Podvodný QR kód: jak ho poznat a co dělat, když už jste ho naskenovali

Proč podvodníci používají QR kódy

Odkaz v SMS si člověk přečte. QR kód ne – je to čtvereček, který prozradí obsah, až když ho telefon načte. A protože QR kódy běžně používáme k placení, na lístky a jídelní lístky, máme k nim důvěru. Na to podvodníci sázejí. V kódu může být:

• odkaz na falešnou stránku – přihlášení do banky, „platební brána“, „ověření zásilky“,
• odkaz ke stažení aplikace – podle FTC může škodlivý kód nainstalovat software, který krade údaje,
• předvyplněná platba – bankovní aplikace po načtení nabídne převod na účet podvodníka,
• pozvánka k propojení zařízení – kód, který připojí váš účet v komunikátoru k cizímu počítači (viz níž).

Čtyři situace, ve kterých se podvodný QR kód objevuje

1. „Výplata“ nebo „platba za zboží“ přes QR kód

Nejdražší varianta. Policie ČR v červnu 2026 popsala případ z jižních Čech (policisté ze Suchdola nad Lužnicí): ženě podvodníci přes WhatsApp slíbili výplatu peněz z údajného investičního účtu a poslali jí 35 QR kódů. Myslela si, že po každém načtení a potvrzení jí přijdou peníze. Ve skutečnosti každým potvrzením odeslala platbu ze svého účtu – celkem téměř 423 tisíc korun.

Podobně v bazarech: prodejce z Táborska dostal od „kupce“ odkaz na „Zásilkovnu“ s QR kódem. Kód ho zavedl na falešnou stránku banky, kde zadal přihlašovací údaje a potvrdil „platbu“. Podvodník se tím dostal do jeho bankovnictví a odeslal přes 200 tisíc korun (Policie ČR, leden 2024).

2. Přelepený kód na automatu, nabíječce nebo letáku

Americké FBI už v lednu 2022 varovalo, že podvodníci přelepují QR kódy na veřejných místech vlastními a sbírají tak platby a údaje z karet. FTC v prosinci 2023 jmenovala konkrétně parkovací automaty. Kód pak vede na stránku, která vypadá jako platba parkovného, ale peníze a číslo karty jdou podvodníkovi.

3. QR kód v SMS nebo e-mailu

FTC popisuje zprávy o nedoručeném balíku, „problému s účtem“ nebo „podezřelé aktivitě“, které chtějí, abyste naskenovali kód. Podle FTC na vás zpráva tlačí časem, abyste kód načetli a odkaz otevřeli bez přemýšlení. Jde o stejný podvod jako SMS o balíku, jen s jiným obalem.

4. QR kód pro „propojení zařízení“

Komunikátory jako Signal nebo WhatsApp umí připojit účet k počítači načtením QR kódu. SK-CERT v únoru 2025 varoval, že útočníci tuto funkci zneužívají u Signalu: podstrčí kód vydávaný za pozvánku do skupiny, bezpečnostní upozornění nebo pokyn k párování, a když ho oběť načte, připojí její účet ke svému zařízení a čtou zprávy v reálném čase. SK-CERT radí pravidelně kontrolovat seznam propojených zařízení a neznámá odebrat.

Jak QR kód prověřit, než ho otevřete

1. Přečtěte si adresu. Fotoaparát telefonu po načtení ukáže adresu, než ji otevřete. Rozhoduje doména – postup je v návodu Jak poznat podvodný odkaz. FBI upozorňuje na domény s překlepem nebo jedním přehozeným písmenem.
2. Fyzický kód zkontrolujte rukou i okem. Nálepka přes původní kód, nerovné okraje, kód přelepený přes text – to jsou znaky, které jmenuje FBI.
3. Nestahujte aplikace z QR kódů. Aplikaci hledejte v obchodě s aplikacemi pod jménem firmy. FBI také radí neinstalovat aplikace třetích stran na čtení QR kódů – čtečku má fotoaparát.
4. Neplaťte přes stránku z QR kódu, když nemusíte. Adresu provozovatele napište ručně nebo použijte jeho oficiální aplikaci, kartu nebo hotovost (FBI).
5. Nepotvrzujte v bankovnictví nic, čemu nerozumíte. Přečtěte si, co aplikace ukazuje: odchozí platba, částka, cizí účet. Při pochybnosti platbu nepovolte a zavolejte bance (Policie ČR).
6. Kód od známého ověřte jinou cestou. Pokud QR kód přišel „od kamaráda“, zavolejte mu nebo napište jinam, než odkud kód přišel (FBI).

Už jste QR kód načetli?

• Potvrdili jste platbu: rozhodují minuty. Volejte nouzovou linku banky (číslo je na kartě a v aplikaci), nechte zablokovat přístup do bankovnictví a zkuste platbu zastavit. Pak oznámení Policii ČR, na Slovensku Policajnému zboru – obojí linka 158.
• Zadali jste přihlašovací údaje nebo kartu: postup je v návodu Zadal jsem údaje na podvodné stránce. Kartu zablokujte v aplikaci banky.
• Po kódu vám někdo volá „z banky“: zavěste a zavolejte sami na oficiální číslo – viz Volal mi falešný bankéř.
• Načetli jste kód pro propojení komunikátoru: v nastavení aplikace otevřete seznam propojených zařízení a odeberte všechna, která neznáte (SK-CERT).

Kam podvodný QR kód nahlásit

• Přelepený kód na automatu nebo nabíječce: provozovateli (kontakt bývá přímo na automatu) a policii.
• Kód v SMS nebo e-mailu: v Česku přes formulář CSIRT.CZ (typ incidentu „Phishing“), na Slovensku přes formulář SK-CERT. Kontrola odkazu vám u podezřelé adresy připraví text hlášení ke zkopírování.
• Přišli jste o peníze: banka a policie (158).

Kódy „k výplatě“ jsou typické pro falešné investice a podvody v bazarech – tam najdete, jak tyhle podvody poznat od začátku.