ClickFix i quishing. Jak działają nowe metody phishingu?
lickFix i quishing to dwa przykłady zagrożeń, które bardzo dobrze pokazują, jak cyberprzestępcy wykorzystują codzienne nawyki użytkowników. Fałszywy komunikat o błędzie, prośba o wykonanie prostego polecenia czy kod QR wyglądający jak standardowy element logowania mogą prowadzić do przejęcia danych, zainstalowania złośliwego oprogramowania lub uzyskania dostępu do firmowego konta.
Według ESET Threat Report H1 2026 liczba wykryć techniki ClickFix wzrosła ponad dwukrotnie w porównaniu z drugą połową 2025 roku. Jednocześnie phishing wykorzystujący kody QR, określany jako quishing, osiągnął rekordowy poziom w telemetrii ESET.
To pokazuje, że cyberprzestępcy nie muszą tworzyć zupełnie nowych metod ataku. Wystarczy, że dobrze znane techniki dostosują do sposobu, w jaki dziś pracujemy, logujemy się do usług i korzystamy z urządzeń mobilnych.
Czym jest ClickFix?
ClickFix to technika socjotechniczna wykorzystująca fałszywe komunikaty o błędach lub problemy techniczne. Użytkownik widzi informację sugerującą, że coś nie działa prawidłowo i otrzymuje instrukcję, jak rzekomo naprawić problem.
Może to być na przykład komunikat dotyczący przeglądarki, rozszerzenia, uwierzytelniania, CAPTCHA albo strony związanej ze sztuczną inteligencją.
ESET wskazuje, że ClickFix przestał ograniczać się do fałszywych komunikatów CAPTCHA. Ataki pojawiają się również na stronach związanych z AI, rozszerzeniami przeglądarek oraz scenariuszami uwierzytelniania w chmurze.
Najważniejsze w tym typie ataku jest to, że cyberprzestępca próbuje przekonać użytkownika, aby sam wykonał szkodliwe polecenie.
ClickFix i quishing wykorzystują zaufanie użytkownika
ClickFix i quishing bazują przede wszystkim na socjotechnice. Atakujący nie zawsze musi omijać zaawansowane systemy bezpieczeństwa. Często łatwiej jest skłonić użytkownika do działania.
W przypadku ClickFix może chodzić o skopiowanie polecenia, uruchomienie określonego narzędzia albo wykonanie instrukcji wyglądającej na pomoc techniczną.
W przypadku quishingu cyberprzestępca wykorzystuje kod QR, który prowadzi do fałszywej strony logowania, formularza lub innej strony przygotowanej do wyłudzenia danych.
Obie techniki wykorzystują pośpiech, rutynę oraz zaufanie do interfejsów, które użytkownik widzi na co dzień.
Czym jest quishing?
Quishing to odmiana phishingu, w której złośliwy link zostaje ukryty w kodzie QR.
Kod może pojawić się w wiadomości e mail, dokumencie, prezentacji, na stronie internetowej lub w fizycznym miejscu, takim jak plakat czy ulotka.
Użytkownik skanuje kod telefonem i zostaje przekierowany na przygotowaną przez cyberprzestępcę stronę.
Problem polega na tym, że kod QR ukrywa adres docelowy. Użytkownik często nie widzi od razu, dokąd prowadzi link.
ESET zwraca uwagę, że quishing osiągnął rekordowy poziom w pierwszej połowie 2026 roku. Cyberprzestępcy wykorzystują między innymi fakt, że użytkownicy darzą kody QR dużym zaufaniem i często przechodzą z komputera na urządzenie mobilne, gdzie weryfikacja adresu strony bywa mniej dokładna.
Dlaczego phishing z kodem QR jest skuteczny?
Phishing z kodem QR jest skuteczny, ponieważ wykorzystuje prostotę i wygodę.
Kody QR są obecne w płatnościach, logowaniu, materiałach marketingowych, wydarzeniach, restauracjach i komunikacji firmowej. Ich skanowanie stało się dla wielu użytkowników naturalnym odruchem.
Cyberprzestępcy wykorzystują właśnie tę rutynę.
Jeżeli kod QR znajduje się w wiadomości, która wygląda wiarygodnie, użytkownik może zeskanować go bez dokładnego sprawdzenia kontekstu.
Dodatkowym problemem jest to, że po zeskanowaniu kodu interakcja przenosi się na telefon. Na mniejszym ekranie trudniej zauważyć subtelne różnice w adresie strony, certyfikacie czy wyglądzie formularza.
Jak rozpoznać fałszywy komunikat o błędzie?
Fałszywe komunikaty o błędach mogą wyglądać bardzo wiarygodnie.
Warto zwrócić uwagę na sytuacje, w których strona internetowa nagle prosi o wykonanie nietypowej czynności, na przykład skopiowanie polecenia, uruchomienie terminala, instalację rozszerzenia lub wyłączenie zabezpieczeń.
