Quishing: jak kod QR omija firmowe zabezpieczenia

TL;DR

Quishing to phishing wykorzystujący kod QR zamiast widocznego linku. Jego największą przewagą nie jest sam czarno-biały obraz. Jest nią zmiana urządzenia i kontekstu: wiadomość dociera na chroniony laptop, ale pracownik skanuje kod telefonem — często prywatnym, poza firmowym filtrowaniem DNS, ochroną przeglądarki i monitoringiem endpointu.

Według ESET Threat Report H1 2026 złośliwe kody QR występowały w 11% wiadomości phishingowych obserwowanych w telemetrii ESET w pierwszej połowie 2026 roku. Microsoft odnotował szczyt 18,7 mln ataków QR w marcu, a następnie spadek do 8,3 mln w czerwcu. Spadek po rekordzie nie oznacza końca techniki: atakujący rotowali formaty załączników, a kod QR pozostał skutecznym sposobem ukrycia miejsca docelowego.

Wniosek dla firm: filtrowanie poczty to za mało. Ochrona musi objąć telefon, tożsamość, proces zgłoszenia i działania po skanowaniu. Program awareness powinien uczyć nie tylko „nie klikaj”, lecz również zatrzymaj się, sprawdź adres i zgłoś.

Co to jest quishing

Quishing, nazywany też QR phishingiem, jest odmianą phishingu, w której napastnik zapisuje w kodzie QR adres strony lub inną instrukcję. Kod może znaleźć się w e-mailu, PDF-ie, dokumencie Word, wiadomości na komunikatorze, ulotce, przesyłce, plakacie, parkomacie albo naklejce na prawdziwym oznaczeniu.

Po zeskanowaniu użytkownik może trafić na:

• fałszywy formularz Microsoft 365, Google Workspace, banku lub kuriera;
• stronę przechwytującą hasło, kod MFA albo token sesji;
• fałszywą płatność z już uzupełnionym odbiorcą;
• stronę nakłaniającą do instalacji aplikacji lub profilu;
• prawdziwą usługę, w której ofiara nieświadomie autoryzuje urządzenie napastnika.

Ostatni wariant jest szczególnie ważny. Kod nie musi prowadzić do domeny wyglądającej podejrzanie. Może uruchamiać legalny proces parowania, logowania lub płatności, lecz z parametrami wybranymi przez oszusta. Taki mechanizm pojawiał się już w atakach na komunikatory, co opisaliśmy w analizie phishingu wykorzystującego parowanie urządzenia Signal.

Dlaczego kod QR zmienia warunki gry

Klasyczny link można zobaczyć, skopiować, rozwinąć i automatycznie porównać z reputacją domeny. Kod QR jest obrazem. Dopóki system go nie rozpozna i nie zdekoduje, adres pozostaje ukryty w pikselach.

Nowoczesne narzędzia potrafią wykrywać kody w obrazach i dokumentach, odczytywać ich zawartość oraz analizować miejsce docelowe. Nie każde środowisko ma jednak taką funkcję, nie każdy format jest analizowany równie skutecznie, a dynamiczny kod może kierować w różne miejsca zależnie od czasu, urządzenia lub lokalizacji.

Najważniejszy efekt następuje chwilę później. Użytkownik patrzy na wiadomość na komputerze, ale musi sięgnąć po telefon. W ten sposób napastnik może ominąć część zabezpieczeń przypisanych do służbowego urządzenia:

• filtrowanie adresów URL w firmowej przeglądarce;
• ochronę DNS działającą tylko w sieci organizacji;
• EDR i telemetrię endpointu;
• kontrolowane rozszerzenia i polityki przeglądarki;
• mechanizmy bezpiecznego otwierania linków w poczcie;
• centralne logowanie zdarzeń.

Telefon dodatkowo pokazuje mniej informacji. Pasek adresu jest krótszy, klawiatura zasłania część ekranu, a użytkownik wykonuje zadanie jedną ręką i często w pośpiechu. To nie oznacza, że urządzenia mobilne są z definicji niebezpieczne. Oznacza, że organizacja powinna wiedzieć, czy telefon jest zarządzany i czy podlega tym samym warstwom ochrony co laptop.

Jak wygląda typowy atak

Najczęstszy scenariusz zaczyna się od wiarygodnej czynności: odsłuchania poczty głosowej, podpisania dokumentu, odblokowania konta, potwierdzenia MFA, odebrania przesyłki albo uregulowania opłaty parkingowej.

