Sdílet
Právě v turistických destinacích, na letištích, v restauracích nebo u památek číhá nebezpečí, které na první pohled vypadá úplně nenápadně. Jedním z triků, na které bezpečnostní experti v posledních letech stále častěji upozorňují, je takzvaný quishing, tedy phishing využívající podvržené QR kódy.
Turisté je potkávají na každém kroku: při placení parkovného, stahování jídelních lístků v restauracích nebo při kupování vstupenek na atrakce. Podvodníci ale mohou původní kódy přelepit vlastními samolepkami. Místo oficiální platební stránky pak člověk skončí na podvrženém webu, kde může přijít o peníze nebo o údaje k platební kartě. Na rizika falešných QR kódů i dalších internetových pastí během dovolené upozorňuje také Allianz pojišťovna.
Pár vteřin nepozornosti vás může stát tisíce. Na co si dát pozor při cestování?
Mezi známé triky patří také manipulace s platebními terminály. Turista by si proto měl před přiložením karty vždy zkontrolovat účtovanou částku a zbystřit při podezřelých požadavcích na opakování platby. Na konkrétní případy, kdy turisté kvůli upravenému terminálu zaplatili místo drobné částky mnohonásobně více, upozorňuje přehled nejčastějších podvodů na cestovatele.
Častou pastí bývá i zdánlivě přátelská „falešná pomoc“ od místních s fotografováním nebo zavazadly, po níž následuje požadavek na nepřiměřeně vysokou odměnu, případně kapesní krádež ve chvíli, kdy je pozornost turisty odvedena jinam. Pozor je třeba dávat také na nepoctivé taxikáře vymlouvající se na nefunkční taxametr. Před cestou je vhodné znát přibližnou cenu a u služeb objednávaných přes aplikaci nepřistupovat na návrh, aby se jízda zrušila a platilo se jiným způsobem.
Útočníci přelepují QR kódy
Sedíte v restauraci, chcete zaplatit nebo získat slíbenou odměnu a naskenujete kód na stole. Právě v tu chvíli se ale můžete stát obětí podvodu. Samotný QR kód nebezpečný není. Rizikem je cíl, na který vás přesměruje, případně údaje, které po vás následná stránka požaduje. Podvodníci mohou originální QR kódy přelepovat a ostražití proto musejí být zákazníci i provozovatelé.
Bezhotovostní platby jsou stále běžnější a QR kódy jsou rychlé a pohodlné. Právě jejich jednoduchost ale může být také slabinou. Při skenování člověk předem nevidí kompletní obsah kódu a nemusí okamžitě poznat, že míří na falešnou stránku. Na rizika placení pomocí QR kódů a na princip quishingu upozornili letos také bezpečnostní experti oslovení CNN Prima NEWS.
Místo stovky jen desetikoruna. Podvádějí i nakupující
„Jeden z druhů podvodů je takzvaný quishing. Je to odvozený phishing s využitím QR kódu, tedy že přelepíte třeba na parkovacím automatu kód vlastním kódem a penízky chodí vám, a ne tomu pronajímateli parkoviště,“ vysvětlil pro CNN Prima NEWS odborník na IT bezpečnost Miloslav Lujka.
Riziko ale nečíhá pouze na zákazníky. Podvést mohou i nakupující. U stánků nebo v provozech s velkým počtem lidí může zákazník například upravit částku nebo ukázat pouze snímek obrazovky, který má vyvolat dojem, že platba skutečně proběhla.
„Třeba vyfotíte na stánku QR kód k párku v rohlíku, ale už si změníte tu částku, takže nezaplatíte 100 korun za párek, ale změníte si ji třeba na 10 korun a tomu prodejci ukážete jenom to, že proběhla platba. Častokrát mají prodejci dlouhou frontu a nekontrolují on-line na účtu, jestli jim to tam cinklo,“ popsal Lujka.
