Phishing přes QR nálepky. Co ověřit před platbou

QR kód na autě může vést k podvodnému platebnímu formuláři. MIRRI ve varování z 2. dubna 2026 popisuje podněty z Bratislavy, kde nálepky a letáky na vozidlech upozorňovaly na údajný dopravní přestupek.

Výzvu k úhradě ověřte přímo u instituce přes kontakt, který znáte nebo najdete nezávisle na nálepce. Vytištěný QR kód sám původ zprávy nepotvrzuje.

Co CSIRT zachytil

MIRRI uvádí domény platby-mvsr[.]sk a sk-slovensko[.]web[.]app. Zápis je záměrně neklikací. Podvodné stránky napodobovaly státní služby a žádaly osobní údaje, potvrzení identity přes SMS nebo platbu.

Jde o konkrétní indikátory z daného varování. Seznam nepokrývá veškerý phishing a nepřítomnost adresy v něm nedokazuje bezpečnost. Další útok může použít jinou doménu i záminku.

Před platbou otevřete službu samostatně

Adresu porovnejte s oficiálním webem instituce. Logo, barvy ani HTTPS nestačí. Šifrované spojení nepotvrzuje, že provozovatel skutečně zastupuje uvedený úřad.

Doména .gov.sk je užitečný signál, ale veřejné služby nelze posuzovat pouze podle koncovky adresy. Ani přítomnost či nepřítomnost eID sama nerozhoduje o pravosti formuláře.

Pokud zpráva vyžaduje okamžité jednání, neplaťte přes přiložený odkaz. Otevřete známou službu samostatně nebo zavolejte na úřad přes nezávisle ověřené číslo. Tento postup doporučuje také MIRRI.

Firma potřebuje postup hlášení

Podvodnou nálepku může naskenovat zaměstnanec telefonem, na kterém používá také pracovní e-mail. Samotné otevření stránky ještě neprokazuje napadení firemního účtu. Bezpečnostní tým potřebuje vědět, zda člověk zadal heslo, potvrdil přihlášení nebo poskytl platební údaje.

Pošlete zaměstnancům ukázku podvodu a kontakt pro hlášení. Postup má odlišovat návštěvu stránky od předání údajů a určit, kdo posoudí účet, zařízení nebo platbu. Zaměstnanec nemusí nejprve zjistit, o jaký útok jde, aby mohl ohlásit podezření.

SPF, DKIM a DMARC mohou omezit zneužití vlastní e-mailové domény. Neověřují však fyzickou nálepku ani podobně pojmenovanou doménu útočníka. DNS filtr může zablokovat známou škodlivou adresu, ale nový podvod ještě nemusí znát. Ověření výzvy proto zůstává potřebné.

Co po zadání údajů

Přestaňte se stránkou komunikovat a událost nahlaste firemním postupem. Uchovejte adresu, zprávu nebo fotografii nálepky. Podle předaných údajů může následovat změna hesla přes skutečnou službu, zrušení relací nebo kontaktování banky. Konkrétní kroky má určit odpovědná osoba podle incidentu.

Související rizika popisují články o AI phishingu a deepfake útocích a skriptech třetích stran na webu. Pokud potřebujete projít firemní hlášení a odpovědnosti, ozvěte se nám.