Ebben a cikkben
Valahol egy teraszon, egy foodhallban vagy egy ablak melletti asztalnál valaki ma egy matricát ragaszt egy már ott lévő QR-kód fölé. Ezúttal nem egy parkolóautomatán — hanem azon a kódon, amellyel a vendégeid megnyitják az étlapot, rendelnek, vagy kifizetik a számlát. A kérdés nem az, hogy megtörténhet-e ez. A kérdés az, hogy milyen gyakran történik meg már most, miért nem veszi észre szinte senki, és mennyibe kerül ez valójában ahhoz képest, amennyibe a megoldás kerül.
Négy évvel ezelőtt szinte egyetlen étteremben sem volt QR-kód az asztalon. Ma a többségnél legalább egy van: az étlaphoz, a rendeléshez, és egyre több helyen a számla kifizetéséhez is. Ez a váltás villámgyorsan zajlott le, és közben szinte senki nem tette fel magának az egyszerű kérdést: honnan tudja egy vendég, hogy az általa beolvasott matrica valóban a tiéd?
A válasz: nem tudja. A QR-kód egy fekete-fehér minta, amelynek nincs felismerhető feladója — nincs logó, nincs címsor, amit ellenőrizhetne, nincs meg az az "ez rendben van?" érzés, amit egy gyanús e-mailes link kivált. Pontosan ez teszi tökéletes célponttá arra, amit a kiberbiztonsági kutatók "quishingnek" neveznek: QR-kód plusz adathalászat.
Ez a cikk nem a QR-kódos rendelés előnyeiről szól — azokról már külön is írtunk ezen az oldalon, és valósak is. Arról szól, mi történik, ha valaki más, nem te, ragaszt egy matricát a saját asztalodra, és ez a fizikai megfelelője az oldal már meglévő kiberbiztonsági útmutatójának, amely a saját rendszereid megerősítéséről szól — ez viszont az a támadás, amely soha nem érinti a wifidet vagy a kasszarendszeredet, csak a papírdarabot a 4-es asztalon.
Hét szám, ebben a sorrendben: miért csak most vált problémává ez, hogyan zajlik a gyakorlatban a csere, miért nem látják a vendégeid, mennyibe kerül átlagosan egy beolvasott matrica, milyen számítás teszi megérve a bűnözőnek, mit mond róla már a rendőrség és a hatóságok, és a megoldás, amely szinte semmibe sem kerül.
Miért tartja életben a problémát a "csak egy matrica" gondolkodás
A legtöbb vendéglátóhelynek egyáltalán nincs rutinja a saját QR-kódjai ellenőrzésére, ugyanabból az okból, mint amiért egy fizetés nélkül távozó vendéget sem szűrnek ki: ezt egyszerűen soha nem gondolták végig. A matricát egyszer felragasztják a nyitáskor, aztán senki nem néz rá többé — kivéve, ha leválik vagy bepiszkolódik.
Pontosan ebben a résben él ez a csalás. Egy csereragasztott matrica, amely ugyanolyan színű és nagyjából ugyanakkora, mint az eredeti, egy zsúfolt szolgálat közben senkinek nem tűnik fel — sem a vendégnek, sem a négy tányérral egyszerre elhaladó pincérnek, sem a tulajdonosnak, aki a termet vezeti ahelyett, hogy minden asztalt átvizsgálna.
A cikk hátralévő része azon alapul, ami valóban ismert: miért létezik csak most ez a támadási felület, hogyan zajlik a gyakorlatban a csere, mibe kerül, ha rosszul sül el, és melyik az az egy szokás, amely leggyorsabban csökkenti a kockázatot — nem egy új rendszer, hanem egy QR-kód, amelyet nem lehet csak úgy kicserélni.
Ingyenes útmutató Minden a digitális oldalról, egy útmutatóban A QR-kódos rendeléstől a kiberbiztonságig — a teljes útmutató éttermed digitális oldalához. Olvasd el az útmutatót7 szám, amit a legtöbb vendéglátóhely még sosem nézett utána
Az alábbi számok mindegyike önmagában is megállja a helyét, és hivatalos forrásból vagy publikált kutatásból származik — egyik sem ennek az oldalnak a saját becslése. Együtt megmagyarázzák, miért nem dísz egy QR-matrica, hanem a fizetési infrastruktúra olyan darabja, amely ugyanannyi figyelmet érdemel, mint a kasszarendszered.
1. Miért csak most vált problémává ez
2020 előtt a támadási felület alig létezett: az éttermi asztalokon lévő QR-kódok kuriózumnak számítottak, nem infrastruktúrának. Ez megváltozott. Világszerte ma az éttermek 75%-a használ QR-kódot az étlaphoz, a rendeléshez vagy a fizetéshez — ez a váltás öt évnél is rövidebb idő alatt ment végbe.
