potwierdzenia bezpieczeństwa”. Sam scenariusz ma wywołać pośpiech lub obiecać wygodę.
2. Kod ukrywa docelowy adres
Użytkownik widzi grafikę QR, ale nie widzi od razu domeny. To daje oszustowi przewagę, bo może umieścić kod w e-mailu, dokumencie, wiadomości, grafice albo przestrzeni publicznej, a następnie skierować ofiarę do serwisu wyglądającego jak prawdziwy.
3. Fałszywa strona prosi o działanie
Po otwarciu mogą pojawić się pola logowania, formularz danych, bramka płatnicza, prośba o podanie danych karty, kodu SMS lub BLIK albo przycisk pobierania aplikacji. Czasem użytkownik jest przekonywany, że musi zainstalować „aktualizację”, „certyfikat” albo dodatkowy program.
4. Dane lub pieniądze trafiają do przestępcy
Jeżeli ofiara wpisze hasło, dane karty lub kod autoryzacyjny, oszust może próbować wykorzystać je natychmiast. W innym wariancie pobrany plik może zainfekować urządzenie albo przejąć dane zapisane w systemie.
Gdzie można spotkać fałszywy kod QR?
Quishing nie jest ograniczony do jednego kanału. Spreparowany kod może pojawić się zarówno online, jak i w świecie fizycznym. Szczególną ostrożność zachowaj, gdy QR dotyczy:
- płatności za parking, bilet, rachunek albo usługę;
- dopłaty do przesyłki lub rzekomego problemu z dostawą;
- mandatu, wezwania do zapłaty lub innego pilnego zobowiązania;
- logowania do banku, poczty, konta firmowego albo portalu społecznościowego;
- odbioru nagrody, promocji, kuponu albo darmowego materiału;
- pobrania aplikacji, aktualizacji lub dokumentu;
- potwierdzenia tożsamości, konta lub „weryfikacji bezpieczeństwa”.
Sam kontekst nie przesądza o oszustwie. Kod QR jest zwykłym nośnikiem informacji. Ryzyko rośnie wtedy, gdy łączy się z presją czasu, żądaniem danych lub pieniędzy i brakiem możliwości łatwego zweryfikowania nadawcy.
Jak rozpoznać podejrzany kod QR?
Nie istnieje wizualny znak, który zawsze odróżni prawdziwy kod od fałszywego. Możesz jednak sprawdzić kontekst i zachowanie strony po zeskanowaniu.
Sprawdź, czy kod nie wygląda na doklejony
W przestrzeni publicznej zwróć uwagę, czy kod jest integralną częścią materiału, czy wygląda jak dodatkowa naklejka zasłaniająca inne oznaczenie. Jeśli chodzi o płatność za parking, bilet lub usługę, porównaj sposób płatności z informacjami operatora.
Zobacz podgląd adresu
Wiele aparatów i skanerów pokazuje adres przed otwarciem strony. Nie klikaj automatycznie. Sprawdź nazwę domeny, literówki, nietypowe końcówki i to, czy adres odpowiada instytucji, której dotyczy komunikat. Sam symbol kłódki i HTTPS nie potwierdzają, że strona należy do prawdziwej firmy.
Uważaj na logowanie i płatność
Jeżeli QR prowadzi do formularza hasła, banku lub płatności, przerwij i otwórz usługę niezależnie – przez oficjalną aplikację lub adres wpisany ręcznie. Szczególnie niebezpieczne są strony, które od razu żądają PESEL-u, pełnych danych karty, kodu SMS, kodu BLIK lub loginu do bankowości.
Nie pobieraj plików na polecenie strony
Kod QR może prowadzić do pliku, instalatora lub aplikacji. Jeśli nie planowałeś pobierania, zamknij stronę. Programy instaluj z oficjalnych sklepów lub bezpośrednio z witryny dostawcy, do której wszedłeś samodzielnie.
Sprawdź, czy kod nie wygląda na doklejony
W przestrzeni publicznej zwróć uwagę, czy kod jest integralną częścią materiału, czy wygląda jak dodatkowa naklejka zasłaniająca inne oznaczenie. Jeśli chodzi o płatność za parking, bilet lub usługę, porównaj sposób płatności z informacjami operatora.
