Fałszywe kody QR na parkomatach w Krakowie. Jak nie stracić pieniędzy

W skrócie: fałszywe kody QR na parkomatach w Krakowie

Na parkomatach w Obszarze Płatnego Parkowania pojawiły się naklejki z kodami QR, które nie mają nic wspólnego z miastem. W komunikacie z 27 września 2026 r. miasto poinformowało, że naklejki przyklejano na informacji o aplikacji mKraków, a zeskanowanie kodu kierowało do innej, nieznanej miastu aplikacji. Kody nie pochodzą od Zarządu Dróg Miasta Krakowa (ZDMK), pracownicy jednostki naklejki usunęli, a sprawę przekazano policji.

Zalecenie miasta jest krótkie i warto je zapamiętać: nie skanuj takich kodów i nie podawaj przez nie żadnych danych, a już na pewno nie danych karty płatniczej. Jeśli zauważysz podobną naklejkę, zgłoś ją do ZDMK pod numerem 12 616 75 55. Jeśli zeskanowałeś kod i wpisałeś numer karty, skontaktuj się ze swoim bankiem. Bezpieczne sposoby zapłaty to parkomat oraz oficjalne aplikacje pobrane z Google Play lub App Store.

Oszustwo na parkomat w Krakowie: jak działa taki atak

W branży bezpieczeństwa ten schemat nazywa się „quishing”, czyli phishing z użyciem kodu QR. Naklejka z kodem jest tanim, jednorazowym narzędziem: nie wymaga włamania do urządzenia, nie zostawia śladów w systemie płatności miasta i wystarczy, że wygląda wiarygodnie. Naklejona obok logo albo wprost na informacji o oficjalnej aplikacji, przez chwilę wygląda jak kolejny element parkomatu.

Dalej scenariusz jest typowy. Kierowca skanuje kod telefonem i trafia do serwisu albo aplikacji, których nie zna, ale które wyglądają jak narzędzie do opłaty za postój. Zostaje poproszony o numer rejestracyjny, czas postoju i dane karty płatniczej. W tym momencie ryzyko nie dotyczy już jednej opłaty za dwie godziny parkowania, ale całego numeru karty wraz z datą ważności i kodem CVV, czyli danych, które pozwalają obciążyć rachunek wielokrotnie.

Jest jeszcze druga, mniej oczywista strata. Kierowca, który „zapłacił” poza oficjalnym kanałem, w rzeczywistości nie wniósł opłaty za postój, bo pieniądze nigdy nie trafiły do systemu miasta. Nieuiszczenie wymaganej opłaty skutkuje opłatą dodatkową w wysokości 400 zł, obniżaną do 200 zł przy zapłacie w terminie siedmiu dni od wystawienia zawiadomienia. Fałszywy kod QR potrafi więc uderzyć dwa razy: raz przez kartę, raz przez zawiadomienie za szybą.

Dlaczego parkomat jest wygodnym celem

• Kod QR jest nieczytelny dla człowieka. Nie widać po nim adresu, na który prowadzi, dopóki telefon go nie otworzy.
• Płatność za postój robimy w pośpiechu, często w deszczu, z dzieckiem za rękę i z myślą o spotkaniu, na które już się spóźniamy.
• Płacenie telefonem za parkowanie jest w Krakowie powszechne i naturalne, więc kolejny kod QR nie budzi odruchowej nieufności.
• Parkomat stoi w przestrzeni publicznej bez dozoru. Przyklejenie naklejki zajmuje kilka sekund.

Czy to pierwszy taki przypadek w Krakowie?

Nie. Już 28 lipca 2023 r. miasto publikowało ostrzeżenie „Nie skanuj kodów QR umieszczonych na parkomatach”, w którym proszono kierowców, aby naklejek nie zdejmowali samodzielnie, a zgłaszali je pod numery 12 616 71 77 lub 12 616 75 55. Chodziło o zabezpieczenie śladów dla policji. To zalecenie pochodzi właśnie z 2023 r., a nie z komunikatu z września 2026 r., w którym ZDMK informuje, że naklejki już usunął i zapowiada regularne kontrole urządzeń. Praktyczny wniosek dla kierowcy pozostaje jednak ten sam: naklejkę zgłoś, nie zdrapuj.

