Phishing cez QR nálepky. Čo overiť pred platbou

QR kód na aute môže viesť na podvodný platobný formulár. MIRRI vo varovaní z 2. apríla 2026 opisuje podnety z Bratislavy, kde nálepky a letáky na vozidlách upozorňovali na údajný dopravný priestupok.

Výzvu na úhradu overte priamo u inštitúcie cez kontakt, ktorý poznáte alebo nájdete nezávisle od nálepky. Samotný QR kód nepotvrdzuje pôvod správy.

Čo CSIRT zachytil

MIRRI uvádza domény platby-mvsr[.]sk a sk-slovensko[.]web[.]app. Zápis je zámerne neklikateľný. Podvodné stránky napodobňovali štátne služby a žiadali osobné údaje, potvrdenie identity cez SMS alebo platbu.

Toto sú konkrétne indikátory z daného varovania. Ich zoznam nie je úplným zoznamom phishingu a neprítomnosť domény v ňom nedokazuje bezpečnosť. Útočník môže použiť inú adresu aj inú zámienku.

Pred platbou otvorte službu samostatne

Adresu porovnajte s oficiálnym webom inštitúcie. Nekontrolujte iba logo, farby alebo to, či stránka používa HTTPS. Šifrované spojenie samo nepotvrdzuje, že prevádzkovateľ je ten, za koho sa vydáva.

Doména .gov.sk je užitočný signál, ale verejné služby nemožno posudzovať iba podľa koncovky adresy. Ani prítomnosť či neprítomnosť eID sama nerozhoduje o pravosti konkrétneho formulára.

Ak výzva tlačí na okamžité konanie, neplaťte cez priložený odkaz. Otvorte známu službu samostatne alebo zavolajte na úrad cez nezávisle overené číslo. Takéto overenie odporúča aj MIRRI.

Firma potrebuje jasný postup hlásenia

QR nálepka sa môže dostať aj k človeku, ktorý v telefóne používa firemný e-mail. Samotné otvorenie stránky ešte nedokazuje kompromitáciu firemného účtu. Bezpečnostný tím však potrebuje vedieť, či používateľ zadal heslo, potvrdil prihlásenie alebo poskytol platobné údaje.

Zamestnancom pošlite ukážku podvodu a konkrétny kontakt na hlásenie. Oddeľte prípad, keď človek iba otvoril stránku, od prípadu odovzdania údajov. Postup má určiť, kto posúdi zariadenie a účet a kto komunikuje s bankou, ak došlo k platbe.

SPF, DKIM a DMARC môžu obmedziť zneužitie vlastnej e-mailovej domény, neoverujú však fyzickú nálepku ani podobne pomenovanú doménu útočníka. DNS filtre zase môžu blokovať známe škodlivé adresy, no nový podvod sa do ich zoznamu nemusí dostať včas. Žiadna z týchto vrstiev nenahrádza overenie výzvy.

Čo urobiť po zadaní údajov

Prestaňte s podozrivou stránkou komunikovať a incident nahláste cez firemný postup. Zachovajte adresu, správu alebo fotografiu nálepky, aby sa dal prípad preskúmať. Podľa poskytnutých údajov môže nasledovať zmena hesla cez pravú službu, zrušenie relácií či kontaktovanie banky. Ďalšie kroky má určiť zodpovedná osoba podľa konkrétneho incidentu.

Súvisiace riziká rozoberáme v článkoch o AI phishingu a deepfake útokoch a skriptoch tretích strán na webe. Ak potrebujete prejsť firemný postup hlásenia a zodpovednosti, ozvite sa nám.