Zapłata za postój zajmuje dziś kilkanaście sekund. Podjeżdżasz, wysiadasz, skanujesz kod QR na parkomacie i płacisz telefonem. Wygoda jest ogromna, dlatego właśnie ten schemat stał się łakomym kąskiem dla oszustów. Wystarczy jedna naklejka przyklejona na oryginalny kod, żeby cały ruch przekierować na stronę wyłudzającą dane karty płatniczej.
Naprawiam sprzęt i konta użytkowników od lat, więc widzę skutki takich ataków z bliska. Najczęściej nie kończy się na jednej transakcji. Podane dane karty trafiają do obiegu i wracają po kilku dniach w postaci serii drobnych obciążeń.
Czym właściwie jest quishing
Quishing to phishing przeniesiony do kodu QR. Zamiast linku w wiadomości dostajesz kwadratowy obrazek, którego nie da się przeczytać wzrokiem. Cały mechanizm opiera się na tym, że nie widzisz adresu, dopóki telefon go nie otworzy.
To istotna różnica wobec klasycznego phishingu. W wiadomości tekstowej podejrzany adres rzuca się w oczy. Przy kodzie QR ta warstwa ostrzegawcza po prostu znika, a użytkownik działa w pośpiechu, bo stoi przy samochodzie.
Dlaczego akurat parkomaty
Parkomat to idealne miejsce dla przestępcy z kilku powodów naraz. Stoi w przestrzeni publicznej bez stałego nadzoru, a naklejenie kwadratu zajmuje trzy sekundy. Nikt nie zwraca uwagi na człowieka schylonego przy urządzeniu. Do tego dochodzi kontekst finansowy. Płatność za postój jest naturalna, kwota niewielka, a formularz z numerem karty nie budzi podejrzeń. Ofiara sama, dobrowolnie, wpisuje pełne dane karty razem z kodem CVV.
Ten sam schemat pojawia się na plakatach, ulotkach, stojakach reklamowych, ładowarkach do samochodów elektrycznych oraz w menu restauracyjnych. Zasada pozostaje identyczna. Jeżeli kod znajduje się w miejscu publicznym, może być podmieniony.
Sprawdź kod, zanim sięgniesz po telefon
Zacznij od dotyku. Przesuń palcem po powierzchni kodu i po jego krawędziach. Oryginalny nadruk jest gładki i stanowi jedną całość z obudową lub tabliczką informacyjną. Naklejka wyczuwalnie wystaje. Zwykle ma widoczną krawędź, minimalny cień przy brzegu oraz inny połysk niż reszta panelu. Bywa też lekko przekrzywiona względem ramki, w którą została wciśnięta. Popatrz na kolorystykę i jakość druku. Podrobione naklejki drukuje się masowo na zwykłej drukarce, więc czcionka opisu bywa inna, a biel papieru odbiega od tła urządzenia. Jeżeli pod spodem prześwituje warstwa poprzedniego kodu, sprawa jest przesądzona.
Spróbuj też podważyć róg paznokciem. Oryginalny nadruk nie zareaguje, natomiast naklejka odejdzie od podłoża. Gdy tak się stanie, nie skanuj niczego i zgłoś sprawę zarządcy strefy płatnego parkowania.
Bezpieczniejsza kolejność działań
Najlepszym rozwiązaniem jest całkowite pominięcie kodu na urządzeniu. Aplikacje do płatności za postój instaluje się raz, ze sklepu Google Play lub App Store, i używa wielokrotnie. Wtedy skanowanie w ogóle przestaje być potrzebne. Jeżeli mimo wszystko chcesz zeskanować kod, użyj wbudowanego aparatu, a nie przypadkowego skanera z reklamami. Systemowy aparat pokazuje adres w formie podglądu i czeka na Twoje potwierdzenie. To jedyny moment, w którym możesz cokolwiek zweryfikować.
Wyłącz również automatyczne otwieranie odczytanych adresów, jeżeli Twój skaner ma taką opcję włączoną domyślnie. Chodzi o to, żeby telefon nigdy nie przechodził na stronę bez Twojej decyzji.
Jak czytać adres, który wyświetlił telefon
Adres analizuje się od prawej strony, a nie od lewej. Kluczowa jest właściwa domena, czyli ostatni człon przed pierwszym ukośnikiem. Wszystko, co znajduje się przed nią, może zostać dowolnie ustawione przez przestępcę. Adres w postaci parkowanie.mojemiasto.pl.oplaty24.xyz nie prowadzi do miasta. Prowadzi do domeny oplaty24.xyz, bo to ona jest właściwym adresem. Nazwa instytucji została tu wykorzystana wyłącznie jako subdomena, żeby uśpić czujność.
Zwróć uwagę na skracacze linków. Kod QR bardzo często zawiera skrócony adres, który ukrywa cel docelowy. W kontekście płatności publicznej to poważny sygnał ostrzegawczy. Sama kłódka przy adresie nie oznacza już bezpieczeństwa. Certyfikat szyfrowania jest dziś darmowy, więc strony wyłudzające dane również go posiadają. Kłódka mówi tylko o szyfrowaniu połączenia, nie o uczciwości właściciela domeny.
