W lipcu 2023 roku krakowski urząd poprosił kierowców o rzecz dość niecodzienną: żeby fałszywych naklejek z kodami QR na parkomatach nie zdzierali. Ślady miała najpierw zabezpieczyć policja, więc oszustwo zostało tam, gdzie je nalepiono, z oficjalną prośbą, by go nie ruszać i zgłosić telefonicznie.
28 września 2026 roku naklejki wróciły. Tym razem Zarząd Dróg Miasta Krakowa zdjął je od razu, a komunikat opisał mechanizm dokładniej: nalepki trafiły na informację o aplikacji miejskiej i prowadziły „do innej, nieznanej nam aplikacji", a osobom, które zeskanowały kod i podały dane karty, urząd zalecił kontakt z bankiem.
Właściciel gabinetu, warsztatu albo salonu czyta to z innym pytaniem w głowie niż kierowca. Jego kod QR leży na ladzie, dwa metry od stanowiska. Czy ta sama sztuczka ma tam jakiekolwiek szanse?
Dwa razy ten sam trik i trzy lata między nimi
Powtórka po trzech latach jest w tej historii ważniejsza niż sam incydent. Jedna naklejka to anegdota; ta sama metoda wracająca na te same urządzenia w tym samym mieście oznacza, że ktoś policzył koszt i uznał go za opłacalny. Koszt wynosi tyle, ile wydruk i dwie minuty przy maszynie.
Tło jest odpowiednio duże. CERT Polska zarejestrował w 2025 roku 260 783 unikalne incydenty wobec 103 449 rok wcześniej, czyli o 152% więcej, przy 658 320 zgłoszeniach od użytkowników(-czek). Phishing odpowiadał za 30% incydentów, nie zgłoszeń, czyli za około 78 tys. przypadków. Kody QR są w tym zbiorze jednym z nośników i nie mają osobnej kategorii statystycznej → dokładnie dlatego nikt w Polsce nie poda, ile z tych 78 tys. zaczęło się od skanu.
Rośnie natomiast sama powierzchnia ataku, i to szybko. W badaniu Kantar dla GS1 (N=1000, osoby w wieku 18–70 lat, listopad 2025) 82% badanych zna kody QR i wie, do czego służą, wobec 64% rok wcześniej. Kod z opakowania produktu zeskanowało 58%, rok wcześniej 34%. Skanowanie stało się więc odruchem, a odruch jest najtańszym surowcem w całym tym rzemiośle.
Bezpieczeństwo płatności kodem QR w liczbach, których Polska nie ma
Najbliższy twardy pomiar pochodzi z rynku brytyjskiego. Action Fraud przyjął w dwunastu miesiącach do kwietnia 2025 roku 784 zgłoszenia quishingu, czyli oszustwa opartego na podmienionym kodzie, a łączna strata wyniosła 3,5 mln funtów. Parkingi wskazano w tym ostrzeżeniu jako miejsce szczególnie narażone.
784 zgłoszenia w skali kraju przez rok to około 2,1 dziennie. Jak na temperaturę, jaką ten temat ma w nagłówkach → niewiele. Ciekawsza jest druga liczba z tego samego zestawienia: po podzieleniu strat przez zgłoszenia wychodzi średnio około 4 460 funtów na przypadek. Opłata za postój, od której wszystko się zaczyna, kosztuje w Wielkiej Brytanii kilka funtów.
Z tej proporcji wynika cała mechanika. Przejęta opłata parkingowa jest za mała, żeby komukolwiek się opłaciła, i służy wyłącznie jako pretekst do zebrania danych karty na podstawionej stronie. Obciążenie przychodzi później i ma inny rząd wielkości niż transakcja, którą płacący(-ca) chciał(a) wykonać. Wartość jednej płatności nie jest więc miarą możliwej straty i każdy rachunek ryzyka oparty na niej jest o trzy zera za niski. Jako kontrolka zgodności nośnika ta sama kwota działa natomiast bez zarzutu.
Czyja to strata? NBP podaje 11 procent
Polskie dane o skali oszustw płatniczych są za to bardzo dobre i mówią coś, czego kampanie edukacyjne zwykle nie dopowiadają. W I kwartale 2026 roku NBP odnotował 39,2 tys. oszukanych przelewów o wartości 245,9 mln zł. To o 56% więcej niż kwartał wcześniej i wyraźnie powyżej poprzedniego rekordu, czyli niecałych 177 mln zł z III kwartału 2025 roku.
Teraz punkt odniesienia, bez którego te 245,9 mln zł straszy mocniej, niż powinno. Udział oszukanych przelewów w całym wolumenie to 0,00249% liczby operacji, rok wcześniej 0,00129%. Wzrost o 93%, czyli niemal podwojenie, a poziom nadal wypada na jednym przypadku na około czterdzieści tysięcy przelewów. Udział w wartości przeszedł w tym samym czasie z 0,00142% na 0,00245%, czyli wzrósł 1,73-krotnie wobec 1,93-krotnego wzrostu udziału w liczbie. Oszustw robi się więc więcej.
Dwie pozostałe liczby z tego raportu są dla tematu nośnika kluczowe. 34 tys. z 39,2 tys. przypadków, czyli niemal 87%, wzięło się z manipulacji osobą płacącą. I druga: banki poniosły z tej puli nieco ponad 27 mln zł, czyli 11% strat. Pozostałe 89% zostało tam, gdzie podjęto decyzję o zatwierdzeniu płatności.
