Neskenuj náhodné QR kódy

Fingerprint je unikátní otisk tvého zařízení a prohlížeče. Vzniká kombinací desítek technických parametrů – rozlišení displeje, jazyk, časová zóna, typ GPU, počet CPU vláken a dalších. Žádný z těchto parametrů sám o sobě nestačí k identifikaci, ale jejich kombinace je statisticky velmi unikátní. Výsledek se zahashuje algoritmem SHA-256 na 64znakový řetězec. Tento otisk neobsahuje žádné osobní údaje, ale umožňuje rozpoznat opakovanou návštěvu ze stejného zařízení.

Jak unikátní jsi ve skutečnosti?
Tato stránka pozná, jestli ses dnes vrátil/a – ale neporovnáváme tě s ostatními. Pokud tě zajímá jak moc unikátní je tvůj fingerprint mezi miliony uživatelů globálně, podívej se na projekt amiunique.org – akademický výzkumný projekt, který analyzuje unikátnost prohlížečových fingerprintů a ukazuje, jak snadno tě lze identifikovat i bez cookies.

Poznámka: Fingerprint se liší prohlížeč od prohlížeče – Chrome a Safari na stejném zařízení vygenerují jiný otisk. Proto mezibrowserová identifikace bez dalších dat nefunguje spolehlivě.

Detekce probíhá ve třech vrstvách přímo v prohlížeči. Nejprve se zkusí moderní User-Agent Client Hints API, které poskytuje přesnou informaci. Pokud není dostupné, analyzuje se User Agent řetězec (obsahuje slova jako „Android" nebo „iPhone"). Jako záloha se kontroluje počet dotykových bodů – zařízení s více než jedním bodem je pravděpodobně mobilní. Výsledek je vždy jen odhad, ne absolutní pravda. Tablety mohou být klasifikovány různě podle nastavení prohlížeče.

Safari od verze 13 záměrně zamrazilo přesnou verzi systému v User Agentu. Jde o ochranu soukromí – přesná verze OS je jeden ze signálů pro fingerprinting. V praxi to znamená, že všichni Safari uživatelé vypadají pro web téměř identicky. Základní rozlišení iOS vs. macOS vs. Windows je obvykle zachováno, přesné verze systému jsou ale nespolehlivé u všech Apple zařízení.

Roboti jsou automatizované programy, které procházejí weby – vyhledávací crawlery, bezpečnostní skenery nebo nástroje pro testování. Jejich návštěvy by zkreslily statistiky, protože nepředstavují skutečné lidi. Detekujeme je pomocí několika signálů: příznak navigator.webdriver (přítomný u Selenium a Puppeteer), podezřelá slova v User Agentu (headless, crawler, bot) nebo nulové hardwarové hodnoty typické pro headless prostředí. Roboti jsou zalogováni pro audit, ale do počítadel se nezapočítávají.

Před naskenováním si zkontroluj, zda QR kód není přelepen jiným. Pokud ti prohlížeč ukáže URL před otevřením, přečti ji – podvodné stránky mají často podobné, ale jiné domény (např. paypa1.com místo paypal.com). Použij prohlížeč v anonymním režimu pro neznámé QR kódy. Pokud chceš minimalizovat fingerprinting obecně, pomáhá Firefox s rozšířením uBlock Origin nebo prohlížeč Brave, které aktivně blokují fingerprintingové techniky. Žádné řešení ale není 100% – tato stránka ukazuje, co lze zjistit i bez cookies a bez souhlasu.

Záleží na zařízení a aplikaci, kterou ke skenování používáš.

🍎 iPhone (iOS)
Nativní fotoaparát na iPhonu URL zobrazí automaticky jako notifikaci ještě před tím, než na ni klepneš – stačí namířit na kód. Vidíš tedy doménu, na kterou QR míří, a můžeš se rozhodnout, zda ji otevřeš. Je to jedna z mála situací, kdy iOS uživatelé mají bezpečnostní výhodu oproti Androidu.

🤖 Android
Nativní fotoaparát na Androidu URL ve většině případů přímo zobrazí a otevře – bez možnosti ji nejdřív přečíst. Chování se liší výrobce od výrobce (Samsung, Google Pixel, Xiaomi…) a verze systému. Obecně platí, že Android tuto ochranu standardně nenabízí.