Zobacz podgląd adresu
Wiele aparatów i skanerów pokazuje adres przed otwarciem strony. Nie klikaj automatycznie. Sprawdź nazwę domeny, literówki, nietypowe końcówki i to, czy adres odpowiada instytucji, której dotyczy komunikat. Sam symbol kłódki i HTTPS nie potwierdzają, że strona należy do prawdziwej firmy.
Uważaj na logowanie i płatność
Jeżeli QR prowadzi do formularza hasła, banku lub płatności, przerwij i otwórz usługę niezależnie – przez oficjalną aplikację lub adres wpisany ręcznie. Szczególnie niebezpieczne są strony, które od razu żądają PESEL-u, pełnych danych karty, kodu SMS, kodu BLIK lub loginu do bankowości.
Nie pobieraj plików na polecenie strony
Kod QR może prowadzić do pliku, instalatora lub aplikacji. Jeśli nie planowałeś pobierania, zamknij stronę. Programy instaluj z oficjalnych sklepów lub bezpośrednio z witryny dostawcy, do której wszedłeś samodzielnie.
Czy samo zeskanowanie kodu QR jest niebezpieczne?
Samo odczytanie kodu QR przez aparat najczęściej tylko pokazuje zakodowaną informację lub adres. Nie oznacza to, że oszust zdobył Twoje hasło czy pieniądze. Ryzyko zależy od tego, co wydarzyło się później.
Jeśli tylko zobaczyłeś podgląd adresu i nie otworzyłeś strony, wystarczy zrezygnować z dalszego działania. Jeżeli strona została otwarta, ale niczego nie wpisałeś i nic nie pobrałeś, zamknij ją i sprawdź, czy przeglądarka nie rozpoczęła pobierania. Jeżeli podałeś dane, zainstalowałeś aplikację albo zatwierdziłeś płatność, potraktuj sytuację jako incydent i przejdź do odpowiednich działań zabezpieczających.
Jeśli tylko zobaczyłeś podgląd adresu i nie otworzyłeś strony, wystarczy zrezygnować z dalszego działania. Jeżeli strona została otwarta, ale niczego nie wpisałeś i nic nie pobrałeś, zamknij ją i sprawdź, czy przeglądarka nie rozpoczęła pobierania. Jeżeli podałeś dane, zainstalowałeś aplikację albo zatwierdziłeś płatność, potraktuj sytuację jako incydent i przejdź do odpowiednich działań zabezpieczających.
Co zrobić po zeskanowaniu fałszywego kodu QR?
Jeśli tylko otworzyłeś podejrzaną stronę
Zamknij kartę, nie wpisuj danych i sprawdź historię pobrań. Nie akceptuj powiadomień, profili konfiguracyjnych, rozszerzeń przeglądarki ani instalacji aplikacji. Jeśli chcesz sprawdzić adres, przeczytaj poradnik: Czy link jest bezpieczny? Jak to sprawdzić?
Jeśli podałeś login i hasło
Wejdź do prawdziwej usługi przez oficjalną aplikację lub samodzielnie wpisany adres. Zmień hasło, wyloguj pozostałe sesje i sprawdź urządzenia zalogowane do konta. Jeżeli to samo hasło było używane w innych serwisach, zmień je również tam. Włącz 2FA lub inną silną metodę logowania, jeśli jest dostępna.
Jeśli podałeś dane karty lub bankowości
Skontaktuj się z bankiem pod oficjalnym numerem i opisz, jakie informacje zostały podane. Bank wskaże, czy konieczne jest zastrzeżenie karty, zmiana danych dostępowych albo inne zabezpieczenie. Sprawdź historię operacji i nie zatwierdzaj nieznanych transakcji.
Jeśli pobrałeś plik lub aplikację
Nie uruchamiaj pliku ponownie. Usuń podejrzaną aplikację, jeśli została zainstalowana, zaktualizuj system i wykonaj skan zaufanym narzędziem bezpieczeństwa. Jeżeli aplikacja otrzymała uprawnienia do SMS-ów, powiadomień, dostępności lub zdalnego sterowania, potraktuj sytuację szczególnie poważnie. Pomocny będzie też poradnik: Złośliwe oprogramowanie – jak się chronić?
