Oficjalne ostrzeżenie, nie plotka
FBI — Internet Crime Complaint Center (IC3), ostrzeżenie PSA250731
Opublikowane 31 lipca 2025 roku, to ostrzeżenie opisuje konkretny schemat: niezamówione paczki dostarczane osobom prywatnym, zawierające notatkę z kodem QR zachęcającym do zeskanowania „po więcej informacji” — sposób na zainicjowanie schematów oszustwa za pomocą nieoczekiwanego pośrednika fizycznego.
FTC (Federal Trade Commission) — ostrzeżenia dla konsumentów
FTC opublikowała trzy odrębne ostrzeżenia w tej sprawie: w grudniu 2023 roku o oszustach ukrywających złośliwe linki w kodach QR; w styczniu 2025 roku specjalne ostrzeżenie o kodach QR otrzymywanych wraz z niespodziewanymi paczkami, przekierowujących na strony phishingowe zaprojektowane do kradzieży danych logowania lub numerów kart płatniczych; w kwietniu 2026 roku nowe ostrzeżenie o SMS-ach naśladujących zawiadomienie o wykroczeniu drogowym, z kodem QR do zeskanowania w celu opłacenia fikcyjnego mandatu lub rozprawy.
Wariant opłaty drogowej i parkingu: link ukryty w obrazku
SMS wygląda jak oficjalne zawiadomienie — pieczęć stanowa, numer sprawy — i oferuje dwie możliwości: stawić się na wyznaczonej „rozprawie” lub zapłacić mandat, skanując kod QR. Co dokładnie dokumentuje ostrzeżenie FTC z kwietnia 2026 roku: technika służy też do omijania filtrów antyspamowych, które rozpoznają link zapisany jako tekst, ale nie taki ukryty w obrazku. Zeskanowanie kodu prowadzi do strony płatności, która przechwytuje dane bankowe, jeszcze zanim zacznie się mówić o ryzyku zainstalowanego przy okazji złośliwego oprogramowania.
Źródło: FTC Consumer Advice — „That text about a traffic violation is probably a scam", kwiecień 2026.
Dlaczego ten wektor działa
Klasyczny link w e-mailu można najechać kursorem, by sprawdzić adres przed kliknięciem. Kod QR — nie: trzeba go zeskanować, by odkryć, dokąd prowadzi, a aparat w telefonie ukrywa etap weryfikacji, którego wiele osób nauczyło się stosować wobec linków tekstowych. Dokładnie dlatego FTC i FBI celują konkretnie w ten wektor w swoich najnowszych ostrzeżeniach — paczki, parkomaty, plakaty w przestrzeni publicznej: fizyczny nośnik daje wiarygodność, jakiej sam link by nie miał.
Najczęściej zadawane pytania
Czym jest quishing?
Skrót od „QR code” i „phishing”: oszustwo, w którym fałszywy kod QR, często naklejony na prawdziwy nośnik (paczkę, parkomat, plakat), przekierowuje ofiarę na oszukańczą stronę zamiast na stronę legalną.
Czy FBI naprawdę ostrzegało w tej sprawie?
Tak. Centrum skarg FBI (IC3) opublikowało 31 lipca 2025 roku specjalne ostrzeżenie dotyczące niezamówionych paczek zawierających kody QR wykorzystywane do uruchamiania schematów oszustw.
Jak rozpoznać fałszywy kod QR?
Systematyczna nieufność wobec kodu QR otrzymanego pocztą, naklejonego na istniejący nośnik lub towarzyszącego wiadomości wywołującej poczucie pilności. Najbezpieczniejszy odruch: nigdy nie skanować niespodziewanego kodu QR, a jeśli już się zeskanuje, sprawdzić wyświetlony adres przed kontynuowaniem.
Czy kod QR jest też używany w fałszywych SMS-ach o opłacie drogowej lub mandacie?
Tak. W kwietniu 2026 roku FTC opublikowała ostrzeżenie o SMS-ach naśladujących zawiadomienie o wykroczeniu drogowym, z kodem QR do zeskanowania w celu opłacenia fikcyjnego mandatu lub rozprawy — wariant, który ukrywa fałszywy link w obrazku zamiast w tekście, właśnie po to, by ominąć filtry antyspamowe rozpoznające linki zapisane jako tekst.