Jak se nenechat napálit? Základem je kontrola
Neznamená to, že by lidé měli na platby QR kódem zcela zanevřít. Klíčová je obezřetnost na obou stranách. Před potvrzením platby v mobilním bankovnictví je nutné vždy zkontrolovat příjemce, číslo účtu a konečnou částku. Podezřelý by měl být zejména kód nalepený na jiném štítku, poškozená samolepka nebo stránka, která po naskenování požaduje neobvykle mnoho osobních či platebních údajů.
Pokud QR kód v restauraci nabízí slevu, soutěž nebo jinou výhodu a něco se vám nezdá, je bezpečnější ověřit si jeho pravost přímo u obsluhy. U parkovacích automatů může být jistější použít oficiální aplikaci provozovatele nebo jiný platební způsob uvedený přímo na automatu.
Nalétli jste na podvod? Záleží na tom, kde se to stalo
Pokud se stanete obětí falešného QR kódu, způsob dalšího řešení závisí také na zemi, v níž k podvodu došlo.
V Česku může podobné jednání při splnění zákonných podmínek naplnit například skutkovou podstatu podvodu podle § 209 trestního zákoníku. Zákon pracuje s pojmem škoda nikoli nepatrná, jejíž hranice je podle § 138 trestního zákoníku nejméně 10 000 korun. Přesné právní posouzení konkrétního případu však vždy závisí na způsobu provedení, výši škody i dalších okolnostech. Aktuální znění příslušných ustanovení obsahuje trestní zákoník č. 40/2009 Sb..
Jestliže podvržený kód slouží k vylákání přihlašovacích údajů a pachatel je následně použije k neoprávněnému přístupu do počítačového systému nebo k dalšímu zásahu do něj, mohou podle konkrétního jednání přicházet v úvahu i další trestné činy. Nelze však automaticky říci, že každé vylákání údajů přes falešný web samo o sobě představuje trestný čin podle § 230.
Pokud by zavádějící způsob platby nebo informace použil přímo podnikatel vůči zákazníkovi, může se věc dostat také do oblasti ochrany spotřebitele. Zákon č. 634/1992 Sb., o ochraně spotřebitele zakazuje nekalé obchodní praktiky a za klamavé považuje mimo jiné jednání, které spotřebitele uvede nebo může uvést v omyl a ovlivní jeho rozhodnutí o nákupu.
Když se to stane v zahraničí…
V cizině se případ řeší především podle místních zákonů a s tamní policií. V rámci Evropské unie zároveň existují společná pravidla ochrany spotřebitelů, ta však nelze zaměňovat s trestním vyšetřováním anonymního podvodníka. Pokud vznikne přeshraniční spor s konkrétním obchodníkem z jiné země EU, Norska nebo Islandu, může českému spotřebiteli bezplatně pomoci Evropské spotřebitelské centrum.
Když naletíte, rozhodují první minuty
Jakmile zjistíte, že jste zadali platební údaje na falešné stránce nebo poslali peníze nesprávnému příjemci, je vhodné co nejrychleji kontaktovat banku. Podle typu transakce může banka kartu zablokovat, zabezpečit účet nebo poradit s možnostmi reklamace. Evropská komise ostatně mezi prvními kroky po internetovém podvodu doporučuje právě kontakt s bankou.
Současně si uchovejte co nejvíce důkazů. Vyfoťte falešný QR kód, místo, kde byl umístěn, adresu stránky, na kterou vás zavedl, a uložte si potvrzení o platbě nebo výpis z účtu. Pokud k podvodu došlo v zahraničí, oznamte jej místní policii; po návratu můžete podle okolností konzultovat další postup také se svou bankou či příslušnými českými institucemi.
Pár vteřin navíc před potvrzením platby tak může být na dovolené podstatně cennějších než nejvýhodnější směnný kurz. QR kód je praktický pomocník, ale není to pečeť důvěryhodnosti. A právě na tento rozdíl podvodníci spoléhají.