Jeśli przekazałeś PESEL lub dane dokumentu
Oceń zakres przekazanych informacji. Przy szerokim zestawie danych identyfikacyjnych rozważ zastrzeżenie PESEL i monitoruj próby wykorzystania danych. Zachowaj zrzuty ekranu, adres strony i treść wiadomości, która doprowadziła Cię do kodu.
Zamknij kartę, nie wpisuj danych i sprawdź historię pobrań. Nie akceptuj powiadomień, profili konfiguracyjnych, rozszerzeń przeglądarki ani instalacji aplikacji. Jeśli chcesz sprawdzić adres, przeczytaj poradnik: Czy link jest bezpieczny? Jak to sprawdzić?
Jeśli podałeś login i hasło
Wejdź do prawdziwej usługi przez oficjalną aplikację lub samodzielnie wpisany adres. Zmień hasło, wyloguj pozostałe sesje i sprawdź urządzenia zalogowane do konta. Jeżeli to samo hasło było używane w innych serwisach, zmień je również tam. Włącz 2FA lub inną silną metodę logowania, jeśli jest dostępna.
Jeśli podałeś dane karty lub bankowości
Skontaktuj się z bankiem pod oficjalnym numerem i opisz, jakie informacje zostały podane. Bank wskaże, czy konieczne jest zastrzeżenie karty, zmiana danych dostępowych albo inne zabezpieczenie. Sprawdź historię operacji i nie zatwierdzaj nieznanych transakcji.
Jeśli pobrałeś plik lub aplikację
Nie uruchamiaj pliku ponownie. Usuń podejrzaną aplikację, jeśli została zainstalowana, zaktualizuj system i wykonaj skan zaufanym narzędziem bezpieczeństwa. Jeżeli aplikacja otrzymała uprawnienia do SMS-ów, powiadomień, dostępności lub zdalnego sterowania, potraktuj sytuację szczególnie poważnie. Pomocny będzie też poradnik: Złośliwe oprogramowanie – jak się chronić?
Jeśli przekazałeś PESEL lub dane dokumentu
Oceń zakres przekazanych informacji. Przy szerokim zestawie danych identyfikacyjnych rozważ zastrzeżenie PESEL i monitoruj próby wykorzystania danych. Zachowaj zrzuty ekranu, adres strony i treść wiadomości, która doprowadziła Cię do kodu.
Jak bezpiecznie korzystać z kodów QR?
Traktuj QR jak ukryty link. Przed wykonaniem kolejnego kroku zweryfikuj adres i cel działania:
- skanuj kody tylko wtedy, gdy rozumiesz, czego dotyczą;
- korzystaj z podglądu adresu przed otwarciem strony;
- w przypadku płatności lub logowania otwieraj oficjalną aplikację zamiast formularza z QR;
- nie podawaj danych tylko dlatego, że kod znajduje się na profesjonalnie wyglądającym materiale;
- nie instaluj aplikacji z pliku pobranego po zeskanowaniu przypadkowego QR;
- weryfikuj nietypowe prośby niezależnym kanałem;
- aktualizuj telefon i przeglądarkę, aby ograniczać ryzyko wykorzystania znanych podatności.
Quishing a phishing i smishing – czym się różnią?
Phishing to szeroka kategoria oszustw polegających na podszywaniu się pod zaufany podmiot w celu wyłudzenia danych, pieniędzy lub wykonania określonej czynności. Quishing wykorzystuje do tego kod QR. Smishing wykorzystuje wiadomości SMS lub podobne wiadomości tekstowe.
Te techniki mogą się łączyć. Przykładowo, SMS może zawierać obraz z kodem QR, a e-mail może prosić o zeskanowanie kodu telefonem, żeby ominąć przyzwyczajenie użytkownika do sprawdzania linków. Więcej o wiadomościach tekstowych przeczytasz w poradniku: Smishing – co to jest i jak chronić dane?
Jeśli chcesz zrozumieć cały mechanizm podszywania się i fałszywych stron, przeczytaj też: Phishing – co to jest i jak się przed nim chronić?
