Подмена QR-кода — это когда кто-то наклеивает поддельный QR-код поверх настоящего кода компании, и покупатели после сканирования попадают на мошенническую страницу или переводят деньги не на тот счёт. Магазины защищаются так: регулярно проверяют коды, используют материалы, на которых видны следы вмешательства, размещают коды в поле зрения персонала и пользуются динамическими ссылками, которые можно отслеживать и менять.
Под удар может попасть любой напечатанный QR-код в общественном месте: платёжный код у кассы, код меню на столах, коды на плакатах, парковочных табличках или машинах доставки. Хорошая новость: несколько простых привычек делают подмену гораздо заметнее и гораздо менее эффективной.
Как происходит подмена QR-кодов
Самый распространённый способ совсем не высокотехнологичный. Злоумышленник печатает поддельный QR-код на наклейке подходящего размера и клеит её поверх настоящего. Спешащему покупателю всё кажется нормальным.
Поддельный код может:
- Открыть сайт-клон, который запрашивает данные карты, логины или личную информацию.
- Показать платёжный QR-код другого счёта, и деньги уйдут мошеннику, а не магазину.
- Привести на страницу, которая уговаривает посетителя скачать приложение или файл.
Организации по защите прав потребителей и банки в ряде стран предупреждали о поддельных QR-наклейках на паркоматах, стойках для оплаты и общественных табличках. Для бизнеса вред двойной: покупатели теряют деньги и часто винят магазин, где сканировали код.
Признаки того, что код подменили
Научите сотрудников замечать тревожные признаки:
- Наклейка с выпуклыми краями, пузырями или немного другого размера, чем оригинал.
- Код выглядит новее, глянцевее или другого цвета, чем остальная табличка.
- Рядом с оригиналом появился второй код с заманчивой надписью вроде «сканируй и получи скидку».
- Повреждения, царапины или следы клея вокруг кода.
- Покупатели упоминают странную страницу, просьбу войти в аккаунт или незнакомое имя получателя при оплате.
Лучшая проверка — сканирование. Когда вы сканируете свой код, он должен вести ровно на ожидаемую ссылку, а платёжный код — показывать правильное имя получателя.
Ежедневная проверка QR-кодов
Когда проверка входит в привычку, на один код уходит меньше минуты. Вот простой чек-лист:
- Ведите список всех выставленных QR-кодов с местом размещения и ожидаемым адресом.
- Осмотрите и потрогайте каждый код при открытии. Проведите пальцем, чтобы почувствовать лишний слой наклейки.
- Отсканируйте выборочно телефоном сотрудника — лучше каждый день разным — и убедитесь, что адрес правильный.
- Проверьте платёжные коды: имя получателя в банковском приложении должно совпадать с вашей компанией.
- Сразу убирайте всё подозрительное и сохраняйте как доказательство, по возможности сфотографировав на месте.
- Отмечайте проверку в простом журнале с датой и инициалами, чтобы пропуски были заметны.
Онлайн-инструмент вроде нашего сканера QR-кодов показывает адрес до открытия, поэтому ссылку легко проверить, не заходя на страницу, которой вы не доверяете.
Как усложнить подмену
Физические решения могут сделать наклейку заметнее или затруднить её.
- Печатайте код как часть дизайна таблички или карточки меню, а не отдельной наклейкой. Тогда любая добавленная наклейка будет бросаться в глаза.
- Используйте разрушаемые или защитные этикетки для кодов, которые должны быть наклейками. Они рвутся или показывают узор, если их пытаются отклеить или заклеить.
- Размещайте коды под прозрачным акрилом или в рамке, чтобы ничего нельзя было наклеить прямо сверху.
- Добавьте название компании и короткую строку рядом с кодом, например «Получатель платежа: Название вашего магазина». Тогда покупатели знают, что должны увидеть.
- Держите коды в поле зрения персонала. Коды у кассы подменить гораздо сложнее, чем на уличной табличке без присмотра.
- Не дублируйте коды без нужды. Чем больше кодов вы выставляете, тем больше нужно проверять.
Используйте динамические ссылки, которые можно отслеживать
Динамический QR-код ведёт на короткую ссылку, которая перенаправляет на вашу страницу. Это даёт полезный контроль:
- Адрес можно изменить в любой момент без перепечатки — это выручит, если сайт переедет или страницу взломают.
- Статистика сканирований показывает обычную картину. Резкое падение числа сканирований в одной точке может означать, что код там заклеили подделкой.
- Узнаваемые короткие ссылки. Покупатели могут проверить, что ссылка совпадает с ожидаемой.
В QR-TH динамические коды используют короткую ссылку qr-th.com/r/, а каждая ссылка проверяется по базе Google Safe Browsing и перепроверяется каждую ночь. Посетители также могут увидеть страницу загрузки, которая показывает, куда ведёт ссылка, до её открытия. Эти функции не помешают кому-то наклеить подделку на вашу табличку, но помогут заметить проблему и держать ваши собственные ссылки чистыми.
Платёжным QR-кодам — особое внимание
Платёжные коды — самая привлекательная цель: удачная подмена отправляет деньги прямо преступнику.
- Попросите покупателей проверять имя получателя в банковском приложении перед подтверждением и напишите об этом на табличке.
- По возможности показывайте динамический платёжный QR-код на экране или терминале вместо постоянной напечатанной наклейки.
- Если вы используете напечатанный PromptPay QR или другой платёжный код, проверяйте его каждый день и держите рядом с кассой.
- Если покупатель сообщает, что увидел при оплате другое имя, сразу перестаньте использовать этот код и свяжитесь с банком.
В статье о безопасной оплате по QR-коду объясняем, что покупателям стоит проверять перед оплатой.
Что делать, если вы нашли поддельный код
- Снимите поддельную наклейку и сохраните её. Сделайте фото до и после.
- Сразу проверьте все остальные коды: подменить могли не один.
- Если покупатели могли отсканировать подделку, повесьте короткое объявление с объяснением, на что обратить внимание.
- Сообщите о случившемся в полицию, а если речь о платёжных кодах — в банк.
- Замените код свежей печатью и пересмотрите место его размещения.
FAQ
Как понять, что наклейка с QR-кодом поддельная?
Ищите выпуклые края, другой размер или отделку и всё, что наклеено поверх оригинала. Затем отсканируйте код и убедитесь, что адрес или имя получателя платежа совпадают с вашей компанией.
Защищает ли динамический QR-код от подмены?
Нет. Наклейку можно приклеить поверх любого напечатанного кода. Динамический код помогает отслеживать сканирования и быстро менять адрес, поэтому проблемы легче заметить и устранить.
Как часто нужно проверять QR-коды?
Коды в общественных и людных местах лучше проверять каждый день, в идеале при открытии. Коды в служебных или охраняемых зонах можно проверять реже.
Что покупателям стоит проверить перед оплатой по QR-коду?
Им нужно убедиться, что имя получателя и сумма в банковском приложении совпадают с магазином, прежде чем подтверждать платёж.
Защита напечатанных QR-кодов — это прежде всего порядок: знать, где ваши коды, часто их проверять и делать подделки заметными. Создавайте отслеживаемые динамические коды в бесплатном генераторе QR-кодов QR-TH и следите за каждой точкой по статистике сканирований.