Kody QR, zaprojektowane pierwotnie dla fabryk samochodów, wchodzą do systemów kasowych, płatności i regulowanej identyfikacji produktów. Format mieści więcej danych niż klasyczny kod kreskowy, ale jego upowszechnienie otwiera też kolejne możliwości dla phishingu.
Jak kod z fabryki trafił do telefonów
Prace nad kodem QR rozpoczął w 1992 roku zespół Denso kierowany przez inżyniera Masahiro Harę. Toyota parts supplier chciał przyspieszyć identyfikację części, ponieważ pracownicy musieli skanować kilka tradycyjnych kodów na każdym opakowaniu. Pojedynczy kod mieścił wtedy około 20 znaków.
Hara, gracz Go, wykorzystał pomysł dwuwymiarowej siatki czarnych i białych pól. Aby skaner znajdował oznaczenie wśród innych nadruków i odczytywał je pod dowolnym kątem, zespół wybrał rzadko występującą proporcję czerni i bieli 1:1:3:1:1. Na tej podstawie powstały trzy duże kwadraty widoczne w rogach kodu. Wynalazek z 1994 roku został później uznany za IEEE Milestone.
W 2000 roku QR ustandaryzowano jako ISO/IEC 18004, a w 2002 roku technologię szeroko stosowali już użytkownicy telefonów w Japonii. Denso Wave zachowało patenty i znak towarowy QR Code, lecz nie pobiera opłat licencyjnych od podmiotów przestrzegających standardów ISO/JIS. Poza Azją wzrost przyspieszył w 2017 roku, gdy Apple dodało skanowanie do aparatu w iOS 11. Android zaoferował podobne funkcje przez Google Lens i aplikacje aparatów, a pandemia upowszechniła kody w menu, systemach rejestracji i certyfikatach szczepień.
Z czego składa się kod QR i ile danych mieści
Kod tworzą czarne i białe moduły, z których każdy reprezentuje pojedynczy bit. Nie wszystkie przechowują właściwą treść. Trzy wzorce pozycyjne wskazują orientację, linie synchronizacyjne określają rozmiar modułów, a mniejsze wzorce wyrównania pomagają skorygować perspektywę i zakrzywienie. Pusty margines, nazywany quiet zone, powinien mieć szerokość co najmniej czterech modułów.
Dane i informacje korekcji błędów trafiają do pozostałych pól zygzakowatą ścieżką. Enkoder sprawdza osiem masek i wybiera tę, która najlepiej rozbija duże jednolite obszary oraz układy podobne do znaczników pozycyjnych. Dzięki korekcji Reed-Solomon kod można odczytać mimo zabrudzenia, uszkodzenia albo umieszczenia logo na jego środku.
Standard przewiduje poziomy korekcji L, M, Q i H, pozwalające odzyskać odpowiednio około 7, 15, 25 i 30 procent danych. Większa odporność zmniejsza dostępną pojemność. Kod występuje w 40 wersjach, od siatki 21 x 21 do 177 x 177 modułów. Wersja 40 przy najniższym poziomie korekcji mieści do 7089 cyfr, 4296 znaków alfanumerycznych albo 2953 bajtów. Przy poziomie H pojemność spada do 1273 bajtów.
Dostępne są tryby numeryczny, alfanumeryczny i bajtowy, używany między innymi dla adresów URL i tekstu UTF-8. Specjalistyczne warianty obejmują Micro QR, iQR Code, Frame QR, SQRC oraz prostokątny rMQR. Denso Wave zaprojektowało rMQR z myślą o krawędziach opakowań, przewodach i probówkach. Odczytują go skanery przemysłowe, ale nie należy zakładać, że poradzi sobie z nim aparat telefonu.
Jakie procesy można uruchamiać przez skanowanie
QR jest kontenerem na tekst, a efekt skanowania zależy od formatu zapisanych danych i oprogramowania. Adres URL otwiera stronę, odpowiednio sformatowany wpis Wi-Fi pomaga dołączyć do sieci, a inne schematy mogą zawierać wizytówkę vCard, numer telefonu, wiadomość, e-mail lub współrzędne.
Format pełni również rolę pomostu między urządzeniami. Kody przenoszą sekrety potrzebne do konfiguracji uwierzytelniania dwuskładnikowego, dane aktywacyjne eSIM oraz informacje do parowania urządzeń zgodnych z Matter. WhatsApp, Signal i Google Messages wykorzystują je do łączenia telefonu z klientem na komputerze lub tablecie.