Jak zapłacić za parkowanie w Krakowie, korzystając tylko z oficjalnych kanałów

Warto znać pełną listę legalnych sposobów wniesienia opłaty, bo wtedy każda propozycja spoza tej listy od razu wygląda podejrzanie. ZDMK wskazuje parkometry, aplikacje mobilne, internet (zakup abonamentu) oraz kasy Zarządu Dróg Miasta Krakowa. W samych parkomatach działają również karty zbliżeniowe typu PayPass i PayWave.

mKraków i pozostałe aplikacje do opłaty za postój

Listę aplikacji, w których można legalnie zapłacić za postój, prowadzi sam zarządca strefy. ZDMK wymienia: mKraków, anypark.pl, cityparkapp.pl, electronicparking.pl, flowbird.pl, mka.malopolska.pl, mobilet.pl i skycash.com. Na tej samej stronie zaznaczono, że zniżki Karty Krakowskiej honorowane są wyłącznie w wybranych aplikacjach (mKraków, anypark.pl, cityparkapp.pl, electronicparking.pl, mobilet.pl, skycash.com), a dodatkowo są dostępne w wybranych aplikacjach bankowych. Płacąc przez aplikację, nie masz obowiązku umieszczania za szybą kartki ani naklejki informującej o tej formie płatności, choć w niektórych sytuacjach ułatwia to weryfikację kontrolerowi.

Aplikacja mKraków, na której informacji naklejano fałszywe kody, to bezpłatna aplikacja miejska na iOS i Androida. Pozwala opłacić postój w Obszarze Płatnego Parkowania, sprawdzić historię parkowania, złożyć reklamację i odbierać powiadomienia o kończącym się czasie, a płatność obsługuje kartą, Google Pay i Apple Pay. Krok po kroku opisaliśmy ją w poradniku mKraków: parkowanie w aplikacji. Kluczowa zasada: aplikację instalujesz, szukając jej nazwy w Google Play albo App Store, nigdy z linku czy kodu QR naklejonego na urządzeniu w terenie.

Jaka stawka jest prawidłowa: tabela taryf i godzin

Znajomość taryfy to najprostszy test na oszustwo. Jeśli ekran, do którego trafiłeś po zeskanowaniu kodu, liczy sobie za godzinę kwotę zupełnie inną niż obowiązująca stawka, wiesz już, że nie rozmawiasz z systemem miejskim. Aktualne stawki i godziny poboru opłat publikuje ZDMK, a pełne zestawienie taryf, abonamentów i opłat dodatkowych znajdziesz w naszym cenniku parkowania w Krakowie na 2026 rok.

Taryfa jest progresywna: każda kolejna z pierwszych trzech godzin jest droższa, a od czwartej godziny stawka wraca do poziomu pierwszej. W podstrefie A tak rozliczane są m.in. sektor A1 (Stare Miasto, Planty), A4 (Lubicz, Podzamcze, okolice Wawelu) i A13 (most Grunwaldzki, ul. Dietla). Taniej jest w podstrefie B, na przykład w sektorze B11 (Rondo Mogilskie, ul. Lubicz) czy B30 (Zwierzyniec, Błonia, al. 3 Maja), a najtaniej w podstrefie C, m.in. w sektorze C8 (Krowodrza, Czarnowiejska) i C31 (Zwierzyniec, Czarna Wieś).

Kiedy opłaty nie ma i dlaczego ta wiedza też chroni przed oszustwem

W podstrefach B i C postój w każdą niedzielę jest bezpłatny, a soboty są co do zasady płatne we wszystkich podstrefach. W podstrefie A sprawa niedziel jest bardziej złożona i działają tam dwa niezależne zwolnienia, które szczegółowo rozpisaliśmy w tekście o wielkiej korekcie OPP i bezpłatnych niedzielach w podstrefie A. Po pierwsze: w niedzielę handlową postój w podstrefie A jest bezpłatny dla każdego kierowcy, bez wyjątku. Po drugie: w niedzielę niehandlową, która nie jest dniem ustawowo wolnym od pracy, opłatę pobiera się jak w zwykły dzień, z jednym wyjątkiem - posiadacze statusu Karty Krakowskiej nie wnoszą opłaty we wszystkie niedziele w podstrefie A, pod warunkiem wprowadzenia numeru rejestracyjnego pojazdu do swojego konta w systemie obsługującym program. Warunki tego zwolnienia omawiamy osobno w poradniku o Karcie Krakowskiej i bezpłatnym parkowaniu w niedziele.

