QR-kóddal fizetsz? Így ismerheted fel a gyanús megoldásokat

Nem minden QR-kód fizetési kód

Egy kávézó kasszájánál, parkolóautomatán vagy számlalevélen található QR-kód gyorsabbá teheti a fizetést: nem kell hosszú számlaszámot begépelni. Csakhogy a fekete-fehér négyzetek önmagukban nem árulják el, hová vezetnek. A QR-kód tartalmazhat webcímet, bejelentkezési hivatkozást vagy fizetéshez szükséges adatot is. Nem ugyanaz a kockázat, ha a mobilbank szabványos qvik-fizetést készít elő, vagy ha egy általános kamera egy ismeretlen weboldalt nyit meg.

A Magyar Nemzeti Bank (MNB) szerint a qvik-QR beolvasását követően a támogatott mobilbanki alkalmazás átutalási felületén láthatóvá válnak a fizetési adatok. A vásárló ott dönt a jóváhagyásról. A kód beolvasása önmagában nem egyenlő a pénz elküldésével. Mindez nem jelenti azt, hogy egy QR-kóddal kezdődő bármilyen más folyamat automatikusan ugyanezt a védelmet adná.

Mi a quishing?

A quishing QR-kóddal indított adathalászat: a támadó olyan kódot tesz az áldozat elé, amely megtévesztő belépési vagy fizetési oldalra visz. Előfordulhat QR-matrica egy valódi kód fölött, hamis parkolódíj-fizetési oldal vagy üzenetben érkező „pénz átvételéhez szükséges” kód. A magyar Nemzeti Kiberbiztonsági Intézet 2026 januárjában külön figyelmeztetett a vizuálisan hitelesnek tűnő, logóval és színekkel díszített rosszindulatú QR-kódokra.

A veszély sokszor nem magában a képben van, hanem abban a weboldalban vagy banki műveletben, ahová elvezet. Egy oldal kérhet kártyaadatot, egyszer használatos kódot, banki belépést vagy akár alkalmazástelepítést. Hivatkozás: NKI – Quishing: látványos QR-kódokkal támadnak.

Öt ellenőrzés, mielőtt fizetést hagysz jóvá

1. Nézd meg, honnan származik a kód. Az ismert kereskedő pénztári kijelzője vagy saját számlája más helyzet, mint egy véletlen plakát, üzenet vagy frissen felragasztott matrica. A látványosan márkázott QR-kód sem garancia a valódiságra.

2. Ellenőrizd, mit nyit meg. Ha a telefon böngészőben nyit webcímet, vizsgáld meg a teljes domaint, ne csak a logót és a lapcímet. Hibás írásmód, szokatlan cím vagy újra és újra kért banki azonosítás figyelmeztető jel. Egy HTTPS-lakat önmagában nem bizonyítja, hogy a weboldal a valódi szolgáltatóé.

3. Banki jóváhagyás előtt olvasd el a kedvezményezettet és az összeget. Ha qvik-fizetést választottál, a saját mobilbankodban megjelenő adat a döntő. Nem elég, hogy a kód mellett egy ismert bolt neve szerepel; a tényleges fizetési képernyőn kell ellenőrizni a címzettet és az összeget.

4. Ne azonosítsd a pénz fogadását a pénz küldésével. Ha eladtál valamit, és a „vevő” vagy a „futár” QR-kódot küld a vételár átvételéhez, különösen fontos tisztázni, hogy nem egy átutalást hagynál-e jóvá. A pénz beérkezését a saját számlatörténeted igazolja, nem egy másik fél által küldött képernyőkép.

5. Ne engedd, hogy sürgessenek. A lejáró visszaszámláló, a fenyegető üzenet vagy az állítólagos „utolsó lehetőség” nem ok arra, hogy ellenőrzés nélkül megadd azonosítóidat. Ha bizonytalan vagy, lépj ki, és nyisd meg a bank vagy szolgáltató hivatalos alkalmazását önállóan.

Az MNB hivatalos qvik-tájékoztatója kiemeli: a megfelelő qvik-fizetés a mobilbankban hagyható jóvá, míg a qvik-kérelem teljesítése is a számlatulajdonos döntéséhez kötött.

Mi történik, ha egy parkolóautomatán hamis kódot találsz?

Képzelj el egy elektromosautó-töltőt vagy parkolóautomatát, amelyre valaki a valódi fizetési útmutató fölé saját QR-matricát ragasztott. A beolvasás után a telefon egy jól kinéző fizetési oldalra kerül, amely kártyaszámot és egy biztonsági kódot kér. Ilyenkor nem biztos, hogy a valódi szolgáltatónál jársz. Az NKI korábban dokumentálta az ilyen típusú töltőállomásos átverések működését. A biztonságosabb út lehet a szolgáltató ismert alkalmazása, illetve a helyszínen ellenőrzött, hivatalos fizetési lehetőség.

Mi a teendő, ha már megadtál valamit?

Ha csak megnyitottad a gyanús oldalt: ne adj meg adatokat, ne telepíts alkalmazást, zárd be az oldalt, és ellenőrizd, nem történt-e váratlan művelet. Ha banki azonosítót, kártyaadatot vagy jóváhagyási kódot adtál meg: azonnal a bank hivatalos csatornáján kérj segítséget és a szükséges hozzáférés- vagy kártyavédelmi intézkedést. Ha már pénz ment el: haladéktalanul jelezd a banknak a vitatott tranzakciót, őrizd meg a bizonyítékokat, és indokolt esetben tegyél rendőrségi feljelentést.

Fontos: az átutalás és a kártyás fizetés visszaszerzésének lehetőségei nem azonosak. Nem érdemes visszatérítést ígérő újabb, ismeretlen hivatkozásokat követni. Források: NKI – QR-támadások a töltőállomásokon; MNB – Digitális biztonság.

Összegzés

A QR-kód nem eleve veszélyes, de nem is önmagában hiteles fizetési igazolás. Biztonságosabb döntést hozol, ha a forrását, a megnyitott felületet és a tényleges banki jóváhagyás adatait külön-külön ellenőrzöd. A legfontosabb szabály: ne fizess és ne add meg banki adataidat pusztán azért, mert egy QR-kód meggyőzőnek tűnik.