Scam-ul cu QR code: cum te păcălește un sticker lipit peste codul real

Codurile QR au devenit atât de obișnuite încât aproape nu le mai privim cu atenție. Le scanăm ca să vedem meniul într-un restaurant, să plătim parcarea, să accesăm un formular, să intrăm pe un site promoțional sau să confirmăm rapid o informație. Tocmai această naturalețe le transformă într-o țintă ideală pentru fraudatori. În 2026, unul dintre cele mai simple și mai eficiente scam-uri din spațiul fizic nu presupune spargerea unui sistem complicat, ci doar lipirea unui sticker cu un cod QR fals peste codul legitim.

Metoda este periculoasă pentru că lucrează cu încrederea creată de context. Dacă vezi un cod QR pe un parcometru, pe o masă de restaurant, pe un afiș dintr-o instituție sau pe un panou de plată, pornești de la premisa că el aparține locului respectiv. Nu te gândești că o persoană a putut trece cu câteva minute înainte și a pus un autocolant aproape perfect aliniat peste imaginea originală. După scanare, telefonul te trimite către un site care pare autentic, îți cere date bancare sau informații personale, iar tu poți realiza prea târziu că ai intrat într-o pagină construită special pentru fraudă.

Autoritățile și organizațiile de protecție a consumatorilor avertizează deja asupra acestei practici. Comisia Federală pentru Comerț din SUA explică faptul că atacatorii folosesc coduri QR pentru a direcționa victimele către site-uri false care imită platforme reale și pot fura datele introduse acolo. În Marea Britanie, fraudele cu QR code, numite frecvent „quishing”, au început să fie raportate tot mai des, inclusiv în legătură cu plățile pentru parcare. Iar exemplele din mai multe orașe arată că stickerul lipit peste codul real a devenit una dintre cele mai practice forme de atac, tocmai pentru că este ieftin, rapid și greu de observat dintr-o privire.

De ce un simplu sticker poate deveni o capcană foarte eficientă

Scam-ul cu QR code este construit pe o idee banală, dar ingenioasă. Fraudatorul identifică un loc unde oamenii sunt obișnuiți să scaneze coduri: un aparat de plată a parcării, un afiș cu informații, un bon fiscal, o masă de restaurant sau chiar o stație de încărcare pentru vehicule electrice. Apoi tipărește un cod QR propriu, care duce către o pagină controlată de el, și îl lipește peste cel real. Dacă materialul este bine realizat, diferența se observă greu, mai ales când utilizatorul este grăbit.

Acest tip de fraudă profită de un detaliu esențial: codul QR, în sine, nu îți spune nimic vizual despre destinația lui. Spre deosebire de un link scris integral, pe care îl poți citi înainte să apeși, codul este doar un pătrat abstract. Tu afli unde duce abia după scanare, iar în unele situații sari imediat la următorul pas fără să mai verifici adresa afișată pe ecran. Comportamentul acesta este exact ceea ce urmăresc infractorii.

Mecanismul nu se limitează la plata parcării. Un cod fals poate imita o pagină de restaurant și îți poate cere să îți faci cont, să completezi numărul de telefon sau să introduci date de plată pentru o comandă. Poate pretinde că deschide pagina oficială a unui eveniment, o campanie promoțională, un serviciu municipal sau o platformă de închiriere. FTC avertizează că, după scanare, victima poate ajunge pe un site fals care copiază un serviciu legitim și care colectează date sensibile sau încearcă să determine instalarea de malware.

Frauda este și mai convingătoare atunci când site-ul fals este bine executat. Logo-urile, culorile, formulările și structura pot copia aproape identic pagina reală. Un utilizator care tocmai a scanat un cod aflat fizic într-un loc aparent legitim are deja un nivel ridicat de încredere. Nu se mai întreabă de ce site-ul cere numărul cardului, de ce vrea datele mașinii sau de ce îi solicită autentificare. Contextul din lumea reală validează în mintea sa pagina din telefon.

Vezi și:

Când nu ești „hackeruit”, ci doar păcălit: psihologia din spatele înșelătoriilor digitale

Frauda prin „verificare rapidă”: când ți se cere o acțiune mică și pierzi tot

Această îmbinare dintre atac fizic și fraudă digitală face scam-ul deosebit de periculos. Nu este doar phishing prin e-mail și nici doar un sticker suspect. Este o punte între două universuri pe care mulți utilizatori le tratează diferit: spațiul fizic, perceput ca mai sigur, și cel online, unde au învățat să fie ceva mai prudenți. Stickerul peste QR code exploatează exact această zonă de încredere nejustificată.