Osobno działa zwolnienie świąteczne. Opłaty nie pobiera się w dni wolne od pracy określone w art. 1 pkt 1 ustawy z 18 stycznia 1951 r. o dniach wolnych od pracy. Dotyczy to całej strefy i ma pierwszeństwo przed regułami o dniach tygodnia, więc gdy święto wypada w sobotę, postój i tak jest bezpłatny - tak było 15 sierpnia 2026 r. Jeżeli niedziela niehandlowa akurat jest dniem ustawowo wolnym od pracy, na przykład w Wielkanoc czy Zielone Świątki, bezpłatnie parkują wszyscy, a nie tylko posiadacze Karty Krakowskiej.

Po co kierowcy ta wiedza w tekście o kodach QR? Bo ekran żądający 15 zł za godzinę albo opłaty w niedzielę w podstrefie C to sygnał, że coś jest nie tak. Nie musisz też podejmować decyzji w panice: na wniesienie opłaty jest 10 minut, a to wystarczy, by spokojnie otworzyć znaną aplikację albo podejść do parkomatu.

Czerwone flagi: po czym poznać fałszywą płatność za parkowanie

• Naklejka z kodem QR przyklejona na parkomacie, zwłaszcza zasłaniająca inną informację, na przykład o oficjalnej aplikacji.
• Kod prowadzi do aplikacji lub serwisu, którego nazwy nie ma na liście ZDMK.
• Prośba o pełne dane karty (numer, data ważności, CVV) wpisywane w zwykłym formularzu, bez rozpoznawalnej bramki płatniczej.
• Stawka niezgodna z taryfą podstrefy albo opłata żądana w dniu, w którym strefa nie działa.
• Dodatkowe „opłaty weryfikacyjne”, prośba o podanie kodu z SMS-a, hasła do bankowości albo o instalację pliku spoza sklepu z aplikacjami.
• Presja czasu w komunikacie: „zapłać w ciągu 60 sekund, inaczej mandat”.

Co zrobić, jeśli zeskanowałeś kod i podałeś dane karty

1. Skontaktuj się ze swoim bankiem - to podstawowa rekomendacja miasta dla osób, które podały dane karty. Bank zablokuje kartę i doradzi, co dalej z ewentualnymi obciążeniami.
2. Nie podawaj nikomu dalszych danych, nawet jeśli zaraz potem zadzwoni „pracownik banku” albo „urzędu”. To klasyczna druga faza takich oszustw.
3. Zgłoś naklejkę do ZDMK pod numerem 12 616 75 55, podając lokalizację parkomatu.
4. Zgłoś sprawę policji. Miasto już przekazało sprawę fałszywych kodów policji, ale Twoje zgłoszenie może zawierać ważne szczegóły, na przykład adres strony, na którą prowadził kod.
5. Zapłać za postój normalnie - parkomatem albo oficjalną aplikacją. Pieniądze wysłane oszustom nie są opłatą za parkowanie i nie chronią przed opłatą dodatkową.

Alternatywa dla strefy: parkingi P+R i miejsca poza obszarem płatnym

Jeśli chcesz w ogóle ograniczyć liczbę płatności w terenie, rozważ parkingi Park & Ride. Na siedmiu parkingach w systemie zamkniętym ze szlabanem (Czerwone Maki, Kurdwanów, Nowy Bieżanów, Mały Płaszów, Górka Narodowa, Krowodrza Górka, Pachońskiego) pobiera się przy wjeździe bilet parkingowy P+R: jednoosobowy kosztuje 10 zł, wieloosobowy 25 zł, a wykupiony bilet jest jednocześnie biletem komunikacji miejskiej. Z opłaty zwolnieni są kierowcy, którzy wjechali na podstawie ważnego w danym dniu biletu KMK zapisanego na jednym z dopuszczonych nośników - samo posiadanie karty bez zapisanego biletu nie wystarcza. Wyjazd w ciągu 10 minut od wjazdu jest bezpłatny (reguła wynika z warunków korzystania z parkingów, a nie z cennika), natomiast pozostawienie pojazdu po zakończeniu doby parkingowej oznacza opłatę dodatkową 250 zł. Zanim ruszysz, sprawdź, jak online sprawdzić wolne miejsca na parkingach P+R w Krakowie.

