Quishing — fałszywy kod QR na parkomacie i za wycieraczką

Skanujesz kod QR z parkomatu, żeby szybko zapłacić za postój — i trafiasz na stronę, która wygląda jak serwis płatności, ale należy do oszustów. To quishing, czyli phishing przez kod QR. CERT Polska i policja opisują trzy warianty tej metody: naklejkę na parkomacie, fałszywy „mandat” za wycieraczką i SMS o nieopłaconym parkingu. Wszystkie prowadzą w to samo miejsce — do podrobionej bramki płatności.

Jak działa to oszustwo

Wariant 1: naklejka na parkomacie. Oszuści drukują naklejki łudząco podobne do oficjalnych oznaczeń strefy płatnego parkowania — z nazwą miasta, numerem strefy i napisem w rodzaju:

„Strefa Płatnego Parkowania. Zeskanuj kod, aby opłacić postój online.”

Ten wariant opisywały już ostrzeżenia CERT Polska i Ministerstwa Cyfryzacji: fałszywe naklejki z kodem QR pojawiają się na parkomatach i licznikach parkingowych, kierując do podrobionej bramki płatności. Strona wygląda jak serwis operatora: jest kłódka, jest „https”, jest logo. Prosi o numer rejestracyjny, a potem o pełne dane karty — numer, datę ważności i kod CVC. Kwota do zapłaty jest celowo niska, żeby nikt się nie zawahał. Dane karty trafiają prosto do przestępców.

Wariant 2: „mandat” za wycieraczką. Za wycieraczką znajdujesz kartkę imitującą wezwanie do zapłaty: logotypy urzędowe, paragrafy i kod QR, którym rzekomo opłacisz karę:

„Zawiadomienie o nałożeniu opłaty dodatkowej. Zeskanuj kod QR i ureguluj należność online, aby uniknąć postępowania egzekucyjnego.”

Policja ostrzega jednoznacznie: mandaty i opłaty dodatkowe w Polsce doręcza się osobiście albo listem poleconym, a nie kartką z kodem QR za wycieraczką. Kartka z kodem i groźbą egzekucji to podróbka.

Wariant 3: SMS o nieopłaconym postoju. W komunikacie nr 108/2026 z 1 lipca 2026 CERT Polska ostrzegł przed SMS-ami, w których oszuści podszywają się pod operatorów stref płatnego parkowania i piszą o „nieuregulowanej należności”. Link prowadzi do strony przypominającej oficjalny serwis płatności. Bywa, że oszuści proszą o ręczne przepisanie adresu do przeglądarki — tak obchodzą zabezpieczenia telefonu, które blokują znane adresy phishingowe.

Straty bywają dotkliwe, nawet jeśli wszystko zaczyna się od drobnej opłaty za postój. Policja mazowiecka opisała sprawę mieszkańca powiatu płońskiego, który zeskanował przesłany mu kod QR — w innym kontekście, przy sprzedaży w internecie, nie na parkingu — zalogował się na podstawionej stronie i stracił łącznie 7600 zł w kilku transakcjach. Mechanizm przy parkomatach i „mandatach” działa identycznie: kod prowadzi do fałszywej strony logowania lub płatności, a resztę roboty wykonuje sam poszkodowany, wpisując dane.

Co zrobić, gdy to się dzieje

• Strona po zeskanowaniu prosi o dane karty albo logowanie do banku? Zamknij ją i nic nie wpisuj. Samo zeskanowanie kodu zwykle jeszcze niczym nie grozi — groźne jest to, co zrobisz na stronie.
• Podałeś dane karty? Natychmiast zastrzeż kartę w aplikacji banku albo na infolinii i złóż reklamację transakcji.
• Logowałeś się do bankowości przez tę stronę? Zmień hasło, skontaktuj się z bankiem i przejrzyj historię operacji.
• Zrób zdjęcie naklejki lub kartki zza wycieraczki albo zrzut ekranu SMS-a i adresu strony — to dowody do zgłoszenia.
• Za postój zapłać tak jak zawsze: monetami lub kartą w terminalu parkomatu albo w oficjalnej aplikacji, której adres wpisujesz sam. Zasady bezpiecznego płacenia telefonem zebraliśmy w poradniku o bezpiecznych płatnościach BLIK.
• Jeśli straciłeś pieniądze, kolejne kroki — bez pomijania żadnego — opisaliśmy w poradniku co zrobić po oszustwie.

Gdzie zgłosić

• CERT Polska — fałszywą stronę lub naklejkę zgłoś przez formularz na incydent.cert.pl, a podejrzany SMS przekaż bezpłatnie na numer 8080. Zgłoszenie zrobisz też w aplikacji mObywatel.
• Twój bank — jeśli fałszywy kod QR prowadził do podrobionej bramki płatności i podałeś dane karty, zadzwoń na infolinię banku od razu. CSIRT KNF (zespół reagowania sektora finansowego) obsługuje zgłoszenia od samych instytucji finansowych, nie indywidualne sprawy klientów.
• Policja — jeśli straciłeś pieniądze, dzwoń pod 112 albo złóż zawiadomienie w najbliższej jednostce (policja.pl).
• Operator strefy parkowania lub zarządca parkingu — żeby usunął naklejkę, zanim zeskanuje ją ktoś następny.

Całą procedurę — bank, policja, CERT — opisaliśmy krok po kroku w poradniku gdzie zgłosić oszustwo. Inne schematy działania przestępców znajdziesz w przeglądzie wszystkich metod oszustw w Polsce.