Zeskanowałeś kod QR na parkometrze lub w restauracji? Sprawdź, czy nie padłeś ofiarą oszustwa

Wracasz do samochodu, parkometr zaraz przestanie działać, a na słupku, w miejscu dawnych instrukcji płatności, widnieje naklejka z kodem QR. Skanujesz ją, ładuje się strona płatności, wpisujesz numer karty i klikasz zapłać. Gdzieś w zaparkowanym kilka ulic dalej samochodzie nieznajomy właśnie patrzy, jak dane Twojej karty lądują w arkuszu kalkulacyjnym, a Twój parkometr wciąż jest nieważny.

Zanim zeskanujesz: 10-sekundowy test

Zrób to, zanim Twój kciuk dotknie kodu, a nie po fakcie. Fałszywa naklejka ma przetrwać przelotne spojrzenie, a nie wnikliwą obserwację, dlatego cała obrona polega na zwolnieniu tempa na dziesięć sekund.

Ten ostatni nawyk to coś, co naprawdę powstrzymuje oszustwo, ponieważ całkowicie usuwa naklejkę z transakcji. Ostrzeżenie Better Business Bureau z lipca 2024 roku ujmuje to jasno: „Oszuści mogą próbować Cię zmylić, umieszczając naklejki z kodami QR tam, gdzie nie powinny się znajdować. Mogą nawet naklejać je na legalne kody QR”.

Wytyczne organizacji AARP dotyczące oszustw określają ten sam nawyk jako „sprawdzenie źródła”: kod wydrukowany w czasopiśmie, które prenumerujesz, lub na stronie, której już ufasz, wiąże się z innym poziomem ryzyka niż ten przyklejony do słupka lub stolika, którego nigdy wcześniej nie widziałeś. Ich przewodnik z marca 2025 roku jest skierowany do szerokiego grona odbiorców, a nie tylko podróżnych, ale podstawowy test sprawdza się wszędzie: czy szukałeś tego kodu, czy pojawił się w miejscu, w którym akurat stoisz.

Czy już kliknąłeś „Zapłać”? Zrób te pięć rzeczy natychmiast

Jeśli już zeskanowałeś podejrzany kod i wprowadziłeś dane płatności, następne dziesięć minut ma większe znaczenie niż cokolwiek, co przeczytasz po tej sekcji. Wykonaj te punkty po kolei.

To ogólne wskazówki dotyczące bezpieczeństwa, a nie porady prawne lub finansowe. Warunki rozstrzygania sporów przez wystawcę karty oraz lokalne wymogi dotyczące zgłaszania różnią się w zależności od miejsca.

Jeśli fałszywa strona poprosiła Cię również o zeskanowanie lub sfotografowanie dokumentu, takiego jak prawo jazdy, w celu „weryfikacji” płatności, potraktuj to jako osobny incydent niezwiązany z obciążeniem karty. Nasza lista kontrolna dokumentów podróżnych omawia, które dokumenty należy zabezpieczyć i zablokować po każdym takim incydencie, oprócz powyższych kroków dotyczących kart i haseł.

To nie hipoteza: w trzech amerykańskich miastach znaleziono już fałszywe naklejki

Sytuacja ta miała już miejsce w wielu amerykańskich miastach w ciągu ostatnich dwóch lat, nie jako jednorazowy żart, ale jako zorganizowane rozmieszczenie naklejek na dziesiątkach parkometrów naraz. Każdy przypadek przebiegał według tego samego schematu: ktoś wydrukował wystarczająco dużo naklejek, aby pokryć parkometry w całej okolicy podczas jednej wizyty, i dopiero fala zdezorientowanych kierowców lub wskazówka od policji sprawiła, że ktoś to zauważył. Oto co udało się wykryć.

W Redondo Beach w Kalifornii policja poinformowała w sierpniu 2024 roku, że oszuści umieścili fałszywe naklejki QR na 150 parkometrach w rejonie Esplanade i Riviera Village, tuż obok legalnych etykiet ParkMobile i PayByPhone. Fałszywy kod kierował na fałszywą stronę poybyphone.online, różniącą się jedną literą od prawdziwego dostawcy płatności. Funkcjonariusze usunęli naklejki, a śledztwo wciąż jest otwarte; każdy, kto zeskanował taką naklejkę, może zadzwonić na policję w Redondo Beach pod numer (310) 379-2477.

