Jsou QR kódy bezpečné? Co můžou a nemůžou udělat telefonu

Krátká odpověď: samotný kód je netečný. Je to vzor, který se přečte na kus textu — obvykle na webovou adresu. Nemá jak nainstalovat software, spustit kód ani cokoli přečíst z telefonu, který ho naskenoval.

Co se pokazit může, se týká výhradně cíle — a toho, jestli je kód, který jste naskenovali, ten, který tam dal vlastník.

Co QR kód fyzicky nedokáže

• Nemůže obsahovat virus. Není co spustit. Přečtený text dostane operační systém a ten rozhodne, co nabídne — obvykle „otevřít tenhle odkaz“.
• Nenainstaluje aplikaci sám od sebe. Může vás poslat na stránku obchodu, ale instalace pořád potřebuje váš výslovný krok a kontroly samotného obchodu.
• Nepřečte vaše kontakty, fotky ani zprávy. Naskenování neuděluje vůbec žádná oprávnění.
• Neprovede platbu. Kód může otevřít platební stránku; platbu pořád musíte potvrdit v aplikaci nebo v bance.
• Nepřipojí vás potichu k Wi-Fi nijak, co byste nepotvrdili — telefon se nejdřív zeptá.

Co se pokazit doopravdy může

Tři věci, seřazené podle toho, jak často se stávají:

1. Cílem je phishingová stránka. Přesvědčivá kopie banky, dopravce nebo systému plateb za parkování. O tohle jde celou dobu a kód je jen způsob doručení — nic jiného než odkaz v SMS, až na to, že si ho před ťuknutím nepřečtete.
2. Kód není vlastníkův. Samolepka přes ten pravý na parkovacím automatu, na jídelním lístku, na plakátu sbírky. Podnik o tom neví, zákazník nemá důvod něco tušit a fyzický svět nezná obdobu varování prohlížeče.
3. Cíl chce něco, co chtít nemá. Přihlašovací údaje, číslo karty, aplikaci k instalaci mimo obchod. Útokem je stránka; kód vás k ní jen dovedl.

Jak skenovat bezpečně, prakticky

• Přečtěte si adresu, než ťuknete. Každý novější telefon ukáže po naskenování náhled adresy a tohle je ten nejužitečnější návyk ze všech. Dívejte se na doménu — část těsně před prvním samostatným lomítkem — ne na zbytek.
• Nedůvěřujte nejdřív fyzickému okolí. Samolepka přes vytištěný kód, kód na sloupu veřejného osvětlení, kód přilepený páskou na parkovacím automatu: právě tyhle stojí za pochybnost, víc než cokoli na samotném vzoru.
• Nikdy nezadávejte platební ani přihlašovací údaje na stránce, ke které jste se dostali naskenováním kódu na ulici. Do banky nebo do služby jděte tak, jak chodíte normálně.
• Buďte skeptičtí ke spěchu. „Vaše zásilka čeká“, „zítra se pokuta zdvojnásobí“ — tlak je stálicí každého podvodu, na papíře stejně jako v e-mailu.
• Ověřte, že je certifikát pravý, ne jen přítomný. Zámeček znamená, že je spojení šifrované, ne že je stránka poctivá. Phishingové stránky mají zámeček taky.

Když kódy vlastníte vy

Riziko se posouvá: v sázce je důvěra vašich zákazníků a obrany jsou tři.

• Používejte doménu, kterou lidé znají. Krátký odkaz na vaší vlastní doméně udělá z podvržené samolepky zjevnou věc pro každého, kdo adresu čte. Cizí doména zkracovače učí vaše zákazníky, že projde cokoli.
• Vytiskněte adresu pod kód. Jeden řádek a ze záhadného čtverce je tvrzení, které jde ověřit.
• Dívejte se na vlastní značení. Podvržení je fyzický útok a potřebuje fyzickou kontrolu — kdo ráno otevírá, může po kódech hodit okem.

Dynamický kód tu pomáhá způsobem, který se snadno přehlédne: pokud kód někdo zneužije nebo se stránka kampaně dostane do cizích rukou, přesměrujete ho za pár vteřin místo toho, abyste někoho posílali vyměňovat tištěné materiály.

Co naskenování prozradí vlastníkovi o vás

Stojí za to vědět, protože „bezpečné“ znamená taky „co se sbírá“. V téhle službě sken zaznamená čas, který to byl kód, typ zařízení, operační systém a prohlížeč tak, jak je hlásí požadavek, odkazující stránku, pokud ji prohlížeč pošle, a solený otisk IP adresy, kterým se počítají unikátní návštěvníci.

Nezaznamenává se: vaše totožnost, telefonní číslo, kontakty — a žádná poloha. Spousta služeb odvozuje z IP adresy zemi; tahle ji nesbírá. U jiných poskytovatelů to bývá jinak, a přesně proto se vyplatí zeptat se toho, čí kód právě skenujete.

Rychlé odpovědi

• Může QR kód zavirovat můj telefon? Ne. Přečte se na text; není co spustit.
• Může mi naskenování ukrást data? Ne. Naskenování neuděluje žádná oprávnění. Stránka, kterou pak navštívíte, se vás může pokusit přimět něco napsat.
• Je bezpečné naskenovat náhodný kód na ulici? Naskenovat ano. Otázkou je důvěřovat tomu, kam vede — nejdřív si přečtěte adresu.
• Jak poznám podvržený kód? Hledejte samolepku přes jinou a po naskenování si přečtěte doménu.
• Jsou kódy v restauracích bezpečné? Obvykle ano, ale platí stejná kontrola: doména má vypadat jako doména té restaurace, ne jako náhodný zkracovač.
• Ví vlastník, kdo jsem? Ne. Tady záznam nemá totožnost ani polohu — jen čas, zařízení, prohlížeč a otisk IP adresy.