Fałszywy kod QR parkomat Kraków – co zrobić?

W Krakowie na parkomatach pojawiły się nieautoryzowane naklejki z kodami QR. Umieszczano je na informacjach o aplikacji mKraków, a skanowanie prowadziło do innej, nieznanej miastu aplikacji. Zagrożeni są kierowcy płacący za postój w Obszarze Płatnego Parkowania. Nie skanuj dodatkowej naklejki i nie wpisuj danych karty. Za parkowanie zapłać bezpośrednio w parkomacie albo w oficjalnej aplikacji parkingowej, wybranej niezależnie od naklejki i pobranej z Google Play lub App Store. Podejrzany kod zgłoś Zarządowi Dróg Miasta Krakowa (ZDMK).

Jak wygląda fałszywy kod QR przy mKraków

Przykład sytuacji, nie cytat z naklejki: podchodzisz do parkomatu w Krakowie, widzisz kod QR na informacji o aplikacji mKraków i skanujesz go, licząc na szybkie opłacenie postoju. Telefon kieruje jednak do aplikacji, której miasto nie rozpoznaje.

Krakowski komunikat nie przytacza pełnego tekstu naklejki. Potwierdza natomiast jej umieszczenie na oznaczeniach mKraków i przekierowanie do nieznanej aplikacji. Nie należy z tego wywodzić, że każda osoba skanująca kod utraciła pieniądze lub dane karty.

Co zdradza naklejkę na parkomacie

Najważniejsza wskazówka to dodatkowy kod QR naklejony na informację o mKraków, zamiast oznaczenia będącego integralną częścią urządzenia. Po zeskanowaniu kolejnym sygnałem jest przejście do aplikacji innej niż ta, której spodziewał się kierowca.

Miasto ostrzegło szczególnie przed podawaniem danych karty płatniczej przez taki kod. Sama obecność kodu na parkomacie nie jest potwierdzeniem, że należy go użyć do zapłaty.

To przykład quishingu, czyli phishingu wykorzystującego kod QR do skierowania użytkownika w niepożądane miejsce. Mechanizm wyjaśnia artykuł o quishingu i kodach QR.

Co zrobić, gdy zauważysz podejrzany kod

Nie skanuj podejrzanej naklejki, także dla próby. Zanotuj lokalizację parkomatu i zgłoś podejrzane oznaczenie ZDMK pod numerem 12 616 75 55.

Postój opłać przy użyciu samego parkomatu lub oficjalnej aplikacji parkingowej wybranej niezależnie od naklejki i pobranej ze sklepu Google Play albo App Store, a nie z miejsca otwartego po skanowaniu QR. Nie wpisuj numeru karty, daty ważności ani kodu zabezpieczającego do nieznanej aplikacji.

Co zrobić po zeskanowaniu lub podaniu danych

Jeśli kod został zeskanowany, ale nie podałeś danych i niczego nie instalowałeś, zamknij otwartą stronę lub okno aplikacji. Przekaż ZDMK położenie parkomatu i informację, że kod prowadził poza oczekiwaną usługę.

Jeżeli wpisałeś dane karty, skontaktuj się niezwłocznie z bankiem, który ją wydał. Powiedz, że dane zostały ujawnione po zeskanowaniu obcego kodu QR na krakowskim parkomacie, i poproś o wskazanie sposobu zabezpieczenia lub zastrzeżenia karty. Sprawdź również historię operacji w bankowości elektronicznej.

Podejrzaną stronę internetową możesz zgłosić CERT Polska przez incydent.cert.pl. Zgłoszenie fizycznej naklejki skieruj do ZDMK, podając dokładne miejsce.

Czego nie robić i co wiadomo o sprawie

Nie traktuj napisu mKraków obok naklejki jako dowodu, że kod pochodzi od miasta. Nie instaluj aplikacji wskazanej przez taki kod ani nie podawaj jej danych płatniczych.

Miasto podało, że pracownicy ZDMK usunęli znalezione naklejki, zapowiedzieli kontrole urządzeń i przekazali sprawę policji. To nie gwarantuje, że podejrzany kod nie pojawi się ponownie.

Wcześniejszy przypadek w Krakowie opisało Centralne Biuro Zwalczania Cyberprzestępczości: 13 lipca 2023 roku naklejone na parkometrach kody QR prowadziły do fałszywej strony z logo miasta, na której wyłudzano dane kart płatniczych. Obecne ostrzeżenie z 2026 roku dotyczy naklejek na informacjach o mKraków przekierowujących do nieznanej aplikacji; miasto nie potwierdziło w tym komunikacie kradzieży danych kart. Pokrewny schemat z fałszywą opłatą opisuje nasz materiał o mandacie z kodem QR, a różnicę między urządzeniem a telefonem wyjaśnia artykuł o phishingu mobilnym.