Te techniki mogą się łączyć. Przykładowo, SMS może zawierać obraz z kodem QR, a e-mail może prosić o zeskanowanie kodu telefonem, żeby ominąć przyzwyczajenie użytkownika do sprawdzania linków. Więcej o wiadomościach tekstowych przeczytasz w poradniku: Smishing – co to jest i jak chronić dane?
Jeśli chcesz zrozumieć cały mechanizm podszywania się i fałszywych stron, przeczytaj też: Phishing – co to jest i jak się przed nim chronić?
Gdzie zgłosić fałszywy kod QR lub stronę?
Jeżeli kod prowadzi do strony wyłudzającej dane lub innego incydentu bezpieczeństwa, możesz zgłosić zdarzenie do CERT Polska przez formularz na incydent.cert.pl. Podejrzaną wiadomość SMS zawierającą złośliwy link można przekazać w niezmienionej formie na numer 8080.
Jeżeli doszło do utraty pieniędzy, podszywania się, nieautoryzowanych transakcji lub innego przestępstwa, skontaktuj się również z bankiem i odpowiednimi organami ścigania. Zgłoszenie do CERT Polska nie zastępuje zgłoszenia przestępstwa.
Jeżeli doszło do utraty pieniędzy, podszywania się, nieautoryzowanych transakcji lub innego przestępstwa, skontaktuj się również z bankiem i odpowiednimi organami ścigania. Zgłoszenie do CERT Polska nie zastępuje zgłoszenia przestępstwa.
Jak może pomóc Chroń PESEL?
Chroń PESEL nie blokuje kodów QR ani stron phishingowych. Może jednak uzupełniać ochronę tożsamości wtedy, gdy w wyniku oszustwa Twoje dane osobowe trafią w niepowołane ręce i pojawi się ryzyko ich dalszego wykorzystania.
W zależności od wybranego pakietu dostępne są funkcje monitoringu związane z danymi i numerem PESEL. Sprawdź pakiety Chroń PESEL i wybierz zakres ochrony dopasowany do swoich potrzeb.
W zależności od wybranego pakietu dostępne są funkcje monitoringu związane z danymi i numerem PESEL. Sprawdź pakiety Chroń PESEL i wybierz zakres ochrony dopasowany do swoich potrzeb.
Podsumowanie
Quishing to phishing ukryty w kodzie QR. Sam kod nie zdradza, dokąd prowadzi, dlatego oszust może łatwiej skierować użytkownika do fałszywej strony logowania, płatności lub pobrania pliku. Najważniejszą ochroną jest sprawdzenie docelowego adresu i przerwanie działania, gdy QR niespodziewanie prowadzi do banku, logowania lub instalacji.
Jeżeli po zeskanowaniu podałeś dane, nie ograniczaj się do zamknięcia strony. Zmień hasło, zabezpiecz sesje, skontaktuj się z bankiem przy danych finansowych i zgłoś podejrzaną stronę. Szybka reakcja ma większe znaczenie niż samo ustalenie, jak nazwano zastosowaną metodę oszustwa.
Jeżeli po zeskanowaniu podałeś dane, nie ograniczaj się do zamknięcia strony. Zmień hasło, zabezpiecz sesje, skontaktuj się z bankiem przy danych finansowych i zgłoś podejrzaną stronę. Szybka reakcja ma większe znaczenie niż samo ustalenie, jak nazwano zastosowaną metodę oszustwa.
Najczęściej zadawane pytania FAQ
Czy kod QR może być wirusem?
Sam kod QR jest nośnikiem informacji. Może jednak prowadzić do strony lub pliku wykorzystywanego do infekcji urządzenia. Nie instaluj aplikacji ani plików tylko dlatego, że po zeskanowaniu kodu pojawiła się taka instrukcja.
Czy można sprawdzić link z kodu QR bez otwierania strony?
Wiele telefonów pokazuje podgląd adresu po skierowaniu aparatu na kod. Zanim otworzysz stronę, przeczytaj domenę. Jeśli masz wątpliwości, nie przechodź dalej i znajdź oficjalną stronę samodzielnie.
Co zrobić, jeśli zeskanowałem podejrzany kod, ale nic nie wpisałem?