1. Napastnik przygotowuje kod prowadzący bezpośrednio lub przez przekierowania do wybranego celu.
2. Kod umieszcza w treści wiadomości albo w załączniku PDF/DOCX. W wariancie fizycznym drukuje naklejkę lub pismo.
3. Wiadomość omija część kontroli, ponieważ nie zawiera zwykłego klikalnego linku albo link jest ukryty w obrazie.
4. Pracownik skanuje kod telefonem i opuszcza chronione środowisko komputera.
5. Strona żąda logowania, płatności, kodu MFA, instalacji aplikacji lub zatwierdzenia procesu.
6. Po wykonaniu czynności napastnik przejmuje dane, sesję, pieniądze albo dostęp do urządzenia.

Kluczowy moment nie następuje przy dostarczeniu wiadomości, lecz przy zmianie urządzenia. To wtedy organizacja może stracić widoczność nad dalszą częścią ataku.

Co mówią dane z 2026 roku

ESET podał, że w pierwszej połowie 2026 roku złośliwe kody QR były osadzone w 11% wiadomości phishingowych obserwowanych przez firmę. Telemetria ESET osiągnęła rekordowe poziomy, a najwyższy wolumen detekcji przypadł na kwiecień.

Microsoft obserwował inny zbiór danych i przedstawił miesięczne liczby ataków QR. Wolumen osiągnął 18,7 mln w marcu, spadł do 17,4 mln w kwietniu, a następnie obniżył się do 8,3 mln w czerwcu. Jednocześnie zmieniał się sposób dostarczania kodów:

| Sygnał z telemetrii Microsoft | Wartość | | --- | ---: | | Szczyt QR phishingu w marcu 2026 | 18,7 mln | | Kwiecień 2026 | 17,4 mln | | Czerwiec 2026 | 8,3 mln | | Udział PDF w kwietniu | 79% | | Udział PDF w czerwcu | 58% | | Udział DOC/DOCX w czerwcu | 40% |

Wiadomości z kodem osadzonym bezpośrednio w treści, które gwałtownie rosły w marcu, niemal zniknęły w drugim kwartale. Aktywność przeniosła się głównie do załączników. To dobra ilustracja adaptacji: obrona poprawia wykrywanie jednego wariantu, więc operatorzy kampanii zmieniają opakowanie.

Tych danych nie należy sumować ani traktować jako kompletnej statystyki globalnego phishingu. ESET i Microsoft mają własne produkty, klientów, definicje oraz metody detekcji. Można natomiast bezpiecznie wyciągnąć wspólny wniosek: quishing jest istotnym i zmiennym wektorem, który wymaga analizy obrazu, zabezpieczeń mobilnych oraz ćwiczenia zachowania użytkownika.

Quishing w e-mailu i w świecie fizycznym

Kod w e-mailu bywa przedstawiany jako bezpieczniejsza alternatywa dla linku. Napastnik może nawet twierdzić, że skanowanie jest wymagane przez politykę bezpieczeństwa. Popularne przynęty obejmują reset MFA, wygasające hasło, wiadomość głosową, fakturę, dokument do podpisu i aktualizację konta.

W świecie fizycznym znika jeszcze jeden sygnał: nadawca wiadomości. Naklejka na parkomacie, kod w recepcji lub kartka przy drukarce może wyglądać jak element infrastruktury. Kontekst miejsca buduje zaufanie, choć sam kod mógł zostać podmieniony kilka minut wcześniej.

Dobrym przykładem połączenia danych z wycieku, papierowego listu i kodu QR była kampania podszywająca się pod producenta portfeli sprzętowych. Opisaliśmy ją w materiale phishing listem na seed phrase Ledger. Papier nie jest bezpiecznym kanałem tylko dlatego, że znajduje się poza skrzynką e-mail.

Jak rozpoznać podejrzany kod QR

Nie istnieje jedna cecha, która rozstrzyga sprawę. Lepiej oceniać cały proces.

• Kod pojawia się niespodziewanie i wymusza działanie w krótkim terminie.
• Wiadomość nakazuje zeskanować kod, choć ten sam proces zwykle działa w aplikacji lub portalu.
• Po skanowaniu strona żąda hasła, danych karty, kodu MFA albo instalacji.
• Adres docelowy jest skrócony, nietypowy lub tylko podobny do domeny organizacji.
• Kod został naklejony na inny kod, tabliczkę, terminal albo parkomat.
• Nadawca odradza kontakt innym kanałem lub twierdzi, że procedura jest poufna.
• Strona otwiera się w przeglądarce telefonu, choć komunikat dotyczy służbowego konta.

Bezpieczna reguła brzmi: jeśli kod prowadzi do logowania lub płatności, przerwij i wejdź do usługi przez oficjalną aplikację, zakładkę albo samodzielnie wpisany adres. Nadawcę weryfikuj przez dane kontaktowe pozyskane niezależnie od wiadomości.

