A parkolóautomatán ott a matrica: olvasd be, és fizess kényelmesen telefonról. Beolvasod, megnyílik egy fizetőoldal, megadod a kártyaadatokat – és néhány óra múlva derül ki, hogy a matricát valaki ráragasztotta az eredetire.
Ez a QR-kódos csalás, angolul quishing, és azért működik ilyen jól, mert egyetlen dolgot vesz el tőled: a lehetőséget, hogy elolvasd, hová kattintasz.
Miért működik ilyen jól a QR-kódos csalás?
Egy gyanús linkről sok mindent le lehet olvasni: hibás domainnév, furcsa végződés, hosszú karakterlánc. Egy QR-kódról semmit. Fekete négyzetek, amiket a szemed nem tud ellenőrizni – a telefonod viszont fenntartás nélkül megnyit.
Van egy másik oka is, amiért a támadók áttértek rá. A vállalati levelezőrendszerek régóta jól szűrik a gyanús linkeket, viszont egy képbe ágyazott vagy PDF-be tett QR-kódot nem tudnak elemezni. A biztonsági szűrő számára az e-mail teljesen ártatlannak látszik, a csalás pedig azon a telefonon folytatódik, amit a céges védelem már nem lát.
Hol bukkan fel a QR-kódos csalás?
Öt hely, ahol a leggyakrabban találkozni vele:
- Parkolóautomaták és töltőoszlopok. Az eredeti kódra ragasztott matrica a legelterjedtebb változat – több nagyvárosban is jelentettek ilyen eseteket.
- Szélvédőre csúsztatott „büntetés”. Hivatalosnak látszó felszólítás, rajta egy kóddal, ami egy hamis befizetőoldalra visz.
- Csomagértesítő a postaládában. „Nem tudtuk kézbesíteni, olvassa be az újraküldéshez” – aztán egy pár száz forintos „szállítási díj” ürügyén elkérik a kártyaadatokat.
- Étlapok és plakátok. Ahol nyilvánosan kitett kód van, oda matricát is lehet ragasztani.
- E-mailben, képként. Jellemzően „a jelszavad lejár” vagy „erősítsd meg a kétlépcsős azonosítást” szöveggel, céges környezetben.
Mit akar elérni a QR-kódos csalás?
Három dolog közül valamelyiket. Vagy kártyaadatot kérnek egy hamis fizetőoldalon, vagy belépési adatot egy megtévesztően hasonló bejelentkező felületen, vagy rávesznek egy alkalmazás telepítésére a hivatalos áruházon kívülről.
A harmadik a legveszélyesebb: onnantól nemcsak egy fizetésről van szó, hanem arról, hogy mi történik a telefonodon. Ez rokon azzal, amit az AI hangklónozásos csalásoknál is látunk – a technika változik, a cél ugyanaz marad.
Hét lépés a QR-kódos csalás ellen
- Tapogasd meg a kódot. A ráragasztott matrica kitapintható. Ha egy hivatalos automatán a kód szélei felkunkorodnak, ne olvasd be.
- Nézd meg a linket, mielőtt megnyitod. A legtöbb telefon kameraalkalmazása előbb megmutatja a címet. Ezt a másodpercet érdemes rászánni.
- A domain számít, nem a szöveg. Az utolsó pont előtti rész a lényeg. A „parkolas-fizetes.valami.top” nem a magyar parkolási rendszer.
- Fizetéshez ne kódról indulj. Parkoláshoz és számlafizetéshez használd a saját alkalmazásodat, amit te telepítettél korábban.
- Kérés nélküli levélből ne olvass be kódot. Ha a munkahelyed „jelszófrissítést” kér QR-kóddal, kérdezz vissza egy másik csatornán.
- Ne telepíts alkalmazást kódról. Csak a hivatalos áruházból.
- Kapcsold be a kétlépcsős azonosítást. Ha az adataid mégis kikerülnek, ez az a lépés, ami megállítja a támadót – erről szól a jelszókezelés és kétlépcsős azonosítás cikkünk.
Mit tegyél, ha bedőltél egy QR-kódos csalásnak?
Ha csak megnyílt az oldal és semmit nem adtál meg, nagy baj valószínűleg nincs: zárd be, és ne térj vissza rá. Ha viszont adatot is beírtál:
- Kártyaadat esetén azonnal hívd a bankod, és tiltasd le a kártyát. A legtöbb banknál az alkalmazásból is megy, éjjel is.
- Jelszó esetén változtasd meg – először azon a szolgáltatáson, aztán mindenhol, ahol ugyanazt használtad.
- Ha alkalmazást telepítettél, töröld, és nézd át, milyen jogosultságokat kapott. Kétség esetén gyári visszaállítás.
- Jelentsd. A rendőrségi feljelentés mellett a bank csalásbejelentője is fontos, mert az utalás néha megállítható.
Cégként mit lehet tenni?
A QR-kódos csalás azért kényelmetlen vállalati környezetben, mert kikerüli a levelezőszűrőt és átvándorol a magántelefonra. Amit érdemes:
- Mondd ki szabályként, hogy a cég soha nem küld QR-kódot belépéshez vagy jelszócseréhez.
- Legyen egy ismert csatorna, ahol a kollégák rákérdezhetnek, ha valami gyanús – szégyenkezés nélkül.
- A saját nyomtatott anyagaidra tett kódok mellé írd ki a webcímet is szövegesen. Ez az ügyfeleidet védi.
Ha rendszeresen szeretnél tájékozódni a mostani módszerekről, a 2026 leggyakoribb netes átverései összeállításunk a többi aktuális trükköt is végigveszi.
Három gyakori kérdés
Elég egy víruskereső a telefonon?
Segít, de nem old meg mindent. A QR-kódos csalás nagy része nem kártevőt telepít, hanem téged vesz rá arra, hogy önként megadd az adataidat – ez ellen a figyelem véd.
Az iPhone biztonságosabb ebben?
A hamis fizetőoldal ugyanúgy megnyílik rajta. Az alkalmazástelepítés valamivel korlátozottabb, de a kártyaadat-halászat platformfüggetlen.
Honnan tudom, hogy valódi-e egy parkolóautomata kódja?
A legbiztosabb, ha nem is nézed: az ismert parkolási alkalmazást indítod el a telefonodon, és ott adod meg a zónakódot.
A lényeg
A QR-kód önmagában nem veszélyes – csak épp semmilyen információt nem ad arról, hová visz. Ezért a kérdés nem az, hogy „jó-e ez a kód”, hanem az, hogy miért éppen erről a felületről indulok fizetni vagy bejelentkezni.
Ha a válasz az, hogy „mert ott volt”, akkor érdemes inkább a saját alkalmazásodat elindítani.
A jelenség technikai hátteréről a Kaspersky összefoglalója ad részletes leírást, a hazai csalástípusokról és a bejelentés módjáról pedig a jegybank, a rendőrség és a bankszövetség közös KiberPajzs oldala tájékoztat.
A Pixela Internet Kft. 2008 óta foglalkozik webfejlesztéssel és rendszergazdai szolgáltatásokkal. Ha a céges biztonsági alapokat tennéd rendbe, keress minket.