Karty wyglądają w tym samym raporcie inaczej: 84,7 tys. oszukanych transakcji o wartości 21 mln zł daje średnio około 248 zł na przypadek, wobec około 6 270 zł przy przelewie. Oszustwo kartowe jest więc częstsze i tańsze, a oszustwo przelewowe rzadsze i mniej więcej dwudziestopięciokrotnie droższe. Dla właściciela firmy usługowej wniosek jest nieprzyjemny, ale użyteczny: ryzyko przenosi się tam, gdzie decyzję podejmuje człowiek, i tam trzeba je rozbroić.
Trzy warunki, które musi spełnić podmieniona naklejka
Wróćmy do lady. Żeby oszustwo z parkomatu przeniosło się na tabliczkę w gabinecie, muszą zajść trzy rzeczy równocześnie.
Pierwsza: kod musi być statyczny, czyli prowadzić zawsze pod ten sam adres, niezależnie od transakcji. Podmiana ma sens tylko wtedy, gdy zamienia stały cel na inny stały cel.
Druga: kwotę musi wpisywać osoba płacąca. W parkomacie to naturalne, bo nikt poza kierowcą(-czynią) nie wie, na ile godzin zostawia auto. Podstawiona strona może więc poprosić o dowolną kwotę i nie wzbudzi podejrzeń.
Trzecia: na końcu musi stać formularz danych karty. Tam jest łup, co pokazuje brytyjski rachunek z poprzedniej sekcji.
Model, w którym kwotę ustala usługodawca w swojej aplikacji, wywraca warunki drugi i trzeci. Klientka salonu słyszy przy ladzie „sto osiemdziesiąt", po skanie widzi na swoim telefonie dokładnie tę kwotę albo widzi inną → i wtedy rozmowa kończy się przy ladzie, zanim ktokolwiek cokolwiek zatwierdzi. Autoryzacja idzie dalej przez BLIK, Apple Pay albo Google Pay, czyli przez aplikację banku lub portfel w telefonie, gdzie numeru karty nikt nie przepisuje.
Polski pomiar tej jednej warstwy jest zresztą bez luk. BLIK rozliczył w pierwszej połowie 2026 roku blisko 1,6 mld transakcji, o 13% więcej rok do roku, o wartości 244,8 mld zł, czyli o 18% wyższej, przy 21,6 mln aktywnych użytkowników(-czek) miesięcznie. Prawie co czwarta z tych operacji (23,9%) przeszła w punkcie stacjonarnym. Nawyk potwierdzania płatności we własnej aplikacji bankowej jest więc w Polsce zbudowany i nie trzeba go fundować od zera.
Czego ten model nie rozwiązuje?
Trzy rzeczy w tym rachunku zostają otwarte i lepiej je nazwać, niż udawać, że nośnik rozwiązuje wszystko.
Po pierwsze, manipulacja działa dalej. Niemal 87% polskich oszustw przelewowych z I kwartału 2026 roku wzięło się z manipulacji osobą płacącą, a manipulować da się przez telefon, SMS, komunikator i podstawioną stronę. Kto przekona osobę płacącą, żeby zatwierdziła operację, dostanie to zatwierdzenie w dowolnej aplikacji, także w jej własnej bankowej. Dynamiczna kwota utrudnia atak na nośnik; atak na człowieka zostaje po tej zmianie nietknięty.
Po drugie, ekran potwierdzenia jest ostatnim momentem, w którym płacący(-ca) może zobaczyć, że pieniądze idą gdzie indziej, a tego, jak dokładnie każdy polski bank opisuje tam odbiorcę, nikt publicznie nie zebrał.
Po trzecie, tabliczka na ladę to inny nośnik niż oznakowanie w przestrzeni publicznej. Naklejka na parkometrze jest na stałe, dwadzieścia cztery godziny na dobę. Tabliczkę przy stanowisku chroni obecność osoby, która za tym stanowiskiem stoi.
W rozwiązaniu Scan&Pay od paymove każdy kod jest unikalny i prowadzi do konkretnej usługi u konkretnego sprzedawcy, a metody płatności ograniczono do BLIK-a, Apple Pay i Google Pay.
Bezpieczeństwo płatności kodem QR przy ladzie: test, który trwa pięć sekund
Dla firmy usługowej wynika z tego jedna czynność operacyjna. Raz dziennie, przy otwarciu, warto spojrzeć na tabliczkę i sprawdzić dwie rzeczy: czy nic na niej nie leży i czy kwota, którą pokazuje telefon pierwszej klientki, zgadza się z kwotą wpisaną w aplikacji. Zgodność tych dwóch liczb jest jedynym dowodem, że kod należy do tej lady.
Asymetria kosztów jest tu wyraźnie po stronie usługodawcy. Oszust musi wydrukować nośnik, wejść do lokalu i podmienić go przy kimś, kto tam pracuje. Właściciel(ka) musi raz na dobę spojrzeć na własny blat. W przestrzeni publicznej ta asymetria układa się odwrotnie: nikt tam nie stoi, a urządzenie czeka całą dobę i dlatego naklejki wracają na krakowskie parkomaty w trzyletnim rytmie.
Ryzyko kodu QR jest więc pochodną miejsca, w którym kod wisi i liczby osób, które na niego patrzą. Wycenia się je w minutach uwagi dziennie. Przy ladzie ten rachunek jest krótki.