Szczególną ostrożność powinny wzbudzać komunikaty wykorzystujące presję czasu.
Jeżeli użytkownik widzi informację, że musi natychmiast wykonać określoną czynność, aby odzyskać dostęp, odblokować konto lub naprawić błąd, powinien zweryfikować źródło komunikatu.
Warto również pamiętać, że legalne systemy i aplikacje bardzo rzadko wymagają od użytkownika ręcznego uruchamiania nieznanych poleceń w celu rozwiązania prostego problemu.
Jak rozpoznać podejrzany kod QR?
Kod QR sam w sobie nie informuje, czy jest bezpieczny.
Dlatego przed przejściem na stronę warto sprawdzić adres, który pojawia się po zeskanowaniu.
Podejrzane powinny być domeny podobne do znanych marek, ale zawierające dodatkowe znaki, literówki lub nietypowe końcówki.
Warto również zachować ostrożność, jeśli kod QR prowadzi do strony wymagającej logowania do poczty, bankowości, Microsoft 365 lub innego ważnego konta.
Jeżeli wiadomość sugeruje pilne działanie, zmianę hasła lub natychmiastową weryfikację konta, użytkownik powinien wejść do usługi bezpośrednio, wpisując znany adres w przeglądarce zamiast korzystać z kodu QR.
ClickFix i quishing w środowisku firmowym
ClickFix i quishing są szczególnie niebezpieczne w firmach, ponieważ mogą prowadzić do przejęcia kont pracowników i dostępu do systemów organizacji.
Jedno skutecznie wyłudzone hasło może otworzyć drogę do poczty, dokumentów, usług chmurowych lub narzędzi używanych przez firmę.
Jeżeli atakujący przejmie konto pracownika, może następnie podszywać się pod niego i wysyłać kolejne wiadomości do współpracowników lub klientów.
W przypadku ClickFix dodatkowym zagrożeniem jest możliwość uruchomienia złośliwego kodu na urządzeniu służbowym.
Dlatego ochrona firmy nie powinna ograniczać się wyłącznie do filtrowania wiadomości.
Równie ważne są procedury, świadomość użytkowników oraz odpowiednio skonfigurowane mechanizmy bezpieczeństwa.
Jak chronić firmę przed ClickFix i quishing?
Pierwszym krokiem jest edukacja pracowników.
Użytkownicy powinni wiedzieć, że komunikat o błędzie nie zawsze pochodzi z systemu, a kod QR może prowadzić do strony phishingowej.
Regularne szkolenia z cyberbezpieczeństwa pomagają budować nawyk weryfikowania nietypowych komunikatów.
Ważne jest również stosowanie uwierzytelniania wieloskładnikowego, ochrony poczty elektronicznej, aktualnego oprogramowania zabezpieczającego oraz monitorowania urządzeń końcowych.
Organizacje powinny także jasno określić, gdzie pracownik może zgłosić podejrzaną wiadomość, kod QR lub komunikat.
Im prostszy jest proces zgłoszenia, tym większa szansa, że użytkownik nie zignoruje podejrzanej sytuacji.
Cyberzagrożenia dla firm coraz częściej wykorzystują rutynę
Współczesne cyberzagrożenia dla firm bardzo często nie bazują wyłącznie na skomplikowanych podatnościach technicznych.
Cyberprzestępcy wykorzystują zachowania użytkowników, wygodę oraz zaufanie do znanych narzędzi.
ClickFix wykorzystuje przekonanie, że komunikat o błędzie pochodzi z systemu.
Quishing wykorzystuje przyzwyczajenie do skanowania kodów QR.
W obu przypadkach najważniejszym elementem ochrony jest połączenie technologii z odpowiednimi procedurami oraz świadomością pracowników.
Jak ITNS może pomóc zwiększyć bezpieczeństwo firmy?
Ochrona przed phishingiem, ClickFix i quishingiem wymaga podejścia wielowarstwowego.
W ITNS Polska wspieramy firmy w zwiększaniu poziomu bezpieczeństwa poprzez szkolenia z cyberbezpieczeństwa, audyty bezpieczeństwa IT oraz stałą opiekę nad środowiskiem informatycznym.
Szkolenia pomagają pracownikom rozpoznawać phishing, fałszywe komunikaty, podejrzane kody QR oraz inne techniki socjotechniczne.
Audyt bezpieczeństwa pozwala z kolei sprawdzić, czy stosowane zabezpieczenia i procedury odpowiadają aktualnym zagrożeniom.
Kompleksowa opieka informatyczna umożliwia natomiast bieżące monitorowanie środowiska, zarządzanie aktualizacjami, ochroną urządzeń oraz innymi elementami infrastruktury IT.
ClickFix i quishing pokazują, że nawet pozornie niewinna czynność może być początkiem poważnego incydentu bezpieczeństwa. Dlatego warto łączyć nowoczesne zabezpieczenia z regularną edukacją użytkowników i jasnymi procedurami reagowania na zagrożenia.