🔒 Jak se chránit na Androidu
Použij specializovanou aplikaci pro skenování QR kódů, která URL zobrazí před otevřením – například QR & Barcode Scanner od Gamma Play nebo Google Lens (zobrazí URL, ale rovnou nabídne otevřít). Alternativně můžeš v prohlížeči Chrome na Androidu použít funkci Google Lens přímo v adresním řádku.

⚠️ Pozor na zkrácené URL
I když URL vidíš, může být zkrácená přes bit.ly, tinyurl nebo podobné služby. Samotný náhled domény pak nestačí – pod zkrácenou URL se může skrývat cokoliv. Naštěstí většina zkracovačů nabízí způsob, jak cíl odhalit ještě před kliknutím:

• bit.ly – přidej + na konec URL: bit.ly/abc123+
  Zobrazí statistiky odkazu včetně cílové adresy. Od roku 2025 může bit.ly na free účtech zobrazovat reklamu na této preview stránce – to je normální, není to útok.
• TinyURL – přidej preview. před doménu: preview.tinyurl.com/abc123
• Ostatní zkracovače – zkopíruj odkaz do checkshorturl.com nebo podobné služby, která proklikne přesměrování za tebe a zobrazí konečnou URL.
• Pozor na vícenásobné přesměrování – zkrácená URL může vést na další zkrácenou URL a teprve ta na skutečný cíl. Preview triku proto nestačí vždy jen jednou.

Ano, přibližně. Město a poskytovatele internetu (ISP) zjišťujeme z tvé IP adresy – tu sděluje tvůj prohlížeč každému webu automaticky, bez výjimky a bez možnosti to vypnout. Je to technický základ internetu.

Cloudflare, přes který tato stránka běží, překládá IP adresu na přibližnou polohu (město, region, stát) a název poskytovatele (ASN – Autonomous System Number). Tato data dostaneme automaticky při každém požadavku – bez externího API, bez poplatků, bez ukládání samotné IP adresy.

Co neukládáme: Samotnou IP adresu záměrně nelogujeme – ukládáme jen odvozená data (město, stát, ISP). IP adresa je osobní údaj ve smyslu GDPR; město a ISP jsou agregované informace bez možnosti zpětné identifikace konkrétní osoby.

Přesnost: Geolokace podle IP je přibližná – typicky na úroveň města, ale může být nepřesná o desítky kilometrů. VPN nebo Tor zobrazí polohu výstupního uzlu, ne tvoji skutečnou polohu.

Ano – stránka neukládá žádné cookies, nepoužívá Google Analytics ani jiné trackery třetích stran. Fingerprint se vytváří a hashuje výhradně v prohlížeči, na server se odesílá jen výsledný hash (ne raw data). Hash neumožňuje zpětně rekonstruovat původní hodnoty. Ukládaná data (hash + typ zařízení + timestamp) neobsahují žádné osobní údaje ve smyslu GDPR. Cílem projektu je naopak ukázat, co weby mohou dělat – a motivovat k větší obezřetnosti.

Quishing (z anglického QR + phishing) je útok, kdy podvodník přelepí nebo nahradí legitimní QR kód svým vlastním – ten pak vede na falešnou stránku místo té pravé. Oběť si myslí, že platí za parkování, přispívá na charitu nebo čte menu restaurace. Ve skutečnosti předává platební údaje útočníkovi.

Proč je quishing tak účinný? Protože QR kód skryje URL – nevidíš kam vede, dokud ho nenaskenuješ. Na rozdíl od klasického phishingového odkazu v e-mailu ho nemůžeš před kliknutím zkontrolovat.

Stalo se to doopravdy. Nejde o hypotetické hrozby:

• Ve Velké Británii evidoval Action Fraud téměř 800 hlášení QR podvodů za 12 měsíců do dubna 2025 – oběti přišly celkem o £3,5 milionu.
• V Praze (2024) přelepili podvodníci parkovací automaty samolepkami imitujícími EasyPark. Řidiči zaplatili podvodníkům a navíc dostali pokutu.
• V Česku po tornádu (2021) nastražili podvodníci falešné QR kódy vedle sbírkových materiálů charitativních organizací.
• V Texasu bylo přelepeno přes 100 parkovacích automatů – v Austinu pak úředníci zkontrolovali 900 automatů a podvodné kódy našli na 29 z nich.

Jak se bránit: Zkontroluj jestli QR kód nevypadá jako přelepka. Po naskenování si přečti URL – odpovídá tomu co očekáváš? U plateb zkontroluj příjemce před odesláním. A pokud máš pochybnosti, raději zaplať klasicky – kartou u automatu nebo hotově.