Quishing na parkomatoch a nabíjačkách: Ako fungujú falošné QR kódy a ako sa pred nimi chrániť

Podvodník nepotrebuje hacknúť parkovací automat ani nabíjaciu stanicu. Stačí mu nálepka s vlastným QR kódom, ktorú prilepí cez originál. Tento typ podvodu sa volá quishing, teda phishing pomocou QR kódov. Úrady v USA aj v Európe o ňom varujú a stretli sa s ním aj v Bratislave. Na tvrdenia o „masívnom náraste“ treba však dávať pozor, lebo čísla z internetu často pochádzajú z nespoľahlivých zdrojov.

Ako quishing na parkomatoch a nabíjačkách funguje

Podvodník vytlačí nálepku s vlastným QR kódom a prilepí ju na parkovací automat alebo nabíjaciu stanicu, najčastejšie priamo cez pôvodný kód. Po naskenovaní sa telefón otvorí na stránke, ktorá napodobňuje legitímnu platobnú službu. Obeť zadá údaje o karte, spolu s ŠPZ a časom parkovania, a podvodníci ich získajú.

Samotný QR kód pritom nie je nebezpečný. Je to len spôsob zápisu odkazu, no človek v čase skenovania nevidí, kam odkaz vedie. Týmto sa útok líši od klasického phishingu v e-maile: zneužíva fyzické miesto, kde je skenovanie bežné a kde sa čaká platba.

Čo je overené

Bratislava a Česko

Podľa televízie JOJ z 30. apríla 2025 sa falošné nálepky objavili na takmer desiatke bratislavských parkomatov, najmä v Starom Meste. Stránka, na ktorú viedli, mala logo prevádzkovateľa parkovacej aplikácie EasyPark. Mesto uvádza, že má približne 200 parkomatov a spolu s mestskou políciou ich kontroluje, a to fyzicky aj načítaním QR kódov. V čase správy sa mesto nestretlo s prípadom, že by niekto po platbe cez falošný lístok dostal pokutu. Podobné prípady podľa tejto správy riešili aj technické služby v Prahe.

Nemecko a Írsko

Mesto Chemnitz v tlačovej správe uvádza, že na niektorých parkovacích automatoch našlo nálepky s falošnými QR kódmi. Viedli na stránku, kde mali obete okrem karty zadať parkovaciu zónu, ŠPZ a čas parkovania. Mesto podalo trestné oznámenie. V septembri 2026 varovali pred quishingom na parkomatoch, nabíjacích staniciach a plagátoch aj írski policajti (Gardaí) v Donegale.

USA

V júni 2025 vydal dopravný úrad New Yorku varovanie pred podvodnou nálepkou na parkomate. Podľa zdrojov z októbra 2026 boli neskôr v Manhattane nájdené a odstránené desiatky falošných nálepiek a v súvislosti s tým bol obžalovaný jeden muž. Ide o spravodajstvo miestneho média, preto sa pred publikovaním oplatí overiť podrobnosti na oficiálnej stránke úradov.

Nabíjačky pre elektromobily

Bezpečnostná spoločnosť ESET upozornila na správy z Británie, Francúzska a Nemecka o tom, že podvodníci lepia škodlivé QR kódy cez legitímne na verejných nabíjacích staniciach. Niektoré správy hovoria aj o rušení signálu, ktoré má obeť prinútiť použiť QR kód namiesto aplikácie. Toto tvrdenie som nenašiel potvrdené v spoľahlivom zdroji, preto ho berte ako neoverené.

Čo hovoria čísla o náraste

Často sa cituje údaj, že quishing v prvom štvrťroku 2026 vzrástol o 146 %. Pochádza z viacerých blogov, no primárny zdroj som nenašiel. Podobne nespoľahlivé sú iné čísla o náraste o stovky percent, ktoré uvádzajú firmy predávajúce QR služby. Preto neuvádzam žiadne konkrétne percento ako fakt. Isté je, že úrady v rôznych krajinách o jave opakovane varujú.

Ďalšia varianta: nálepky na autách

Slovenský vládny CSIRT, podľa ministerstva investícií, regionálneho rozvoja a informatizácie, upozornil aj na podvod s nálepkami s QR kódom na autách, ktoré majú upozorňovať na údajný dopravný priestupok a presmerovať na falošné platobné stránky. Ide o inú formu fyzického phishingu.

Ako sa chrániť

• Skontrolujte nálepku. Prevádzkovatelia a odborníci odporúčajú všímať si, či QR kód nie je nalepený cez iný, či nevyčnieva alebo či okraje nesedia.
• Skenujte len kód zobrazený priamo na termináli. Podľa ESET nikdy neskenujte kód, ktorý nie je na samotnom termináli nabíjačky alebo parkomatu.
• Používajte oficiálnu aplikáciu. Parkovací operátor aj mesto Chemnitz odporúčajú platiť cez aplikáciu nainštalovanú vopred, nie cez QR kód.
• Využite iné spôsoby platby. Mnohé parkomaty prijímajú kartu, NFC alebo mince.
• Pozrite sa na adresu stránky. Gramatické chyby a neznáma doména sú varovným signálom. Oficiálne štátne portály používajú domény .gov.sk alebo .slovensko.sk.
• Ak ste už zadali údaje, zablokujte kartu, kontaktujte banku a oznámte to polícii.

Čo môžu urobiť prevádzkovatelia

Odborný web o parkovaní uvádza ako možné riešenia tlač QR kódu priamo na lístok alebo zobrazenie kódu na displeji automatu namiesto statickej nálepky. Mestá reagujú pravidelnými kontrolami, napríklad v Bratislave a v New Yorku.

Záver

Quishing je lacný, jednoduchý a využíva dôveru v QR kódy. Spoľahlivých údajov o tom, ako veľmi sa šíri, je málo, ale prípady na parkomatoch sú zdokumentované v Bratislave, v Nemecku aj v USA. Najlepšia ochrana je jednoduchá: platiť cez oficiálnu aplikáciu alebo kartou a nenaskenovať kód nalepený cez iný.