Minden QR-kód, amit hozzáadsz, egy újabb darab bizalom, amit a vendégtől kérsz, anélkül, hogy ő ellenőrizni tudná, hova vezet. Egyetlen asztali matricánál ez korlátozott kockázat. Egy étlappal, egy rendelési gombbal és egy fizetési linkkel ez már három külön lehetőség, amit egy bűnöző megragadhat.
Ez nem ok arra, hogy leállj a QR-kódokkal — a kényelem és a költségmegtakarítás valós, és ez az oldal már külön írt is róluk. De ez az oka annak, hogy megéri elolvasni a cikk további részét: a támadási felület új, és a legtöbb vendéglátóhelyen a biztonságához szükséges szokások még nem azok.
Négy szám, mindegyik külön forrásból — együtt ez a magyarázata annak, hogy egy QR-matrica ma vonzóbb célpont, mint öt évvel ezelőtt volt.
Forrás: KeepNet Labs / CNBC (2025 július) a növekedési és felismerési adatokhoz; QR-elterjedtségi adatok éttermi QR-használatra vonatkozó iparági kutatásból, 2025.
2. Hogyan zajlik a gyakorlatban a csere
A módszer feltűnően egyszerű, és pontosan ez teszi hatékonnyá: a bűnöző kinyomtat egy matricát a saját QR-kódjával, nagyjából ugyanakkora méretben és hasonló anyagra, mint az eredeti, és egyszerűen ráragasztja a meglévő kódra. Nincs szükség betörésre, sem a rendszereid technikai ismeretére — csak annyi hozzáférésre az asztalhoz, amennyi idő alatt egy matricát fel lehet ragasztani.
A belga szövetségi rendőrség kifejezetten figyelmeztetett erre, miután brüsszeli parkolóautomatákat pontosan ilyen módon támadtak meg: egy hamis matrica az igazi QR-kód fölött, amely a felhasználókat egy hamis fizetési oldalra irányította. Az amerikai FTC és a New York-i közlekedési hatóság (NYC Department of Transportation) hasonló figyelmeztetéseket adott ki hasonló, parkolóautomatákon és elektromosautó-töltőkön történt esetek után.
Az éttermi asztalok ugyanazon a célpontlistán szerepelnek, mint az étlapok, a plakátok és a fizetőterminálok — mindenhol, ahol egy QR-kód egy ideig felügyelet nélkül maradhat. A mechanizmus mindig ugyanaz: a vendég azt olvassa be, amiről azt hiszi, hogy az eredeti, és egy olyan oldalra kerül, amit szándékosan pontosan ugyanolyanra terveztek.
3. Miért nem látják ezt a vendégeid
Egy QR-kód nem árulja el a célját, mielőtt beolvasnád. Egy e-mailben lévő linknél az egérrel fölé húzva megnézheted a valódi URL-t — egy matricán lévő fekete-fehér négyzetnél ez egyszerűen nem lehetséges. Emellett a telefonod jobban megbízik egy kamerán keresztül megnyitott linkben, mint ugyanabban a linkben egy e-mailben, mert a QR-kód beolvasása fizikai, "biztonságos" cselekvésnek tűnik.
A quishinggel kapcsolatos fogyasztói viselkedést vizsgáló kutatás, amelyet a CNBC elemzett az FBI, az FTC és állami hatóságok adatai alapján, azt mutatja, hogy az embereknek csupán 39%-a ismeri fel a manipulált QR-kódot beolvasás előtt. Más szóval: 61%-uk semmilyen különbséget nem lát az igazi matricád és az arra ragasztott hamis között.
Ez nem a figyelmetlen vendégekről szól. Egy matrica, amely pontosan ugyanúgy néz ki, ugyanott van és ugyanazt a "olvass be engem" érzést kelti, pontosan azért van úgy megtervezve, hogy kihasználja ezt a bizalmat — egy figyelmes vendégnél éppúgy, mint egy sietősnél.
4. Mennyibe kerül átlagosan egy beolvasott matrica
Amikor egy vendég beolvassa a hamis kódot, két dolog egyike történik. Az oldal fizetési képernyőnek tűnik, és kártyaadatokat kér, amelyek egyenesen a bűnözőhöz jutnak — így a számla soha nem kerül hozzád, miközben a vendég azt hiszi, hogy fizetett. Vagy az oldal az étlapodra vagy rendelési rendszeredre hasonlít, és a háttérben bejelentkezési adatokat vagy személyes információkat gyűjt, amelyeket később személyazonosság-lopásra használnak.