Jak chronić firmę przed quishingiem

Skuteczna ochrona wymaga kilku warstw. Szerszy model opisujemy w poradniku ochrona przed phishingiem w firmie, ale przy kodach QR szczególnie ważne są poniższe elementy.

1. Dekodowanie QR w poczcie i załącznikach

Sprawdź, czy brama pocztowa analizuje kody w obrazach, PDF-ach oraz dokumentach Office. Samo wykrycie kwadratu nie wystarcza — system powinien odczytać URL, rozwinąć przekierowania i ocenić stronę także w chwili kliknięcia lub skanowania.

2. Ochrona urządzeń mobilnych

Telefony służbowe powinny mieć aktualizacje, polityki MDM, ochronę przed złośliwymi stronami i prosty kanał zgłaszania. Jeśli firma dopuszcza BYOD, musi jasno określić, które procesy i dane mogą być obsługiwane na prywatnym urządzeniu.

3. Phishing-resistant MFA

Kod SMS lub powiadomienie push może zostać wyłudzone albo zatwierdzone pod presją. Dla wrażliwych kont warto stosować passkeys lub sprzętowe klucze zgodne z FIDO2, a także monitorować anomalie sesji. Odporne MFA ogranicza skutki kradzieży hasła, choć nie zastępuje ostrożności przy autoryzowaniu płatności lub parowaniu urządzeń.

4. Oficjalne ścieżki dla płatności i logowania

Pracownik powinien wiedzieć, że firma nie wymaga logowania przez kod z nieoczekiwanej wiadomości. Płatności parkingowe, kurierskie i firmowe należy wykonywać przez oficjalną aplikację albo zapisany portal, nie przez kod znaleziony na przypadkowej kartce.

5. Reakcja po skanowaniu

Samo zeskanowanie kodu nie zawsze oznacza kompromitację. Znaczenie ma to, co wydarzyło się dalej. Procedura powinna rozróżniać:

• otwarcie strony bez podania danych;
• wpisanie hasła;
• zatwierdzenie MFA lub parowania urządzenia;
• podanie danych karty lub wykonanie płatności;
• instalację aplikacji, profilu lub pliku.

Każdy wariant wymaga innej reakcji: od zgłoszenia i blokady domeny, przez unieważnienie sesji, po kontakt z bankiem lub izolację telefonu.

Jak ćwiczyć quishing w programie awareness

Szkolenie slajdowe nie pokaże, co pracownik zrobi, gdy zobaczy kod przy drukarce albo w dokumencie od rzekomego kontrahenta. Potrzebne są krótkie, kontrolowane symulacje obejmujące różne kanały.

Możliwe scenariusze to:

• wiadomość o resetowaniu MFA;
• PDF z fakturą lub dokumentem do podpisu;
• karta z instrukcją odbioru przesyłki;
• plakat z Wi-Fi dla gości albo zapisami na wydarzenie;
• naklejka w kontrolowanej strefie biura;
• fałszywe powiadomienie o poczcie głosowej.

Wynik nie powinien sprowadzać się do liczby skanów. Warto mierzyć podanie danych, próbę płatności, zgłoszenie, czas do pierwszego zgłoszenia i to, czy użytkownik zweryfikował proces oficjalnym kanałem. Dobrze prowadzony security awareness program wykorzystuje te dane do poprawy procedur i krótkich lekcji, a nie do publicznego piętnowania osób.

Realistyczne testy phishingowe dla firm powinny obejmować również telefon, QR, komunikatory i dokumenty. W przeciwnym razie organizacja ćwiczy tylko najstarszy wariant ataku: link w e-mailu otwierany na laptopie.

Wnioski

Quishing nie czyni kodów QR z natury niebezpiecznymi. Wykorzystuje ich najważniejszą zaletę — szybkie przejście do działania — przeciwko użytkownikowi. Adres jest ukryty, interakcja przenosi się na telefon, a znajomy kontekst osłabia ostrożność.

Dane ESET i Microsoft pokazują, że nie jest to marginalna ciekawostka. Operatorzy kampanii zmieniają formaty, łączą QR z załącznikami i wykorzystują zarówno fałszywe strony, jak i legalne procesy autoryzacji. Firma potrzebuje więc ochrony, która podąża za użytkownikiem między urządzeniami.

Najlepsza krótka instrukcja dla pracownika nie brzmi „nigdy nie skanuj”. Brzmi: zatrzymaj się, sprawdź źródło, zobacz adres, nie loguj się ani nie płać przez nieoczekiwany kod i zgłoś podejrzany proces. Technologia może odfiltrować wiele wiadomości, ale tylko dobrze przećwiczony proces obejmie także kod na papierze, ekranie i prywatnym telefonie.