Quishing je postao jedna od najbrže rastućih prijetnji unutar phishinga. Ideja je jednostavna: naizgled bezopasan QR kod skriva lažnu adresu. Microsoft je kvantificirao taj rast: u ožujku 2026. otkrio je 18,7 milijuna takvih napada , u usporedbi sa 7,6 milijuna u siječnju, što predstavlja povećanje od 146% u samo tri mjeseca.
Problem leži u radnjama koje su postale dio naše svakodnevne rutine. Skeniranje jelovnika restorana, plaćanje parkinga, preuzimanje karte ili pretraživanje turističkih informacija postalo je uobičajeno. Kibernetički kriminalci iskorištavaju tu poznatost. Stručnjaci iz Áudee, jedinice za kibernetičku sigurnost tvrtke Logicalis Španjolska, naglašavaju da web adresa ostaje skrivena dok se poveznica ne otvori, čime se smanjuju znakovi upozorenja koje korisnik može uočiti na prvi pogled.
Zašto QR kod skriva obmanu i skače s računala na mobitel
Za razliku od tekstualne poveznice, QR kod ne prikazuje URL prije skeniranja. Andrés Cartes Guilarte, konzultant za kulturu kibernetičke sigurnosti u Áudei, ističe da je ta neprozirnost jedna od najvećih prednosti za napadače. Korisnik ne može provjeriti je li odredište legitimno, a u mnogim slučajevima skeniranje se vrši s mobilnog telefona , što interakciju pomiče dalje od korporativnog računala i izvan sigurnosnih kontrola tvrtke.
Nakon što se poveznica otvori, žrtva može završiti na stranicama koje oponašaju korporativne usluge, bankarske platforme ili ekrane za autentifikaciju. Cilj ovisi o vrsti prijevare, ali obično uključuje dobivanje vjerodajnica, osobnih podataka ili financijskih informacija . Ovo lažno predstavljanje je uvjerljivije kada poruka stigne u poznatom kontekstu, poput navodne interne komunikacije ili obavijesti od subjekta koji korisnik redovito koristi.
Microsoft je također identificirao otprilike 8.300 milijarde phishing prijetnji distribuiranih putem e-pošte tijekom istog razdoblja. Tvrtka je opisala quishing kao najbrže rastući vektor napada tijekom tog vremena, trend koji je u skladu sa sve većom upotrebom QR kodova u svim vrstama okruženja.
PDF-ovi, e-poruke i dokumenti sustava Microsoft 365: preferirani kanali
Barracudino izvješće o prijetnjama putem e-pošte iz 2026. otkriva nekoliko upečatljivih otkrića. 70% analiziranih zlonamjernih PDF-ova sadržavalo je QR kodove koji su vodili do phishing stranica. Drugim riječima, dokument djeluje kao maska kako bi prevario žrtvu da vjeruje datoteci i da ne sumnja u kod unutra.
U istom izvješću navodi se da je 56% zlonamjernih dokumenata sustava Microsoft 365 uključivalo skrivanje podataka. Nadalje, broj kodova ugrađenih izravno u tijelo e-poruka porastao je za 336% u ožujku 2026. Napadači se ne ograničavaju samo na privitke: oni također postavljaju QR kod unutar samog teksta poruke kako bi povećali šanse da ga netko skenira.
ESET-ovo izvješće o prijetnjama za prvu polovicu 2026. pokazuje da je do 11% svih phishing napada u prvoj polovici godine izvedeno metodom quishinga. Tvrtka upozorava da te tehnike postaju sve sofisticiranije: neke kampanje imaju za cilj dobiti tokene za višefaktorsku autentifikaciju, instalirati zlonamjerni softver, prevariti žrtve da preuzmu zlonamjerne aplikacije ili koristiti legitimne telefonske aplikacije kao dio prijevare.
Josep Albors, voditelj istraživanja i osvješćivanja u ESET-u Španjolska, objašnjava da napadači mogu dodatno prikriti kôd ugrađujući ga u PDF-ove, JPEG slike ili druge dokumente ili koristeći usluge koje skraćuju URL-ove prije generiranja QR koda. Istovremeno, poruka koja prati kôd može sadržavati vrlo malo teksta, eliminirajući klasične tragove poput pravopisnih pogrešaka, vidljivih poveznica ili neobičnih domena.
Od jelovnika restorana do parkirališta: fizički rizik i obrambene mjere
Opasnost ne prestaje u vašem inboxu. QR kodovi postavljeni u restoranima, trgovinama, javnom prijevozu, parkiralištima i turističkim uslugama predstavljaju isti problem: ne možete provjeriti koju će stranicu prikazati prije nego što ih skenirate. Nadalje, u javnim prostorima kod je možda bio izmijenjen ili zamijenjen lažnim.
U kolovozu je INCIBE dokumentirao stvarni slučaj koji savršeno ilustrira rizik. Korisnik je skenirao QR kod jelovnika restorana i, nakon što je kliknuo na poveznicu i prihvatio skočni prozor, nehotice aktivirao neželjenu premium pretplatu . Drugi kupci u istom objektu iskusili su slične situacije, što pokazuje da problem nije bio izolirani incident koji je uključivao jednu osobu.
Širenje ove tehnologije objašnjava dio fenomena. Prema podacima koje je prikupio QR TIGER, oko 75% restorana diljem svijeta već koristi QR kodove kako bi olakšali pristup digitalnim jelovnicima. Korištenje ovog alata u marketingu i oglašavanju poraslo je za 323% između 2021. i 2023., što objašnjava zašto su se kriminalci usredotočili na njega.
ESET preporučuje tvrtkama uključivanje skrivanja podataka u programe podizanja svijesti i simulacijske vježbe kako bi zaposlenici naučili prepoznavati sumnjive QR kodove. Također savjetuje da se ne skeniraju kodovi u neželjenim e-porukama i preporučuje prijavljivanje svih sumnjivih poruka.
Kada zaposlenik vjeruje da poruka dolazi iz pouzdanog izvora, preporučljivo ju je provjeriti putem neovisnog kanala , koristeći kontaktne podatke koji se ne nalaze u samoj e-pošti. Ova provjera sprječava da se potvrda oslanja na informacije koje je poslao potencijalni napadač.
Tehnička zaštita je također važna. Među spomenutim mjerama su rješenja za sigurnost e-pošte, alati za mobilnu sigurnost, upravljanje uređajima putem MDM-a, višefaktorska autentifikacija otporna na phishing , načelo najmanjih privilegija, pristup „just-in-time“, redovita ažuriranja i praćenje anomalnog ponašanja. Osim toga, bitno je testirati planove odgovora na incidente kako bi se osigurala brza reakcija u slučaju napada.
- Sigurnost e-pošte i mobilnih uređaja blokirati zlonamjerne poveznice i kod.
- Upravljanje MDM uređajima primjenjivati minimalne politike.
- Višefaktorska autentifikacija otporna na krađu identiteta (MFA) i načelo najmanjih privilegija.
- Ažuriranja, pristup upravo na vrijeme i kontinuirani nadzor.
Uzorak koji otkrivaju sve ove brojke je jasan: QR kodovi su pronašli svoje mjesto u svakodnevnom životu jer su praktični, brzi i sveprisutni. Upravo ta sveprisutnost čini prijetnju teškom za otkrivanje. Ključno je biti oprezan prema neočekivanom , provjeriti kontekst prije skeniranja i implementirati sigurnosne mjere koje prate korisnika od e-pošte do mobilnih uređaja, uključujući dokumente i fizičke prostore.