Parcarea, restaurantele și serviciile publice: locurile în care capcana funcționează cel mai bine

Cele mai discutate cazuri de până acum au apărut în zona parcărilor. În mai multe orașe, autoritățile au descoperit coduri QR false lipite peste cele legitime de pe automate sau panouri de plată. Victimele scanau codul, ajungeau pe o pagină aparent oficială și introduceau date de card pentru a achita parcarea. Uneori, înșelătoria era dublată de un prejudiciu ulterior: după ce obțineau informațiile, infractorii puteau continua cu alte tentative de fraudă, inclusiv apeluri sau mesaje care pretindeau că vin de la bancă. În Marea Britanie, presa a relatat despre cazuri în care utilizatorii au suferit pierderi semnificative după ce au pornit de la un QR code fraudulos de pe un aparat de plată.

Exemplele concrete arată cât de ușor poate fi mascat atacul. În Rochester, Michigan, poliția a verificat sute de parcometre și a găsit zeci de coduri QR false lipite atent peste cele autentice. Asemenea situații demonstrează că nu vorbim despre simple tentative izolate, ci despre o metodă organizată, repetabilă și suficient de profitabilă încât să merite efortul.

Parcarea este un teren ideal pentru că utilizatorul are o presiune suplimentară. Vrea să plătească repede ca să nu primească amendă, poate are copilul în mașină, întârzie la o întâlnire sau încearcă să înțeleagă un sistem local de taxare. Graba reduce atenția. Dacă site-ul deschis de QR code arată suficient de credibil, verificarea atentă a adresei web trece pe plan secund.

Restaurantele sunt un alt mediu expus. Meniurile digitale au devenit omniprezente după pandemie, iar în multe localuri codurile QR rămân lipite direct pe mese. Un autocolant fals poate trimite către o pagină care copiază meniul real sau către un formular de „comandă online” ce urmărește, în realitate, furtul datelor. În astfel de spații, clienții presupun aproape automat că acel cod a fost pus de local, nu de o persoană străină care a stat la masă înainte.

Și serviciile publice pot fi folosite ca pretext. Un QR code fals lipit pe un afiș despre taxe locale, permise, amenzi, programări sau transport public poate duce către o pagină aparent oficială. În România, chiar dacă exemplele documentate recent de DNSC au vizat mai ales SMS-uri și pagini false care imitau instituții sau platforme de plată, mecanismul psihologic este același: atacatorii se folosesc de familiaritatea cu un serviciu public și de ideea unei obligații urgente pentru a obține bani sau date.

Într-o țară în care scanarea codurilor QR este tot mai des folosită pentru plăți, înscrieri, bilete, cupoane sau acces la informații, amenințarea va deveni probabil mai vizibilă. Cu cât oamenii ajung să scaneze mai des fără să gândească, cu atât un sticker fals bine plasat capătă mai multă valoare pentru fraudatori.

Ce se întâmplă după scanare: furt de bani, date și încredere

Un QR code fraudulos nu este periculos doar pentru că te duce pe „site-ul greșit”. Pericolul real începe după ce pagina falsă îți cere să faci ceva. În multe situații, obiectivul principal este colectarea datelor financiare: numărul cardului, data expirării, codul de securitate și uneori informații personale care pot fi folosite ulterior pentru alte fraude. Dacă victima crede că plătește o taxă de parcare de câțiva lei sau euro, este mai puțin atentă la faptul că oferă date valoroase unor necunoscuți.

În alte cazuri, site-ul încearcă să obțină date de autentificare. Poate imita pagina unui cont de client, a unei aplicații de livrare, a unei bănci sau a unui serviciu de plată. După introducerea credențialelor, atacatorii le pot folosi pentru a compromite contul real. FTC atrage atenția că site-urile deschise prin coduri QR false pot fi construite special pentru a fura informații personale și financiare, iar uneori chiar pentru a distribui software malițios.

Există și scenarii în care fraudatorul urmărește mai mult decât o tranzacție imediată. Datele introduse pe pagina falsă pot fi folosite ulterior în fraude telefonice sau prin SMS. De exemplu, după ce victima încearcă să plătească o parcare și furnizează cardul, poate primi un apel de la cineva care pretinde că este de la bancă și spune că a observat o plată suspectă. Pentru că victima tocmai a interacționat cu un site de plată, povestea pare plauzibilă. Astfel, un simplu QR code fals poate deschide drumul către o fraudă în mai multe etape.

În unele raportări internaționale, pierderile financiare nu au rezultat direct din taxa inițială, ci din exploatarea ulterioară a informațiilor furate. Acesta este motivul pentru care un asemenea scam nu trebuie tratat ca un incident minor. Chiar dacă valoarea aparentă a plății este mică, impactul potențial poate fi mult mai mare.

Mai există și un efect mai puțin discutat: erodarea încrederii în metodele digitale rapide. Codurile QR au fost adoptate tocmai pentru că simplifică accesul la informație și reduc fricțiunea în experiența de utilizare. Dacă publicul începe să perceapă orice QR code din spațiul public ca pe o posibilă capcană, organizațiile legitime vor fi obligate să investească mai mult în semnalistică, securizare și educare. În acest sens, stickerul fals nu atacă doar o victimă individuală, ci lovește și în credibilitatea unui instrument care a devenit parte din infrastructura de zi cu zi.