Departament Transportu Nowego Jorku wydał ogólnomiejskie ostrzeżenie w czerwcu 2025 roku, gdy co najmniej jedna fałszywa naklejka pojawiła się na parkometrze ParkNYC, przekierowując na zewnętrzną stronę z prośbą o podanie numeru karty kredytowej. Komisarz DOT Ydanis Rodriguez wyraził to wprost w ostrzeżeniu wydanym przez departament, o którym informował NY1: „Konsumenci, miejcie się na baczności: oszuści biorą na celownik parkometry i chcemy, abyście byli czujni. Jeśli zauważycie kod QR na parkometrze, nie skanujcie go i prosimy o zgłoszenie tego”.

W Fort Lauderdale na Florydzie znaleziono fałszywe naklejki w siedmiu miejscach parkingowych w połowie listopada 2024 roku, ale z pewnym haczykiem: kody umieszczono na oznakowaniach automatów na monety i stacji ładowania pojazdów elektrycznych, a nie bezpośrednio na samych parkometrach. Rzeczniczka miasta Christine Portela powiedziała stacji CBS News Miami: „Wzywamy wszystkich korzystających z parkingów miejskich do płacenia wyłącznie za pośrednictwem oficjalnych parkometrów lub poprzez pobranie oficjalnej aplikacji płatniczej oznaczonej na oficjalnych znakach miejskich, a NIE na naklejce”. Lekcja płynąca z Fort Lauderdale jest taka, że „sprawdź parkometr” to niejedyna zasada. Sprawdzaj każdą powierzchnię, na której znajduje się kod, w tym pobliskie znaki i kioski ładowarek.

Jeśli chcesz uzyskać szerszy obraz oszustw, które celują w osoby przebywające poza domem, nasze regionalne zestawienie oszustw turystycznych omawia sztuczki, które najczęściej pojawiają się na poszczególnych kontynentach.

Menu w restauracjach niesie ze sobą takie samo ryzyko, nawet jeśli jeszcze nie trafiło do nagłówków prasy

Każde menu z kodem QR, które skanujesz, działa na tej samej zasadzie co naklejka na parkometrze: kod, przekierowanie i formularz z prośbą o dane. Różnica polega na tym, że żaden pojedynczy incydent w restauracji z datą nie trafił na czołówki gazet tak jak przypadki parkingowe. Nie oznacza to jednak, że ryzyko nie istnieje. Oznacza to, że metoda ta została udokumentowana jako technika, a nie przypisana jak dotąd do jednego głośnego incydentu, a stolik w restauracji może być łatwiejszym celem niż parkometr, ponieważ laminowana karta jest znacznie tańsza do wymiany niż automat na monety.

FTC już teraz określa manipulowanie kodami QR jako ogólny wzorzec ataku, który ma zastosowanie wszędzie tam, co znajduje się w miejscu publicznym i pozostaje bez nadzoru, co dotyczy zarówno stojaka reklamowego na stoliku w restauracji, jak i słupka parkingowego. Centrum ds. Skarg na Przestępstwa Internetowe FBI ostrzegało niezależnie przed powiązanym wektorem ataku, czyli kodami QR wysyłanymi w niezamówionych przesyłkach, co potwierdza, że ta sama taktyka (pułapka polegająca na zeskanowaniu i przekierowaniu) działa przy użyciu więcej niż jednej metody dostarczania, a nie tylko parkometrów i przesyłek pocztowych. Kod QR w menu, który otwiera zwykły formularz internetowy z prośbą o numer karty przed pokazaniem jakiegokolwiek jedzenia, zachowuje się jak oszustwo płatnicze, a nie jak menu.

Praktyczne rozwiązanie jest dokładnie tym samym, które sprawdza się przy parkometrze. Jeśli kod w menu otwiera bezpośrednio ekran płatności lub logowania do konta zamiast karty dań, zamknij go i poproś personel o fizyczne menu lub wpisz nazwę restauracji w wyszukiwarkę samodzielnie. Jeśli fałszywa strona idzie o krok dalej i prosi Cię o „potwierdzenie” za pomocą linku w wiadomości tekstowej lub czatu, pokrywa się to ze sztuczkami opartymi na wiadomościach w naszym przewodniku dotyczącym ochrony przed oszustwami podróżnymi z użyciem sztucznej inteligencji, który wyjaśnia, jak oszuści wykorzystują połączenie poczucia pilności i oficjalnie wyglądającego linku w wiadomościach tekstowych i na czacie.