Czerwone flagi na stronie płatności
Prawdziwy operator płatności przekieruje Cię do bramki banku lub do systemu typu BLIK. Fałszywa strona zwykle prosi o komplet danych karty w jednym formularzu, łącznie z kodem CVV i datą ważności. Alarmujące jest też żądanie loginu i hasła do bankowości elektronicznej. Opłata za parking nigdy nie wymaga logowania do konta bankowego. Podobnie działa prośba o podanie kodu z wiadomości SMS przy rzekomej weryfikacji.
Jeżeli strona proponuje pobranie pliku APK lub instalację dodatkowej aplikacji poza sklepem, przerwij natychmiast. Ten scenariusz kończy się instalacją oprogramowania szpiegującego, które przechwytuje kody autoryzacyjne.
Może cię zainteresować: Jak Nie Dać Się Złapać na Phishing? Praktyczny Test od Google
Podałeś dane. Reaguj w tej kolejności
- Najpierw zablokuj kartę w aplikacji bankowej. Funkcja czasowej blokady działa natychmiast, a odblokowanie zajmuje sekundę. To szybsze niż telefon na infolinię i skuteczne w pierwszych minutach.
- Następnie zadzwoń na infolinię banku i zgłoś próbę wyłudzenia. Poproś o zastrzeżenie karty na stałe oraz o wydanie nowej. Przy okazji zapytaj o ustawienie limitów transakcji internetowych.
- Zmień hasło do bankowości oraz do poczty, jeżeli zdążyłeś je gdziekolwiek wpisać. Rób to z innego urządzenia niż to, którym skanowałeś kod. Włącz dwuskładnikowe uwierzytelnianie wszędzie tam, gdzie jest dostępne.
- Zastrzeż numer PESEL w aplikacji mObywatel lub w banku, jeżeli formularz prosił o dane osobowe. To blokuje zaciągnięcie kredytu na Twoje dane i działa w ciągu kilku minut.
- Zgłoś incydent do CERT Polska przez formularz na stronie incydent.cert.pl albo w aplikacji mObywatel w usłudze poświęconej bezpieczeństwu w sieci. Załącz zdjęcie parkomatu oraz adres, który się otworzył. Dzięki temu domena trafia na listę ostrzeżeń i zostaje zablokowana u operatorów.
- Na końcu złóż zawiadomienie na policji, zwłaszcza gdy doszło do straty finansowej. Numer zgłoszenia przyda się w postępowaniu reklamacyjnym w banku.
Gdy telefon zdążył coś zainstalować
- Odetnij urządzenie od sieci, włączając tryb samolotowy. Ogranicza to komunikację złośliwej aplikacji z serwerem przestępcy.
- Uruchom telefon w trybie awaryjnym, dostępnym po przytrzymaniu opcji wyłączenia zasilania. W tym trybie aplikacje zewnętrzne się nie uruchamiają, więc odinstalowanie przebiega bez przeszkód.
- Wejdź w ustawienia dostępności oraz w uprawnienia administratora urządzenia. Złośliwe oprogramowanie bankowe niemal zawsze przyznaje sobie te dwa uprawnienia, żeby czytać zawartość ekranu. Odbierz je, a dopiero potem usuń aplikację.
- Wykonaj skanowanie za pomocą Google Play Protect oraz sprawdź listę zainstalowanych aplikacji pod kątem pozycji, których nie kojarzysz. Przy poważniejszej infekcji rozsądniejsze bywa przywrócenie ustawień fabrycznych i odtworzenie danych z kopii zapasowej.
Co warto ustawić zawczasu
- Włącz powiadomienia push o każdej transakcji kartą, nawet o kwocie jednego złotego. Zauważysz obciążenie w kilka sekund, a nie po miesiącu przy wyciągu.
- Ustaw osobny, niski limit dla płatności internetowych. Karta wirtualna do drobnych opłat online rozwiązuje problem jeszcze skuteczniej, bo nie jest powiązana z głównym rachunkiem.
- Zablokuj instalację aplikacji z nieznanych źródeł w ustawieniach systemu. Utrzymuj też aktualną wersję systemu i przeglądarki, ponieważ mechanizmy ostrzegania o niebezpiecznych stronach są tam stale rozbudowywane.
Kilka słów do firm i kierowców służbowych
Pracownik rozliczający parkowanie z karty firmowej to szczególnie atrakcyjny cel. Warto wpisać do procedury wewnętrznej prostą zasadę. Opłaty za postój realizujemy wyłącznie przez zainstalowaną wcześniej aplikację. Dobrym uzupełnieniem jest krótkie szkolenie dotyczące odczytu adresów oraz zgłaszania podejrzanych kodów. Koszt takiego działania jest zerowy, a ogranicza jedno z najprostszych wektorów ataku.
Podsumowanie
Kod QR sam w sobie nie jest zagrożeniem. Problemem pozostaje brak możliwości sprawdzenia go wzrokiem, zanim telefon wykona pracę za Ciebie. Dlatego najlepszą ochroną jest nawyk, a nie program antywirusowy. Sprawdź powierzchnię kodu palcem, przeczytaj adres od prawej strony i płać przez wcześniej zainstalowaną aplikację. Trzy sekundy uwagi przy parkomacie oszczędzają tygodnie korespondencji z bankiem.