A CNBC elemzése az FBI, az FTC és állami hatóságok adatai alapján (2025 július) az átlagos veszteséget quishing-áldozatonként $1,225-ra teszi — átszámítva körülbelül 263 450 Ft-ra. Ez az összeg sikeres beolvasásonként értendő, nem vendéglátóhelyenként: egy sebezhető asztalt akár többször is érinthet, mielőtt bárki észrevenné.
A te vendéglátóhelyed számára a kár kettős. A hamis oldalon keresztül "kifizetett" számla soha nem érkezik meg a saját számládra — és a becsapottnak érző vendég ezt neked tulajdonítja, nem a bűnözőnek, aki felragasztotta a matricát. Ez a második rész, a vendég bizalma, egyetlen könyvelésben sem jelenik meg, mégis gyakran ez nyom a legtöbbet a latban.
5. A számítás, ami megéri a bűnözőnek
Egy hamis matrica kinyomtatása és laminálása a bűnözőnek alig néhány euróba kerül — ugyanaz az anyag és ugyanaz a nyomtató, mint amit egy valódihoz használna. Egy sikeres beolvasásonkénti, ezer eurónál is nagyobb átlagos veszteséggel szemben ez olyan megtérülés, amelyet kevés más csalásfajta ér utol.
Ez a számítás magyarázza azt is, hogy a quishing miért nő ilyen gyorsan. A KeepNet Labs kiberbiztonsági cég adatai szerint, amelyeket a CNBC idézett, a quishing-támadások száma 587%-kal nőtt 2023 óta — az FBI maga is az adathalászat leggyorsabban növekvő formájának nevezte. Eközben az összes rosszindulatú link 26%-át már QR-kódon keresztül küldik, nem hagyományos adathalász e-mailben.
Egy bűnöző számára egy éttermi asztali QR-kód pontosan a megfelelő célpont: olcsó hamisítani, nehéz megkülönböztetni az eredetitől, és garantáltan több ember is beolvassa egyetlen szolgálat alatt.
Amibe a csalás egy bűnözőnek kerül, azzal szemben, amibe egy áldozatnak kerül — a védelem valahol a kettő között.
Az utolsó oszlop a sikeres quishing-beolvasásonkénti átlagos veszteség (CNBC, 2025 július), a saját pénznemedre átváltva. Az első kettő szemléltető, nagyságrendi összeg, nem pontos árlista.
6. Mit mond róla már a rendőrség és a hatóságok
Ez nem egy hipotetikus forgatókönyv, amit ez az oldal talált ki — ez egy olyan probléma, amelyet a kormányok kifejezetten elismernek. Az amerikai FBI először 2022 januárjában figyelmeztetett a QR-kódokat manipuláló bűnözőkre, akik az áldozatokat rosszindulatú weboldalakra irányítják, és azóta többször megismételte ezt a figyelmeztetést, legutóbb 2025-ben.
Közelebbről, a belga szövetségi rendőrség kifejezetten figyelmeztetett a "quishingre", miután brüsszeli parkolóautomatákat ilyen módon támadtak meg, a FOD Economie (a belga gazdasági hatóság) pedig saját fogyasztói tájékoztató oldalt tett közzé olyan QR-kódokról, amelyeket egy hamis számla "kifizetésére" használnak. Mindkét hatóság egy lélegzetvétellel említi az éttermi asztalokat, a parkolóautomatákat és a fizetőterminálokat mint sebezhető pontokat.
Ez a hivatalos elismerés önmagában is egy figyelemre méltó szám: amikor mind az amerikai FBI, mind a belga szövetségi rendőrség egymástól függetlenül pontosan ugyanazt a módszert írja le, az nem egyedi eset — ez egy megszilárdult csalási minta, amelyre a vendéglátóhelyednek fel kell készülnie.
7. A megoldás, ami szinte semmibe sem kerül
A legolcsóbb védelem a legegyszerűbb: ne hagyd, hogy a QR-kódod egy cserélhető matrica maradjon. Lamináld be az asztallapba, vésd bele egy tartóba, vagy nyomtasd közvetlenül az étlapra ahelyett, hogy külön matricaként lenne — minden olyan forma, amely láthatóvá teszi, ha valami föléje kerül ragasztva, elvégzi a munka nagy részét.
A második réteg nem anyagba, csak egy szokásba kerül: vedd fel a "QR-kódok ellenőrzése" pontot a nyitási és zárási köröd feladatai közé. Ez az oldal már külön is írt erről — pontosan az a rövid, ismétlődő ellenőrzés ez, amire az a lista való, és egy egymásra ragasztott matrica egy célzott pillantásra azonnal feltűnik.