Inne reżimy obowiązują w pozostałych lokalizacjach. P+R Swoszowice działa w systemie otwartym, bez szlabanu: nie ma tam biletu P+R ani opłat 10/25 zł, wymagany jest natomiast ważny bilet KMK, a za jego brak grozi opłata dodatkowa 150 zł. P+R Mydlniki Wapiennik i P+R Prądnik Czerwony to parkingi tytularne, na których nie pobiera się żadnej opłaty parkingowej - cennik przewiduje dla nich wyłącznie opłatę za ładowanie pojazdu elektrycznego w wysokości 3,50 zł/kWh, a zasady postoju definiują znaki drogowe.

Poza strefą kierowcy zostawiają też auta przy ul. Prądnickiej za wiaduktami kolejowymi, w okolicach ul. Krowoderskich Zuchów przy pętli Krowodrza Górka, przy ul. Twardowskiego w rejonie Zakrzówka, przy ul. Ofiar Dąbia oraz pod Bonarka City Center. To nie są miejsca gwarantowane: zawsze decyduje oznakowanie na miejscu, a zasięg Obszaru Płatnego Parkowania bywa zmieniany. Aktualne ceny biletów komunikacji miejskiej znajdziesz u organizatora transportu, na stronie ztp.krakow.pl.

FAQ: fałszywe kody QR i płatność za parkowanie w Krakowie

Czy na krakowskich parkomatach są w ogóle jakieś oficjalne kody QR?

Miasto w komunikacie z 27 września 2026 r. wskazało jako bezpieczne dwa kanały: parkomat oraz oficjalne aplikacje pobrane z Google Play lub App Store. Naklejki, które pojawiły się na parkomatach, nie pochodziły od ZDMK i kierowały do nieznanej aplikacji. Jeśli więc na parkomacie widzisz naklejony kod QR zachęcający do płatności, traktuj go jako podejrzany i zgłoś pod numer 12 616 75 55.

Jak zapłacić za parkowanie w Krakowie telefonem, żeby było bezpiecznie?

Wybierz jedną z aplikacji z listy ZDMK (mKraków, anypark.pl, cityparkapp.pl, electronicparking.pl, flowbird.pl, mka.malopolska.pl, mobilet.pl, skycash.com) i zainstaluj ją, wpisując nazwę w Google Play albo App Store. Nigdy nie instaluj aplikacji z linku ani kodu QR zastanego na urządzeniu w terenie. Zniżkę Karty Krakowskiej honoruje tylko część tych aplikacji oraz wybrane aplikacje bankowe.

Zeskanowałem kod i podałem dane karty. Czy zapłaciłem za postój?

Nie. Płatność poza oficjalnym kanałem nie trafia do systemu miasta, więc postój pozostaje nieopłacony, a to oznacza ryzyko opłaty dodatkowej w wysokości 400 zł, obniżanej do 200 zł przy zapłacie w terminie siedmiu dni od wystawienia zawiadomienia. Skontaktuj się z bankiem, zgłoś naklejkę ZDMK i policji, a następnie opłać postój parkomatem lub oficjalną aplikacją.

Czy mogę sam zdjąć fałszywą naklejkę z parkomatu?

Lepiej nie. We wcześniejszym komunikacie o kodach QR na parkomatach, opublikowanym 28 lipca 2023 r., miasto prosiło, aby naklejek nie usuwać samodzielnie, a zgłaszać je pod numery 12 616 71 77 lub 12 616 75 55, żeby zabezpieczyć ślady dla policji. To zalecenie z 2023 r., a nie element komunikatu z września 2026 r.; w tegorocznym przypadku naklejki usunęli pracownicy ZDMK, którzy zapowiedzieli też regularne kontrole urządzeń.

Czy w niedzielę muszę płacić za parkowanie w Krakowie?

W podstrefach B i C w każdą niedzielę postój jest bezpłatny. W podstrefie A opłatę pobiera się od poniedziałku do niedzieli w godzinach 9:00 - 22:00, ale niedziela handlowa jest bezpłatna dla wszystkich kierowców, a w niedziele niehandlowe z opłaty zwolnieni są posiadacze statusu Karty Krakowskiej, którzy wpisali numer rejestracyjny pojazdu do konta w systemie programu. Jeśli niedziela jest jednocześnie dniem ustawowo wolnym od pracy, nie płaci nikt w żadnej podstrefie.

Gdzie sprawdzić, ile powinna wynieść opłata?

Aktualne stawki i godziny poboru opłat publikuje ZDMK na stronie informacji ogólnych o Obszarze Płatnego Parkowania. Warto znać taryfę swojej podstrefy, bo kwota niezgodna z cennikiem to jeden z najszybszych sposobów rozpoznania fałszywego kanału płatności.