Quishing: falešné QR kódy na parkovacích automatech a v e-mailech

Krátká odpověď: QR kód nalepený přes informace na automatu nebo poslaný v nečekaném e-mailu či dopise může vést na podvodnou stránku. Před platbou nebo přihlášením zkontrolujte adresu, na kterou vás kód pošle. Při pochybnostech plaťte přímo v automatu nebo v ověřené aplikaci.

Co je quishing?

Quishing je phishing, při kterém místo odkazu dostanete QR kód. Po naskenování se otevře stránka, která vypadá jako platební brána nebo přihlášení do banky, a vylákává údaje. Komerční banka upozorňuje, že ze samotného QR kódu nepoznáte, jestli je nebezpečný, a vytvořit ho je velmi jednoduché.

Před stejným trikem varoval i rakouský Spolkový kriminální úřad spolu s Rakouskou národní bankou. Upozornil, že mobil často otevře cílovou stránku QR kódu automaticky, a radí vždy se zastavit a zobrazenou adresu zkontrolovat.

Jak vypadají skutečné podvody s QR kódy?

• Nálepky na parkovacích automatech. V Praze se objevily falešné QR kódy přelepené přes automaty (podrobně níže).
• E-mail jménem Portálu občana. Finanční správa v říjnu 2025 popsala e-mail o „daňovém přeplatku připraveném k vyplacení“ s QR kódem, který měl údajně „přesměrovat na zabezpečený portál“. Ve skutečnosti vedl na falešnou stránku, která sbírala přihlašovací údaje.
• E-mail nebo dopis, který tlačí na čas. Rakouská policie zmiňuje výzvy typu „přístup vyprší“ nebo „naskenujte okamžitě“, neosobní oslovení a nečekanou zprávu.

Falešné QR kódy na parkovacích automatech v Praze

Technická správa komunikací hl. m. Prahy (TSK) v únoru 2025 varovala před falešnými QR kódy nalepenými na některých pražských parkovacích automatech. Rozpoznáte je podle anglického nápisu „TAP OR SCAN“ nebo „SCAN TO PAY“. Pracovníci TSK je odstraňují.

Bezpečně lze zaplatit také přímo v automatu hotovostí nebo kartou. Pokud zaplatíte přes falešný kód, peníze dostane podvodník a parkovné uhrazené nemáte. Hlavní riziko ale je, že podvodník získá údaje vaší karty. Pochybnosti nebo nalezený falešný kód můžete TSK nahlásit na e-mail parking@tsk-praha.cz nebo telefon 257 015 257.

V jiných městech platí jiné adresy a aplikace. Vždy vycházejte z informací provozovatele parkování, ne z nálepky.

Jak poznat falešný QR kód?

• Kód je samolepka přelepená přes původní značení nebo vypadá jinak než ostatní nápisy na automatu.
• Po naskenování se otevře adresa, která nepatří provozovateli parkování nebo vaší bance. Většina čteček ukáže adresu ještě před otevřením.
• QR kód přišel v nečekaném e-mailu či dopise a vyzývá k přihlášení, ověření účtu nebo platbě.
• Stránka chce kromě platby i přihlašovací údaje do bankovnictví nebo potvrzení v aplikaci banky.

Jak QR kódy používat bezpečně?

1. Kód, který vám přijde podezřelý, neskenujte. Plaťte v automatu nebo v aplikaci, kterou si sami stáhnete z oficiálního obchodu.
2. Do bankovnictví se přihlašujte jen přes aplikaci banky nebo adresu, kterou si sami uložíte do záložek. Komerční banka radí oficiální odkaz uložit jako záložku.
3. Nepotvrzujte v aplikaci banky částky a transakce, které jste sami nezadali.
4. Falešný kód na pražském automatu nahlaste TSK, jinde provozovateli parkování nebo městské policii.

Podobné triky kolem parkování popisujeme v článcích SMS od EasyParku o nezaplaceném parkovném a SMS o nezaplacené pokutě za parkování. Falešný e-mail s QR kódem a přeplatkem rozebíráme v článku Falešný Portál občana a Bankovní identita. Podezřelý kód nebo zprávu nám můžete nahlásit.