Proč si začali podvodníci posílat obrázky odkazů

Skener odkazů je jednoduchá, neúmorná věc. Čte textové adresy URL v e-mailu, porovnává je se seznamy známých nebezpečných domén, sleduje přesměrování a označuje ty, které vedou někam nebezpečného. V tom je dobrý. Podvodníci si tedy řekli, co bylo očividné: přestali posílat odkazy.

Začali posílat obrázky odkazů.

To je trik za „quishingem" — podvody s QR kódy. QR kód je adresa URL zakódovaná jako černobílý obrázek, takže cíl jako login-verify.example přestane být text v těle zprávy a stane se pixely. Nejde o to, že by byla adresa šifrovaná; každý fotoaparát ji okamžitě dekóduje. Jde o to, že už není nikde napsána tak, aby ji vy nebo textový parser mohli přečíst před tím, než se zavážete.

Zda ji filtr stále umí přečíst, závisí zcela na produktu. Britské Národní centrum kybernetické bezpečnosti (National Cyber Security Centre, NCSC) vyjadřuje limit opatrně ve své zprávě z února 2024 o QR kódech: „Ne všechny bezpečnostní nástroje určené k detekci phishingových e-mailů budou skenovat obrázky." Všimněte si, co to neříká. Neříká, že to neumí žádný z nich. Microsoft zveřejnil opak v listopadu 2024: Defender for Office 365, napsal, „vylepšil své schopnosti extrahovat adresy URL z QR kódů" pomocí zpracování obrazu na začátku toku pošty, aby „extrahoval a zaznamenával adresy URL skryté v QR kódech", a nyní také extrahuje metadata QR kódů a hledá okolní vzorec — minimální text v těle, návnadu značky, řetězec přesměrování. Takže tvrzení „filtr to nemůže číst" bylo chvíli pravdivé u mnoha produktů, je stále pravdivé u některých, ale není to zákon přírody. Pokud chcete vědět, zda je to pravda o vaší vlastní poště, je to otázka na produkt vašeho poskytovatele a jeho konfiguraci, ne na QR kódy.

Čísla, která jsou ověřitelná, pocházejí od stejného dodavatele, a stojí za to je číst se zřetelem na jejich rozsah. Listopadový příspěvek Microsoftu z roku 2024 popisuje nárůst s „některými útoky rostoucími tempem 270 % měsíčně", říká, že „v nejvyšší fázi Defender for Office 365 blokoval 3 miliony pokusů denně", a že po nasazení detekčních prací „jsme viděli, jak se toto číslo zmenšilo na 200 000 pokusů o phishing s QR kódy každý den." Zpráva Digital Defense Report 2026 od Microsoftu uvádí celkové číslo současného měřítka: 145+ milionů útoků na phishing s QR kódy zjištěných mezi červencem 2025 a červnem 2026 aplikací Defender for Office 365. Všechna tato čísla jsou telemetrie jednoho dodavatele pro svůj vlastní produkt, údaje hlášené sami sebou. Nejsou to podíl z veškerého phishingu a nejsou to průmyslové celkem — starší verze tohoto článku citovala podíl kolem 25 %, který se v žádné publikaci Microsoftu neobjevuje, a ta čísla byla odstraněna spíše než nahrazena.

To, co činí tuto techniku odolnou, je předání, ne kódování. E-mail přistane na notebooku, kde sídlí podnikový filtr, spravovaný prohlížeč a správce hesel. Kód se naskenuje na telefonu, což je obvykle osobní zařízení. NCSC uvádí toto mezi důvody, proč zločinci metodu preferují: „Osobní zařízení nemusí mít stejné bezpečnostní ochrany jako počítač poskytovaný vaším zaměstnavatelem." Na telefonu se panel adres zkrátí, úplná adresa URL se špatně kontroluje, a správce hesel, který by odmítl autofill na nesprávné doméně, se vůbec neúčastní.

Témata jsou nudně předvídatelná, což je samo o sobě vypovídající, a objevují se v upozorněních pro spotřebitele téměř slovo od slova. Výstraha FTC z prosince 2023 popisuje podvodníky zakrývající skutečný QR kód na parkovacím automatu svou vlastní nálepkou a důrazně varuje: „Neskenujte QR kód v e-mailu nebo textové zprávě, kterou jste nečekali," zejména takový, který vás nutí jednat okamžitě. Veřejný bezpečnostní oznámení FBI IC3 z ledna 2022 říká totéž o manipulaci — „Kyberšlechtové manipulují jak s digitálními, tak fyzickými QR kódy, aby nahradili legitimní kódy škodlivými kódy" — a říkají lidem, aby fyzické kódy kontrolovali na „nálepku umístěnou na původním kódu." Kód k obnovení vypršejícího vícefaktorového ověřování, žádost o podpis, kterou jste neočekávali, oznámení o dodávce vás žádající o potvrzení doručení: cíl návrhu je vždy malý, věrohodný důvod zvednout telefon ještě před tím, než se něco zkontroluje.

Obranná opatření jsou tedy nudná, a jsou to ta, která agentury skutečně zveřejňují. Rada IC3 na zprávu, která chce platbu nebo přihlášení po naskenování: „zavolat společnosti k ověření", pomocí „telefonního čísla společnosti přes důvěryhodný web místo čísla uvedeného v e-mailu", a „vyhněte se provádění plateb přes web, na který se dostanete z QR kódu. Místo toho ručně zadejte známou a důvěryhodnou adresu URL." Nic na tom nevyžaduje, aby jste posoudili, zda je konkrétní čtverec škodlivý — což je součást, kterou člověk nezvládá.

Jedna věc, kterou vám QR kód v e-mailu nikdy neřekne, je, zda byla zpráva zfalšovaná. Ověřování domény odpovídá na zcela jinou otázku, a aktuální specifikace DMARC výslovně vylučuje „analýzu obsahu" ze svého rozsahu — což je důvod, proč zcela ověřená zpráva může obsahovat škodlivý obrázek. Tento mechanismus si zaslouží vlastní přečtení a je předmětem souvisejícího článku v této sérii.

Oprava, 20. října 2026. Starší verze tohoto článku tvrdila, že spamový filtr nemůže přečíst QR kód a že skenery nevidí zakódovanou adresu. To je pravda u některých produktů e-mailové bezpečnosti a ne u jiných: Microsoft zdokumentoval extrakci adres URL z QR kódů v aplikaci Defender for Office 365 v listopadu 2024 a formulace NCSC je, že ne všechny nástroje skenují obrázky. Článek také citoval údaj přibližně 25 % phishingu e-mailu pomocí QR kódů, přiřazený Microsoftu; v žádné publikaci Microsoftu nebyl nalezen podpora tohoto podílu, takže obrázek byl odstraněn a nahrazen čísly, která Microsoft zveřejňuje přímo s jejich produktem a uvedeným obdobím. Ukázkový podvodný web, který byl vykreslen jako živý odkaz, byl nahrazen neklikatelným příkladem v rezervovaném jmenném prostoru .example, a citace domovské stránky CISA byla nahrazena konkrétními oznámeními FBI IC3 a FTC.