A harmadik lehetőség azoknak, akik mégis külön matricákkal dolgoznának: egy dinamikus QR-kód, amely rendelésenként vagy naponta változik, közvetlenül a saját kasszarendszeredből generálva, ahelyett hogy egyszer kinyomtatnád és évekig újrahasználnád. Egy kód, amely holnapra már érvénytelen, nem vonzó célpont többé egy bűnöző számára.
Számold ki a saját vendéglátóhelyedre
Add meg a saját számaidat. Az esetgyakoriság mező alapértelmezetten egy óvatos feltételezésen alapul — nincs megbízható, éttermenkénti gyakoriság erre a csalástípusra, szóval ez egy gondolatkísérlet, nem előrejelzés.
Ez nem könyvelés: nem a pontos összeg a lényeg, hanem az, hogy a "kockázat" oszlop nagyobb-e, mint a "védelem" oszlop, a te vendéglátóhelyedre reális feltételezések mellett.
Éves kockázat a megelőzés költségével szemben
Add meg a saját számaidat — a többit kiszámoljuk.
—
Alapértelmezett esetgyakoriság: a hetek 1%-a — óvatos feltételezés, nem mért gyakoriság. Nyugodtan cseréld le a saját megítélésedre.
Ez egy gondolatkísérlet a saját számaiddal, nem könyvelési garancia — minden feltételezést cserélj le a saját tapasztalatodra.
Amit az eszköz nem mér: a becsapottnak érző vendég bizalmát, aki ezt a vendéglátóhelyednek tulajdonítja, nem a matricát felragasztó bűnözőnek. Lásd a fenti 4. számot — a kár ezen része egyetlen könyvelésben sem jelenik meg.
És amit soha nem pótol: a fenti 7. szám a számítás eredményétől függetlenül érvényes — egy QR-kód, amelyet nem lehet csak úgy kicserélni, minden forgatókönyvben kevesebbe kerül, mint az ebben az eszközben szereplő védelem önmagában.
Hogyan oldd meg ezt holnap, egy teljesen új rendszer nélkül
Három lépés, ebben a sorrendben — nem azért, mert a többi nem számít, hanem mert ez a három hat a leggyorsabban arra, amibe egy manipulált QR-kód valójában kerül.
1. Tedd nehezen cserélhetővé minden QR-kódot
- Lamináld be, véss be vagy nyomtasd közvetlenül az anyagra a QR-kódjaidat — soha ne hagyd külön matricaként, amit egyszer sietve felragasztottál.
- Tedd ugyanezt minden, az asztalon kívüli kóddal: étlapok, plakátok és maga a fizetőterminál.
- Egy kód, amely láthatóan sérül, ha valamit ráragasztanak, azonnal kevésbé vonzó célponttá válik.
2. Építsd be az ellenőrzést egy már létező rutinba
- Vedd fel a "QR-kódok ellenőrzése" pontot a nyitási és zárási köröd feladatai közé — lásd a fenti listát.
- Egy gyors pillantás asztalonként a terítés közben elég; egy ráragasztott matrica azonnal feltűnik.
- Ismételd meg ugyanezt az ellenőrzést a plakátokon és a fizetőterminálokon is, ne csak az asztaloknál.
3. Számold a költséget a védelemmel szemben, ne az esettel szemben
- Használd a fenti számológépet a saját rendelési mennyiségeddel és átlagos számláddal.
- Hasonlítsd össze ezt az összeget azzal, amibe a laminálás, a vésés vagy egy dinamikus, kasszarendszerből generált kód kerülne.
- Ismételd meg a számítást, amikor a QR-rendeléseid vagy -fizetéseid aránya érezhetően nő.
A rövid válasz
Egy manipulált QR-kód az asztaladon nem valami távoli dolog — ez egy csalási minta, amelyet az FBI, a belga szövetségi rendőrség és a FOD Economie egymástól függetlenül is megerősített, és pontosan azért nő, mert maguk az éttermek tértek át tömegesen a QR-kódokra.
A kár kettős: a számla, amely soha nem érkezik meg hozzád, és a vendég, aki elveszti a bizalmát egy olyan vendéglátóhelyben, amelynek semmi köze nem volt az egészhez. Mindkét rész számít, még ha csak az egyik jelenik is meg egy könyvelésben.
A megoldás kicsi ahhoz képest, amit megelőz: tedd nehezen cserélhetővé a QR-kódjaidat, és építsd be az ellenőrzésüket egy körbe, amit amúgy is megteszel.