Quishing: phishing ukryty w kodach QR

Czym jest quishing?

Quishing, od „QR" i „phishing", to atak, w którym złośliwy odnośnik zostaje zakodowany jako kod QR zamiast zwykłego linku. Ofiara skanuje kod telefonem i ląduje na fałszywej stronie logowania albo pobiera aplikację, której nie chciała.

Samo oszustwo wygląda tak samo jak w innych rodzajach phishingu. Zmienia się tylko opakowanie odnośnika. Ta drobna zmiana wystarczy, żeby ominąć sporą część zabezpieczeń pocztowych, w które firmy inwestowały przez ostatnią dekadę.

Dlaczego to działa

Skuteczność bierze się z kilku luk, które nakładają się na siebie:

• Filtry antyphishingowe analizują tekst i odnośniki, a kod QR jest dla nich obrazem
• Użytkownik nie zobaczy adresu przed zeskanowaniem, bo kod niczego nie ujawnia
• Skanowanie przenosi ofiarę na telefon, zwykle prywatny i poza kontrolą działu IT
• Na małym ekranie pasek adresu jest ucięty, więc podmieniona domena łatwo umyka
• Kody QR spowszedniały w restauracjach i na parkomatach, więc skanujemy je odruchowo
• Większość telefonów prywatnych nie ma żadnej ochrony klasy firmowej

Skąd wiadomo, że to rośnie

W 2025 roku kod QR zawierało około 12% wszystkich wiadomości phishingowych. Około 68% tych ataków było wymierzonych w użytkowników mobilnych, co nie jest przypadkiem, tylko wyborem projektowym atakującego. APWG odnotował wcześniej czterokrotny wzrost phishingu opartego na obrazach, a kody QR są jego najprostszą odmianą.

Osobna obserwacja dotyczy kadry zarządzającej. Już w 2023 roku osoby na stanowiskach kierowniczych dostawały wielokrotnie więcej phishingu z kodami QR niż przeciętny pracownik. To ten sam mechanizm selekcji celów, który opisujemy przy spear phishingu i whalingu.

Przebieg ataku

Gdzie pojawiają się złośliwe kody

Quishing nie kończy się na poczcie. Bywa fizyczny i wtedy żadne rozwiązanie IT go nie zobaczy:

• Załączniki PDF udające faktury albo dokumenty kadrowe
• Wiadomości e-mail z kodem zamiast przycisku logowania
• Naklejki nalepione na parkomaty i stacje ładowania
• Podmienione kody w materiałach konferencyjnych i na plakatach
• Fałszywe formularze rejestracyjne i ankiety pracownicze
• Wydruki zostawione w przestrzeni biurowej albo w sali konferencyjnej

Jak rozpoznać zagrożenie

Zasada jest prosta: kod QR to odnośnik od nieznanego nadawcy. Reszta wynika już z tego założenia.

• Kod QR pojawia się w sprawie dotyczącej logowania albo płatności
• Naklejka wygląda na nalepioną na wierzch oryginalnego oznaczenia
• Po zeskanowaniu adres jest skrócony, obcy albo pełen przypadkowych znaków
• Strona prosi o dane logowania, choć kod miał otworzyć dokument
• Wiadomość sugeruje zeskanowanie kodu prywatnym telefonem „dla wygody"
• Nadawca tłumaczy użycie kodu QR problemami technicznymi z odnośnikiem

Jak się chronić

Ochrona wymaga rozciągnięcia zasad bezpieczeństwa poza komputer służbowy:

• Naucz zespół sprawdzać pełny adres po zeskanowaniu, zanim wpisze jakiekolwiek dane
• Wdróż uwierzytelnianie odporne na phishing, czyli passkeys i klucze sprzętowe zamiast kodów SMS
• Włącz kody QR do programu symulacji phishingu obok poczty i SMS-ów
• Objmij telefony z dostępem do danych firmowych tymi samymi politykami co stacje robocze
• Ustal zasadę, że logowanie do systemów firmowych nigdy nie zaczyna się od kodu QR
• Sprawdzaj fizyczne kody w biurze i zgłaszaj naklejki niewiadomego pochodzenia
• Monitoruj konta całodobowo, na przykład w modelu SOC-as-a-Service, bo przejętą sesję widać po zachowaniu, nie po logowaniu
• Dane o pozostałych wektorach socjotechnicznych zebraliśmy w Raporcie Social Engineering 2026

Podsumowanie

Quishing pokazuje, jak szybko atakujący obchodzą zabezpieczenie, które dobrze radzi sobie z poprzednim wektorem. Filtry nauczyły się analizować odnośniki, więc odnośnik zniknął z treści i przeniósł się do obrazka. Kolejny filtr niewiele tu zmieni. Zmieni odruch sprawdzania adresu, niezależnie od tego, w czym ten adres przyjechał.

Kod QR to odnośnik, którego nie zobaczysz przed kliknięciem. Tyle wystarczy, żeby traktować go ostrożnie.