Мошенничество с QR-кодами, или квишинг, — это когда QR-код ведёт на поддельный сайт, который крадёт пароли, данные карты или деньги. Прочитать QR-код глазами невозможно, и мошенники прячут в нём вредоносные ссылки. Лучшая защита простая: всегда проверяйте предпросмотр ссылки, прежде чем открыть её или заплатить.
QR-коды удобны — и именно поэтому их любят злоумышленники. Разберём, как устроен квишинг и как его распознать.
Что такое квишинг
Квишинг (quishing) — это сочетание слов «QR» и «фишинг». Фишинг — любая уловка, при которой мошенник выдаёт себя за надёжную организацию: банк, службу доставки или госучреждение, чтобы выманить конфиденциальные данные. Квишинг делает то же самое, только поддельная ссылка приходит не в виде кликабельного текста, а в виде QR-кода.
Мошенникам это выгодно по нескольким причинам:
- Ссылку не видно. QR-код выглядит одинаково, ведёт ли он на сайт вашего банка или на его подделку.
- Вас переводят на телефон. На маленьком экране сложнее рассмотреть адресную строку или заметить чуть изменённое доменное имя.
- Код может обойти фильтры. Почтовые фильтры и антиспам хорошо ловят подозрительные ссылки в тексте, а ссылку внутри картинки распознать труднее.
- Люди доверяют QR-кодам. Мы сканируем их в ресторанах и магазинах каждый день и редко задумываемся.
Организации по защите прав потребителей и банки во многих странах предупреждают о мошенничестве с QR-кодами, особенно о поддельных кодах на паркоматах, табличках для оплаты и в электронных письмах.
Где встречаются мошеннические QR-коды
Квишинг может появиться почти везде, где люди привыкли видеть QR-код. Самые частые места:
- Наклейки на общественных объектах. Поддельный код поверх настоящего на паркомате, зарядной станции для электромобилей, стойке проката велосипедов или остановке.
- Кассы и прилавки. Подменённый платёжный QR-код в магазине или на рынке, из-за которого деньги уходят мошеннику, а не продавцу.
- Электронные письма. Сообщения о том, что срок действия пароля истекает, нужно подписать документ или аккаунт заблокирован, — и QR-код, чтобы «всё исправить».
- Письма и извещения о посылках. Фальшивые уведомления о неудачной доставке или «официальные» письма с просьбой отсканировать код и оплатить небольшой сбор.
- Листовки и плакаты. Слишком щедрые предложения — бесплатные подарки, огромные скидки, — которые ведут в фейковый магазин или на форму для сбора данных.
- Соцсети и мессенджеры. Коды, которые присылают в группах или личных сообщениях, часто с требованием действовать срочно.
Больше реальных сценариев — в нашей статье о распространённых схемах мошенничества с QR-кодами.
Признаки поддельного QR-кода
Чтобы распознать большинство схем, не нужны технические знания. Обращайте внимание на эти тревожные сигналы:
- Наклейка поверх другого кода. Проведите пальцем по коду. Если он выпуклый, отклеивается по краям или выглядит новее таблички вокруг, — повод насторожиться.
- Ссылка не совпадает. В предпросмотре домен не принадлежит организации, написан с ошибкой или выглядит как длинный набор случайных символов.
- Срочность и угрозы. «Ваш аккаунт будет закрыт сегодня» или «оплатите в течение часа» — классический способ давления.
- Запрос логина или данных карты. Паркомату, меню или извещению о посылке почти никогда не нужен пароль от вашего банка.
- Неожиданная установка приложения. Будьте особенно осторожны, если код предлагает установить приложение, тем более не из официального магазина.
- QR-код в письме с просьбой войти в аккаунт. Настоящие сервисы обычно позволяют войти напрямую через свой сайт или приложение.
- Чужое имя получателя при оплате. Если банковское приложение показывает не тот магазин, которому вы платите, — остановитесь.
