Kod QR na parkomacie może być cudzą naklejką. Sprawdź go przed płatnością

Stoisz przy samochodzie, deszcz zaczyna padać, a parkomat każe zeskanować kod QR. Telefon otwiera stronę podobną do miejskiego systemu płatności. Wpisujesz numer rejestracyjny i dane karty, bo przecież kod znajdował się na urządzeniu stojącym przy ulicy.

Tyle że kod nie musi być częścią parkomatu. Może być naklejką przyklejoną na właściwej instrukcji przez osobę, która chce przekierować kierowców na fałszywą stronę. Fizyczne otoczenie budzi zaufanie, ale naklejkę można podmienić równie łatwo jak link w wiadomości.

Najpierw obejrzyj parkomat

Sprawdź, czy kod nie odstaje, nie zasłania innej naklejki i nie różni się stylem od reszty instrukcji. Ślady kleju, krzywo przycięte rogi, inny kolor druku lub kilka kodów naklejonych jeden na drugim to powód, aby wybrać inną metodę płatności.

Nie zakładaj jednak, że równo przyklejony kod jest bezpieczny. Poszukaj nazwy oficjalnej aplikacji, adresu strony albo numeru strefy podanych także w innym miejscu na urządzeniu. Jeśli miasto lub operator ma własną aplikację, otwórz ją z ekranu telefonu, zamiast instalować coś z linku wyświetlonego po skanowaniu.

Przeczytaj adres przed otwarciem

Wiele aparatów pokazuje podgląd adresu, zanim przejdzie do strony. Zatrzymaj się na tym ekranie. Literówka, dodatkowy myślnik, dziwna końcówka domeny albo nazwa miasta umieszczona tylko w dalszej części adresu powinny wzbudzić podejrzenie.

Na stronie porównaj nazwę operatora i zasady opłaty z informacjami na parkomacie. Fałszywy formularz może wyglądać schludnie, mieć mapę i właściwe logo. Kłódka przy adresie oznacza szyfrowane połączenie z tą stroną, a nie potwierdzenie, że należy ona do miasta.

Płatność nie powinna wymagać logowania do banku

Do opłacenia postoju zwykle wystarczają informacje o pojeździe, strefie, czasie i wybranej metodzie płatności. Strona nie powinna prosić o hasło do poczty, kod odzyskiwania konta ani instalację programu do „potwierdzenia lokalizacji”. Nie zatwierdzaj też w aplikacji bankowej operacji, której kwota lub odbiorca nie zgadzają się z parkingiem.

Jeśli cokolwiek wygląda inaczej niż zwykle, skorzystaj z karty w samym urządzeniu, monet, znanej aplikacji albo drugiego parkomatu. Kilka minut poświęconych na sprawdzenie jest tańsze niż blokowanie karty i odzyskiwanie kont.

Gdy kod został już zeskanowany

Jeżeli tylko otworzyłeś stronę i niczego nie wpisałeś, zamknij ją. Zrób zdjęcie podejrzanej naklejki bez ponownego skanowania i zgłoś ją operatorowi parkingu lub zarządcy drogi. Nie odrywaj jej sam, jeśli wymagałoby to uszkodzenia urządzenia albo narażenia się na konflikt.

Jeśli podałeś dane karty, skontaktuj się z bankiem, zastrzeż lub czasowo zablokuj kartę zgodnie z jego instrukcją i przejrzyj transakcje. Po wpisaniu hasła zmień je przez prawdziwą stronę danej usługi, zwłaszcza jeśli używałeś go także gdzie indziej. Zachowaj zdjęcie kodu, adres otwartej strony i potwierdzenia operacji.

Co mówi źródło, a co rekomenduje Breachroad

Amerykańska FTC ostrzegła 3 września 2026 przed kodami QR naklejanymi na parkomaty. Według zgłoszeń fałszywy kod może zakrywać prawidłowy i prowadzić do strony służącej do kradzieży pieniędzy lub danych. FTC zaleca obejrzenie podglądu adresu, a po podaniu danych — zmianę hasła i sprawdzenie transakcji.

Rekomendacją Breachroad jest sprawdzenie zarówno fizycznej naklejki, jak i cyfrowego adresu. Kod QR nie jest pieczęcią operatora; to jedynie wygodny sposób zapisania linku.

Więcej przykładów opisujemy w poradniku Quishing — phishing z kodami QR. Firmom pomagamy budować podobne odruchy podczas szkoleń z cyberbezpieczeństwa.