Cum verifici un QR code înainte să îi dai încredere

Primul filtru este unul fizic. Privește cu atenție codul înainte să îl scanezi. Dacă observi că este lipit ca un autocolant peste o suprafață tipărită, că are margini ridicate, că este ușor dezaliniat sau că pare aplicat ulterior peste un material original, ar trebui să devii precaut. Mai multe avertismente de securitate recomandă explicit verificarea semnelor de manipulare fizică, tocmai pentru că stickerul peste codul real este o metodă cunoscută de fraudă.

Al doilea filtru apare după scanare, dar înainte de a apăsa pe link. Multe telefoane afișează adresa către care te trimite codul. Citește-o. Dacă domeniul pare ciudat, are mici greșeli de ortografie, sufixe neobișnuite sau nu corespunde cu numele serviciului pe care crezi că îl accesezi, oprește-te. Un site fals poate arăta convingător, dar adresa lui este adesea mai greu de camuflat perfect.

Este preferabil să folosești aplicațiile oficiale atunci când există. Pentru parcare, comandă online, transport sau plăți recurente, aplicația descărcată direct din magazinul oficial este mai sigură decât un cod aflat într-un spațiu public. În cazul unui parcometru sau al unei instituții, poți căuta manual site-ul oficial și intra de acolo, în loc să te bazezi pe un cod pe care nu ai cum să îl validezi complet.

Nu introduce date de card sau date sensibile pe o pagină deschisă prin QR code dacă nu ești sigur de autenticitatea ei. Un QR code legitim poate, desigur, să ducă spre o plată reală, dar tocmai în astfel de cazuri trebuie să verifici cu mai multă atenție domeniul și aspectul general al serviciului. Dacă vezi o pagină grăbit construită, cu formulări nefirești, erori de afișare sau cerințe excesive, abandonează procesul.

În restaurante, întreabă personalul dacă ai orice suspiciune legată de cod. În cazul aparatelor de plată din spațiul public, raportează autorităților locale dacă observi un sticker suspect. În multe situații, prevenirea depinde tocmai de faptul că primul utilizator atent semnalează problema înainte ca alții să cadă în capcană.

Ce faci dacă ai scanat deja și ai introdus informații

Dacă doar ai scanat codul și nu ai introdus nimic, riscul poate fi limitat, deși este bine să închizi pagina imediat și să nu descarci niciun fișier. Situația devine mai serioasă dacă ai completat date de card, date de autentificare sau alte informații personale. Atunci trebuie să tratezi incidentul ca pe o posibilă compromitere.

Dacă ai introdus date bancare, contactează imediat banca, explică situația și întreabă dacă este necesară blocarea cardului sau monitorizarea tranzacțiilor. Dacă ai introdus user și parolă pentru un cont, schimbă parola cât mai repede, activează autentificarea în doi pași dacă nu era deja activă și verifică dacă există accesări sau acțiuni neobișnuite. Dacă ai instalat o aplicație sau ai descărcat ceva pornind de la acel site, riscul crește și merită să verifici telefonul cu instrumente de securitate și să urmărești atent comportamentul dispozitivului.

Este recomandabil să păstrezi o captură de ecran cu site-ul accesat și să notezi locul unde ai scanat codul. Aceste informații pot fi utile pentru sesizarea către autorități, instituția sau compania ale cărei materiale au fost imitate. Dacă fraudatorii folosesc un cod pus peste unul legitim într-o zonă publică, raportarea rapidă poate preveni victimizarea altor persoane.

În România, Directoratul Național de Securitate Cibernetică avertizează frecvent asupra campaniilor de fraudă care se folosesc de pagini false, mesaje aparent oficiale și presiunea unor plăți urgente. Chiar dacă nu orice astfel de campanie pornește de la un QR code, principiul de protecție rămâne același: verifici sursa, nu introduci date sub impulsul grabei și tratezi cu suspiciune orice solicitare financiară care te împinge spre o pagină necunoscută.

Scam-ul cu QR code este periculos tocmai pentru că pare minor. Nu sună la fel de dramatic precum ransomware-ul, nu implică un atac spectaculos asupra unui server și nu are aerul unei operațiuni sofisticate. Dar funcționează pentru că se strecoară în rutina de zi cu zi. Un autocolant ieftin, un cod imprimat corect și câteva minute de neatenție pot fi suficiente pentru a transforma un gest banal într-o fraudă digitală. În 2026, prudența nu mai trebuie aplicată doar linkurilor primite în mesaje. Trebuie extinsă și la pătratul alb-negru pe care îl vezi lipit pe perete, pe masă sau pe aparatul de plată.

Familia Trump, îmbogățită până la refuz din cripto. Afacerea „dubioasă” de 500 de milioane de dolari care a îngropat investitorii în pierderi