Jeśli nie podałeś danych, nie pobrałeś pliku i nie zatwierdziłeś płatności, zamknij stronę i sprawdź historię pobrań. Samo zeskanowanie nie oznacza automatycznie przejęcia konta.
Co zrobić, jeśli po QR podałem hasło?
Zmień hasło na oficjalnej stronie usługi, wyloguj inne sesje, sprawdź połączone urządzenia i włącz dodatkowe uwierzytelnianie. Jeżeli hasło było używane w innych serwisach, zmień je również tam.
Czy bezpieczny kod QR zawsze prowadzi do HTTPS?
Prawidłowa usługa powinna używać szyfrowanego połączenia, ale samo HTTPS nie potwierdza tożsamości strony. Oszuści również mogą uzyskać certyfikat dla własnej domeny. Zawsze sprawdzaj nazwę domeny.
Gdzie zgłosić quishing?
Podejrzaną stronę lub incydent możesz zgłosić przez incydent.cert.pl. Jeżeli kod QR otrzymałeś w podejrzanej wiadomości SMS zawierającej złośliwy link, przekaż SMS do CERT Polska na numer 8080.
Sam kod QR jest nośnikiem informacji. Może jednak prowadzić do strony lub pliku wykorzystywanego do infekcji urządzenia. Nie instaluj aplikacji ani plików tylko dlatego, że po zeskanowaniu kodu pojawiła się taka instrukcja.
Czy można sprawdzić link z kodu QR bez otwierania strony?
Wiele telefonów pokazuje podgląd adresu po skierowaniu aparatu na kod. Zanim otworzysz stronę, przeczytaj domenę. Jeśli masz wątpliwości, nie przechodź dalej i znajdź oficjalną stronę samodzielnie.
Co zrobić, jeśli zeskanowałem podejrzany kod, ale nic nie wpisałem?
Jeśli nie podałeś danych, nie pobrałeś pliku i nie zatwierdziłeś płatności, zamknij stronę i sprawdź historię pobrań. Samo zeskanowanie nie oznacza automatycznie przejęcia konta.
Co zrobić, jeśli po QR podałem hasło?
Zmień hasło na oficjalnej stronie usługi, wyloguj inne sesje, sprawdź połączone urządzenia i włącz dodatkowe uwierzytelnianie. Jeżeli hasło było używane w innych serwisach, zmień je również tam.
Czy bezpieczny kod QR zawsze prowadzi do HTTPS?
Prawidłowa usługa powinna używać szyfrowanego połączenia, ale samo HTTPS nie potwierdza tożsamości strony. Oszuści również mogą uzyskać certyfikat dla własnej domeny. Zawsze sprawdzaj nazwę domeny.
Gdzie zgłosić quishing?
Podejrzaną stronę lub incydent możesz zgłosić przez incydent.cert.pl. Jeżeli kod QR otrzymałeś w podejrzanej wiadomości SMS zawierającej złośliwy link, przekaż SMS do CERT Polska na numer 8080.
Źródła
- Gov.pl – Quishing – oszustwo z wykorzystaniem kodów QR, dostęp: 01.10.2026.
- Ministerstwo Cyfryzacji – Oszustwa z wykorzystaniem QR kodów, dostęp: 01.10.2026.
- CERT Polska – Kontakt i zgłaszanie incydentów, dostęp: 01.10.2026.
Data aktualizacji: 7 października 2026 r.
Niniejszy materiał ma charakter wyłącznie marketingowy i ma na celu zachęcenie do nabycia usług Chroń PESEL świadczonych przez Kaczmarski Group Sp. J. oraz jej partnerów, tj. KRD BIG S.A. oraz TU Europa S.A. Materiał ten nie ma charakteru konsultingowego i nie powinien stanowić wyłącznej podstawy do podjęcia jakichkolwiek decyzji. Rekomendowane jest zapoznanie się ze szczegółowymi zasadami świadczenia usług Chroń PESEL, określonymi w odpowiednich Regulaminach, Ogólnych Warunkach, Warunkach ubezpieczenia oraz Cennikach (dostępnych na stronach internetowych chronpesel.pl).