Dlaczego ta sztuczka działa nawet na ludzi, którym się wydaje, że nigdy by się na nią nie nabrali

Powszechne przekonanie jest takie, że oszustwa z kodami QR dotykają tylko osób nieostrożnych lub niemających pojęcia o technologii. Prawda jest wręcz przeciwna: oszustwo opiera się na momencie, w którym działasz szybko i ufasz otoczeniu fizycznemu, a nie na braku wiedzy technicznej.

Parkometr to własność publiczna przymocowana śrubami do chodnika. Stojak na stoliku w restauracji podaje Ci personel. Oba te elementy budzą domniemanie legalności, jakiej przypadkowa wiadomość tekstowa czy e-mail nigdy nie mają, i właśnie dlatego oszuści przeniesli atak do świata fizycznego zamiast do Twojej skrzynki odbiorczej. Nie oceniasz, czy ufasz nieznajomemu w internecie. Reagujesz na znajomy przedmiot w miejscu, któremu już ufasz, pod presją czasu (kończący się czas parkowania, głód przy stoliku), która zniechęca do wnikliwych oględzin.

Nie stań się bardziej podejrzliwy wobec wszystkiego. Ogranicz swoje zaufanie do jednego konkretnego testu: czy strona docelowa zgadza się z marką wydrukowaną na znaku, sprawdzoną przed wprowadzeniem jakichkolwiek danych. Ten jeden test pozwala wykryć oszustwo bez względu na to, jak przekonująco wygląda naklejka, ponieważ oszust może idealnie skopiować logo, ale nie sprawi, że poybyphone.online zacznie wyglądać jak paybyphone.com. Jest to ta sama zasada przed i po, która stoi za naszym omówieniem oszustwa polegającego na uszkodzeniu samochodu z wypożyczalni, gdzie obrona polega na liście kontrolnej, przez którą przechodzisz po kolei, a nie na ogólnej czujności, jaką masz utrzymywać przez całą podróż.

To również wyjaśnia, dlaczego te przypadki wciąż pojawiają się w miejscach licznie odwiedzanych przez turystów lub obszarach o dużym ruchu: pas parkingowy w Riviera Village, parking w pobliżu miejsca imprezy, restauracja z dużą liczbą odwiedzających ją raz w życiu gości. Miejscowi, którzy parkują w tym samym miejscu co tydzień, szybciej zauważą naklejkę, której nie było tam wczoraj. Ktoś odwiedzający to miejsce po raz pierwszy nie ma punktu odniesienia, i właśnie tę lukę ma wypełnić ten artykuł, zanim jeszcze tam staniesz.

Jak naprawdę rozpoznać podmienioną naklejkę

Fałszywa naklejka QR musi fizycznie znajdować się na prawdziwej naklejce lub tuż obok niej, co pozostawia ślady, jakich legalny kod nigdy nie ma. Skorzystaj z tej tabeli następnym razem, gdy staniesz przed takim miejscem.

Żadne z tych sprawdzeń nie wymaga aplikacji ani subskrypcji. Wymagają one zwolnienia tempa na kilka sekund potrzebnych na przyjrzenie się naklejce zamiast ekranu.

Ta sama tabela ma zastosowanie również poza parkometrami i restauracjami. Stacje rowerów miejskich, biletomaty muzealne, stanowiska rejestracji na wydarzenia i tablice informacyjne dla turystów opierają się na tej samej pozostawionej bez nadzoru, ogólnodostępnej naklejce lub wydruku, a żaden z nich nie ma personelu stojącego w pobliżu, który zauważyłby podmianę. Jeśli kod pojawi się w miejscu, które Cię zaskakuje, na przykład ulotka „zeskanuj po zniżkę” przyklejona taśmą do latarni w pobliżu zabytku, sprawdź ją dokładnie w ten sam sposób przed kliknięciem.

Ile naprawdę kosztuje quishing, gdy zadziała?

Specjaliści ds. bezpieczeństwa nazywają phishing za pomocą kodów QR „quishingiem”, a system finansowy i prawny zaczął śledzić to zjawisko jako osobną kategorię oszustw, oddzieloną od phishingu e-mailowego, z którego się wywodzi.

