A QR-kódok mindennapos eszközzé váltak a fizetésekhez, a menük eléréséhez és a digitális szolgáltatásokhoz való csatlakozáshoz. Ezt az ismerősséget azonban a kiberbűnözők is kihasználták, hogy új lendületet adjanak az online csalásoknak. Az ESET biztonsági cég jelentős növekedést észlelt a quishingben, az adathalászat egy olyan változatában, amely ezeket a pontozott kódokat használja fel arra, hogy a felhasználókat rosszindulatú webhelyekre irányítsa anélkül, hogy azok el tudnák olvasni a cél URL-t.
A legfrissebb adatok magukért beszélnek : az ESET 2026 első félévére vonatkozó fenyegetésjelentése szerint a rosszindulatú QR-kódok az összes adathalász e-mail 11%-ában jelennek meg, átlagosan havonta több mint 1 100.000 észleléssel. Valójában Spanyolország a második helyen áll a világon az ilyen típusú támadások számában, az Egyesült Államok után a második helyen.
Mi a quishing és miért virágzik?
A quishing lényegében a klasszikus adathalászat egy változata, de egy extra elemmel: a rosszindulatú link egy QR-kódban van elrejtve. A felhasználó beolvassa a képet, és egy csaló weboldalra kerül, amely ellophatja banki jelszavait, bejelentkezési adatait, vagy akár rosszindulatú programot is telepíthet az eszközére.
A siker egyik oka, hogy a link célcíme nem látható azonnal. Egy gyanús e-mailben látható a jogosulatlan domain; itt minden pixelekből álló négyzetbe van tömörítve. Továbbá ezek a kódok csatolt képként vagy PDF-ként vannak beágyazva az üzenetekbe, megkerülve számos e-mail biztonsági szűrőt. A trükk pedig még hatékonyabb, mert a kommunikációt a munkahelyi számítógépről a mobiltelefonra helyezi át, egy olyan eszközre, amely gyakran nem rendelkezik ugyanolyan szintű védelemmel.
A szociális manipuláció is jelentős szerepet játszik. A bűnözők ismert márkák, például a DocuSign vagy a Microsoft imázsát használják ki, és kihasználják a sürgős helyzeteket, például figyelmeztetve, hogy a fiókot felfüggesztik, ha nem hitelesítik. Ennek eredményeként az üzenet megérkezik a beérkező levelek mappájába, és az alkalmazott nem találja a szokásos adathalászati jelzőket, mivel a linkben nincs elolvasható szöveg.
Quishing Spanyolországban, egy megállíthatatlan riasztás
Spanyolország az ilyen típusú csalások egyik fő gócpontjává vált. Az ESET becslései szerint a globális titkosítási esetek 17%-a ebben az országban koncentrálódik, ami megerősíti, hogy a technika termékeny talajra talált. Az egyik legreprezentatívabb esetet a Nemzeti Kiberbiztonsági Intézet (INCIBE) beavatkozásának köszönhetően oldották meg. Egy éttermi vendég beolvasta az étlapon található, módosított QR-kódot, és akaratlanul is előfizetett egy prémium szolgáltatásra.
Az OCU (Spanyol Fogyasztóvédelmi Szervezet) rávilágított a hamis QR-kódok problémájára is, amelyeket a közlekedési bírságok szimulálására ragasztanak az autókra. Amikor az áldozat beolvassa a kódot a bírság kifizetéséhez, megadja kártyaadatait egy csaló weboldalnak. Ezek a csalások azonban nem állnak meg itt: hamis QR-kódokkal ellátott matricákat láttak már parkolóórák és közös használatú kerékpárok valódi kódjait is letakarni. A támadók az eredeti kódot egy nyomtatott kóddal takarják el, amely a saját domainjükre mutat.
Az ESET laboratóriumai szerint 2026 áprilisa jelentette az észlelések csúcsát, bár az idősorok már ekkor is folyamatos növekedést mutattak. A mobilbiztonság és a vállalati e-mail a fő pajzs, de a többit a laza felhasználói szokások végzik.
A QR-kóddal történő csalás másik oldala
Nem csak az éttermi vendégek elleni tömeges csalásokról van szó. Az Egyesült Államok Adóhivatala (IRS) olyan kampányokat is észlelt, amelyekben adózási értesítésnek álcázott fizikai leveleket küldtek, és egy QR-kódot tartalmaztak, amely számlaellenőrzést vagy dokumentációt ígér a kriptovaluta-tulajdonosok számára. A kód beolvasása egy olyan weboldalra vezeti az áldozatot, amely seed phrase-eket vagy privát kulcsokat kér – azt az elemet, amely a digitális pénzeszközök feletti ellenőrzést biztosítja.
Az államok szerepe is áll ezek mögött a csapdák mögött . Egy 2026 januári FBI-tanács a Kimsuky csoportot, amely állítólag Észak-Koreához köthető, nevezte meg felelősként a QR-kódos kiberkémkedési támadásokért, amelyek során kormányzati dokumentumok vagy űrlapok segítségével jutottak be kutatóintézetekbe. Más szóval, a technika beépült az APT-csoportok arzenáljába is, azzal a céllal, hogy nagy értékű hálózatokat kompromittáljanak.
Hogyan védekezhetsz a zaklatás ellen
Az ilyen csalások elleni fő védekezés olyan alapvető dolog, mint a szkeptikus magatartás elsajátítása. Az INCIBE azt javasolja, hogy nyilvános helyen elhelyezett QR-kódok beolvasása előtt szünetet tartsunk. Ha a matrica levállik, manipuláció jeleit mutatja, vagy közvetlenül egy másik kód felett van, akkor ne használjuk. E-mailek esetében legyünk óvatosak minden olyan kéretlen üzenettel, amely QR-kód beolvasására buzdít, különösen, ha túlzott időnyomást tartalmaz.
Érdemes ellenőrizni azt az URL-címet is, amelyre a kód mutat. Ha a telefonod felkínál egy link előnézetét, keress elgépeléseket, rövidített domaineket vagy ismerős webhelyek furcsa változatait. A QR-kód beolvasásakor az automatikus linkmegnyitás letiltása egy másik hasznos védelmi réteg, mind iOS, mind Android rendszereken. Soha ne adj meg fizetési információkat, hitelesítő adatokat vagy pénztárca adatokat anélkül, hogy egy másik csatornán keresztül ellenőriznéd a kérés jogosságát.
Az ESET szakértői azt javasolják a vállalkozások számára, hogy a titkosítást (quishing) is vegyék be a figyelemfelkeltő programokba és az adathalász szimulációkba. A technológia egy másik kulcsfontosságú elem: a fájlokban található QR-kódok kinyerésére és elemzésére képes e-mail szűrők, a vállalati mobileszközök védelme, valamint az adathalászattal szemben ellenálló hitelesítés a magas jogosultságú fiókokhoz. A minimális jogosultság elvének alkalmazása és a szoftverek naprakészen tartása további lépések, amelyek megakadályozzák, hogy egy rosszindulatú vizsgálat kritikus hálózati kompromittálódássá váljon.
A QR-kódok népszerűsége nem új keletű, de az általuk jelentett fenyegetés sem. A quishing mára olyan fenyegetéssé vált, amely képernyőn és bináris kódon keresztül mozgat adatokat, és a szöveges adathalászatra alkalmas intézkedések itt is működnek, ha józan ésszel alkalmazzák őket. Spanyolország már most is a célkeresztben van, és az áldozattá válás és a megfélemlítés elkerülése közötti különbség azon az egyszerű szokáson múlik, hogy a beolvasás előtt ellenőrizzük, hogy a célhely nem átverés-e.