Az utóbbi években egyre gyakoribb, hogy a kártékony linkeket ilyen telefonról könnyen beolvasható grafikus kódok mögé rejtik el a kiberbűnözők. Sok helyen bukkantak már fel ezek, a különféle kültéri matricák mellett postai levelekben és e-mailekben is találkozhattunk ezekkel. Az ESET 2026. első félévi adatai szerint a phishing e-mailek 11%-ában talált rosszindulatú QR-kódot.
Itt a blogon is előkerült már ez a téma többször, többek közt az emlegetett postai levélforma is. Még 2024-ben a svájci postai szolgálaton keresztül, a helyi meteorológia szolgálat nevével visszaélő leveleket postáztak több címzettnek.
Ebben egy időjárási veszélyhelyzetre figyelmeztető alkalmazást ajánlottak a címzetteknek, azonban a hivatalos Severe Weather Warning App nevű eredeti program helyett a mellékelt QR kód egy nem-hivatalos alkalmazás letöltési helyre irányította a felhasználókat, amely egy banki trójait kártevővel fertőzte meg az androidos eszközöket.
A QR-kódok mindennapossá válása sajnos új lehetőséget nyitott a vállalati támadók előtt is, hiszen ezzel kvázi megkerülhetik a céges biztonsági szűrőket, és egyúttal a gyakran kevésbé védett mobilokra terelhetik az áldozatokat. Sok hagyományos e-mail szűrő nem tudja kiolvasni a képekbe vagy PDF mellékletekbe ágyazott QR-kódok tartalmát, így ezek első körben könnyebben átcsúszhatnak a vállalati védelmeken.
A felhasználók pedig hozzászoktak a kódok gyors beolvasásához, és sajnos kevésbé gyanakszanak, különösen ha valamilyen ismert logo is feltűnik az üzenetben (pl. DocuSign, Microsoft). A hagyományos adathalász jellemzők itt is gyakran megjelennek, pl. sürgetés, fenyegetés, fiók állítólagos megerősítése.
A támadó egyik fontos előnye ezzel a könnyen alkalmazható technikával az elrejtés. Nemcsak adathalászatra használhatják a quishinget, hanem hamis bejelentkezési oldalakon MFA-tokenek ellopására, közvetlen rosszindulatú APK alkalmazásletöltésekre, fiók feltörésre, előre kitöltött fizetési tranzakciókra, naptár/címjegyzék mérgezésre (.ics illetve .vcf fájlokkal), vagy akár rosszindulatú/lehallgatható Wi-Fi hálózatokhoz való automatikus csatlakoztatásra is.
Ilyen trükköket egyes állami támogatású kibertámadói csoportok, például egy 2026 januári FBI-értesítés szerint az észak-koreai Kimsuky is alkalmazott már, legutóbb 2026-ban kutatóintézetek és kormányzati célpontok ellen.
A kockázat szerencsére csökkenthető biztonságtudatossággal. A legfontosabb, hogy ne olvassunk be QR-kódokat kéretlen e-mailekből, különösen ha sürgősséget keltő vagy pénzügyi témájú. Gyanús esetben ellenőrizzük a feladót más kommunikációs csatornán. Alkalmazzunk megfelelő QR-kódok képelemzésére alkalmas e-mail szűrést, használjunk MDM mobilbiztonsági megoldásokat, illetve a felhasználói fiókok jogosultságainak szigorú korlátozása is hasznos megoldás.
A tanulság pedig nem új, a technológiai kényelem és a biztonság mindig is ellentétes pólusok voltak. A QR kódok főként a Covid időszak óta terjedtek el széles körben, ám ezzel együtt a csalárd próbálkozások száma vélhetően tovább fog emelkedni a jövőben.