Podobnie działają passkeys. Po zeskanowaniu kodu wyświetlonego na laptopie urządzenia ustanawiają szyfrowane połączenie, a Bluetooth potwierdza fizyczną bliskość telefonu. Klucz prywatny nie opuszcza telefonu, co ogranicza możliwość zdalnego przekazania kodu przez atakującego.
Co zmieni się przy kasach i na opakowaniach
W Chinach płatności przez Alipay i WeChat Pay sprawiły, że skanowanie kodu sprzedawcy stało się powszechne. Podobny model rozwijają indyjski UPI i brazylijski Pix. Według danych przytoczonych w materiale UPI obsłużył w sierpniu 2026 roku 24,5 mld transakcji, średnio 791 mln dziennie. Dla sprzedawcy naklejka z kodem kosztuje znacznie mniej niż terminal kartowy.
Inicjatywa Sunrise 2027 zakłada, że do końca 2027 roku systemy kasowe będą odczytywać kody 2D, w tym QR z identyfikatorem GS1 Digital Link oraz GS1 DataMatrix. Kod Digital Link zawiera adres internetowy i numer GTIN, który stoi również za UPC. Kasa pobiera identyfikator produktu, natomiast telefon klienta otwiera stronę z informacjami o składzie, wycofaniu produktu lub recyklingu. UPC nie zniknie od razu, a handel ma przez lata obsługiwać oba formaty.
Od lutego 2027 roku każda bateria sprzedawana w Unii Europejskiej ma mieć kod QR. W przypadku baterii do pojazdów elektrycznych, lekkich środków transportu oraz baterii przemysłowych o pojemności powyżej 2 kWh kod ma prowadzić do cyfrowego paszportu z danymi o materiałach, śladzie węglowym i postępowaniu po zakończeniu eksploatacji. Dla firm w Polsce oznacza to potrzebę przygotowania systemów danych produktowych i skanerów na szersze użycie kodów 2D.
Jak ograniczyć ryzyko quishingu i nietrwałych kodów
Sam kod QR jest danymi i nie infekuje telefonu. Zagrożenie pojawia się po otwarciu strony wyłudzającej hasła lub wykorzystującej lukę w przeglądarce. Phishing wykorzystujący QR, nazywany quishingiem, omija część filtrów pocztowych, ponieważ adres jest ukryty w obrazie. Skanowanie przenosi też użytkownika ze służbowego komputera na telefon, który może pozostawać poza kontrolą firmowych narzędzi bezpieczeństwa.
Microsoft odnotował wzrost liczby ataków QR w poczcie z 7 mln w styczniu 2026 roku do ponad 18 mln w marcu. Kody osadzone w treści wiadomości wzrosły w marcu o 336 procent, choć najczęściej trafiały do odbiorców w plikach PDF. Oszuści naklejają też własne oznaczenia na parkometrach, ładowarkach, stołach restauracyjnych i w punktach transportowych.
- Przed otwarciem strony trzeba sprawdzić podgląd adresu i uważać na skrócone lub podobne domeny.
- Kody z e-maili i SMS-ów wymagają szczególnej ostrożności, zwłaszcza gdy prowadzą do logowania lub płatności.
- Na publicznym urządzeniu należy sprawdzić, czy naklejka nie zasłania oryginalnego oznaczenia operatora.
- Do łączenia konta z urządzeniem należy używać wyłącznie kodu wygenerowanego samodzielnie na własnym ekranie.
- Przed drukiem kod trzeba przetestować na kilku telefonach, w docelowym rozmiarze i z właściwym poziomem korekcji.
Atak opisany przez Google Threat Intelligence Group w 2025 roku pokazał ryzyko związane z parowaniem urządzeń. Złośliwy kod udawał zaproszenie do grupy, alert bezpieczeństwa albo instrukcję konfiguracji Signal. Po zeskanowaniu konto ofiary łączyło się z urządzeniem napastnika, który otrzymywał nowe wiadomości bez łamania szyfrowania i bez przejmowania telefonu.
Przy generowaniu oznaczeń trzeba rozróżniać kody statyczne i dynamiczne. Statyczny kod przechowuje cel bezpośrednio, natomiast dynamiczny prowadzi przez przekierowanie dostawcy, pozwala zmieniać adres i mierzyć skany. Przestaje jednak działać, gdy operator wyłączy usługę lub wygaśnie abonament. W przypadku materiałów drukowanych bezpieczniejszy jest statyczny kod kierujący do własnej domeny, z przekierowaniami obsługiwanymi na kontrolowanym serwerze. Także taki kod wymaga nadzoru, ponieważ po wygaśnięciu domenę może przejąć ktoś inny.