Katherine Hart z brytyjskiego Chartered Trading Standards Institute opisała skalę indywidualnych strat w rozmowie z Tech Digest jako zupełnie inny stopień zniszczeń niż pojedyncze, zawyżone opłaty za parkowanie.

Ta przepaść między drobną niedogodnością a utratą wszystkiego jest dokładnie powodem, dla którego dziesięciosekundowy test na początku tego artykułu jest wart tego drobnego wysiłku.

Parkingi wciąż przewijają się jako miejsce, przed którym brytyjskie władze lokalne ostrzegają najczęściej. Royal Borough of Kensington and Chelsea wydało własne ostrzeżenie w styczniu 2025 roku po znalezieniu „kodów QR naklejonych na oznaczeniach opłat za parkowanie w co najmniej sześciu lokalizacjach w gminie”, i skierowało kierowców z powrotem do aplikacji PayByPhone, infolinii, serwisu SMS lub punktów PayPoint. Ten schemat powtarza się w różnych krajach: pozostawione bez nadzoru publiczne punkty płatności, niezależnie od tego, czy jest to parkometr, czy stolik w restauracji, są najłatwiejszym miejscem na naklejenie etykiety, tak aby nikt nas nie powstrzymał.

Branża bezpieczeństwa śledzi również quishing jako szybko rosnący udział phishingu w ogóle, a nie tylko jako niszowy trik parkingowy. Ten wzrost sprawił, że FBI IC3, FTC i BBB opublikowały odrębne wytyczne dotyczące wyłącznie kodów QR, zamiast włączać to ostrzeżenie do ogólnych porad dotyczących phishingu, co jest sygnałem wartym potraktowania poważnie, zanim jeszcze spojrzysz na jakąkolwiek kwotę w dolarach.

Aplikacje budujące spersonalizowane przewodniki po miejscach docelowych, takie jak TripProf, zaczęły wdrażać tego typu schemat oszustw do dedykowanej sekcji „Świadomość oszustw” w zakładce „Nagłe wypadki i bezpieczeństwo”, obok kontaktów do ambasad i briefingu bezpieczeństwa dla każdego miejsca, do którego podróżujesz. To nie powstrzyma wydrukowania naklejki, ale stawia schemat, o którym właśnie przeczytałeś, przed Twoimi oczami, zanim staniesz przy nieznanym parkometrze w kraju, w którym nie możesz łatwo zweryfikować nazwy domeny.

Najczęściej zadawane pytania

Najważniejsze wnioski

Źródła

1. CBS News Los Angeles: Policja w Redondo Beach ostrzega przed oszustami umieszczającymi fałszywe kody QR na parkometrach (sierpień 2024 r.)
2. NY1: Zalecenia nowojorskiego DOT dotyczące fałszywych kodów QR na parkometrach (czerwiec 2025 r.)
3. CBS News Miami: Fort Lauderdale ostrzega przed fałszywymi naklejkami z kodami QR na miejskich parkingach (listopad 2024 r.)
4. Better Business Bureau: Sprawdź dokładnie ten kod QR, zanim zapłacisz za parking (lipiec 2024 r.)
5. FTC Consumer Advice: Oszuści ukrywają szkodliwe linki w kodach QR, aby kraść Twoje dane (grudzień 2023 r.)
6. Centrum ds. Skarg na Przestępstwa Internetowe FBI: Komunikat służby publicznej I-073125-PSA (lipiec 2025 r.)
7. Tech Digest: Wielka Brytania odnotowuje wzrost liczby oszustw typu quishing z użyciem kodów QR, raporty Action Fraud (kwiecień 2025 r.)
8. Royal Borough of Kensington and Chelsea: Ostrzeżenie dla kierowców przed oszustwem parkingowym z kodem QR (styczeń 2025 r.)
9. CNBC: Oszustwa związane z cyberbezpieczeństwem, quishing i ryzyko dla konsumentów związane z kodami QR (lipiec 2025 r.)
10. AARP: Uważaj na oszustwa związane z fałszywymi kodami QR (zaktualizowano w marcu 2025 r.)
11. Infolinia AARP Fraud Watch Network
12. FTC: Zgłoś oszustwo
13. FTC: IdentityTheft.gov
14. BBB Scam Tracker