Как защититься от мошенничества с QR-кодами
Правильные привычки делают квишинг гораздо менее эффективным. Вот практический чек-лист:
- Сначала читайте предпросмотр. Камера показывает ссылку до открытия. Потратьте две секунды, чтобы прочитать домен.
- Если сомневаетесь — идите напрямую. Вместо сканирования сами введите адрес сайта компании или откройте её официальное приложение.
- Проверяйте получателя перед оплатой. Банковские приложения показывают, кому уйдут деньги. Убедитесь, что это нужная организация. Подробнее — в статье о безопасной оплате по QR-коду.
- Не вводите пароли после сканирования незнакомого кода. Если страница просит войти, закройте её и войдите через официальное приложение.
- Включите двухфакторную аутентификацию. Даже если пароль украдут, приложение-аутентификатор станет вторым барьером.
- Обновляйте телефон. Обновления безопасности закрывают уязвимости, которыми могут воспользоваться вредоносные страницы.
- Пользуйтесь сканером с безопасным предпросмотром. Если сомневаетесь, отсканируйте код инструментом, который показывает адрес, ничего не открывая.
В QR-TH каждая короткая ссылка проверяется по базе Google Safe Browsing при создании и повторно — каждую ночь. Посетители также могут увидеть страницу загрузки, на которой показано, куда ведёт ссылка, до её открытия. Такие инструменты помогают, но лучше всего работают вместе с вашей собственной внимательностью.
Что делать, если вы отсканировали поддельный QR-код
Если вы поняли, что открыли подозрительную страницу, действуйте быстро, но спокойно:
- Закройте страницу и больше ничего не вводите.
- Если вы ввели пароль, сразу смените его на настоящем сайте и везде, где использовали такой же пароль.
- Если вы ввели данные карты или банковские реквизиты, немедленно свяжитесь с банком по номеру на карте или через официальное приложение.
- Если вы установили приложение, удалите его и запустите проверку безопасности телефона.
- Сообщите о коде компании или владельцу площадки, чтобы его убрали, а если вы потеряли деньги — в соответствующие органы.
Подробный пошаговый план — в статье что делать, если вы отсканировали вредоносный QR-код.
Советы для бизнеса
Если вы размещаете QR-коды, вы можете серьёзно осложнить жизнь мошенникам. Регулярно проверяйте напечатанные коды на наличие наклеек, научите сотрудников замечать подмену и используйте динамические QR-коды на домене, который вы контролируете, — так вы видите статистику сканирований и можете быстро обновить ссылку. Название компании рядом с платёжным кодом тоже помогает покупателям убедиться, что они платят тому, кому нужно.
FAQ
Можно ли взломать телефон, просто отсканировав QR-код?
Само сканирование QR-кода телефон не взламывает. Опасно то, что вы делаете дальше: открываете фальшивый сайт, вводите данные или устанавливаете приложение. Всегда проверяйте ссылку перед открытием.
Как понять, что QR-код поддельный?
Ищите наклейки поверх других кодов, внимательно читайте предпросмотр ссылки и с подозрением относитесь к любой странице, которая просит пароль, данные карты или срочную оплату. Если сомневаетесь, зайдите на официальный сайт напрямую.
Безопасны ли QR-коды в электронных письмах?
Относитесь к ним с особой осторожностью. QR-код в письме с просьбой войти в аккаунт, подтвердить данные или оплатить сбор — распространённая фишинговая уловка. Вместо сканирования откройте сервис напрямую.
Куда сообщать о мошенничестве с QR-кодом?
Сообщите компании или владельцу площадки, где вы нашли код, свяжитесь с банком, если речь идёт о деньгах или данных карты, и обратитесь в полицию или местный орган по защите прав потребителей.
Квишинг рассчитан на то, что люди сканируют не задумываясь. Часто достаточно двухсекундной паузы, чтобы прочитать ссылку, — и вы в безопасности. В следующий раз, когда код вызовет сомнения, воспользуйтесь онлайн-сканером QR-кодов QR-TH и посмотрите, куда он на самом деле ведёт, прежде чем открывать.