Фишинговое письмо с QR-кодом просит отсканировать код — обычно чтобы «повторно подтвердить» аккаунт, подписать документ или сбросить пароль. Злоумышленники используют QR-коды, потому что почтовым фильтрам сложнее прочитать ссылку внутри изображения, а сканирование переносит вас на телефон, где поддельную страницу входа заметить труднее.
Фишинг существует столько же, сколько электронная почта, но вариант с QR-кодом — его часто называют квишингом — появился сравнительно недавно. Вместо синей ссылки, на которую можно навести курсор, в письме квадратная картинка. Разберём, почему злоумышленникам нравится этот приём, как обычно выглядят такие письма и что могут сделать сотрудники и компании.
Зачем злоумышленники вставляют QR-коды в письма
С точки зрения мошенника QR-код решает сразу несколько задач.
- Скрывает ссылку. Человек не может прочитать QR-код и не заметит подозрительный адрес с первого взгляда.
- Может обойти фильтры. Многие средства защиты почты сверяют текстовые ссылки со списками известных вредоносных сайтов. Ссылку внутри изображения проверить сложнее, хотя современные инструменты всё чаще сканируют и картинки.
- Переносит вас на другое устройство. Письмо вы читаете на рабочем ноутбуке под защитой корпоративной безопасности, а сканируете личным телефоном, где защиты может быть меньше.
- Маленький экран скрывает детали. На телефоне адресная строка короткая, а поддельная страница входа очень похожа на настоящую.
- Выглядит современно и официально. QR-коды используют банки, авиакомпании и работодатели, поэтому код в письме сам по себе не вызывает подозрений.
Как выглядит фишинговое письмо с QR-кодом
Письма бывают разными, но обычно следуют знакомым шаблонам. Частые темы:
- «Срок действия вашего пароля истекает сегодня. Отсканируйте код, чтобы сохранить текущий пароль».
- «Необходимо повторно включить многофакторную аутентификацию. Отсканируйте код телефоном».
- «Вам открыли доступ к документу. Отсканируйте, чтобы просмотреть».
- «Данные о вашей зарплате или премии обновлены».
- «Посылка или счёт требует вашего подтверждения».
Типичные тревожные признаки:
- Срочность: короткий срок или угроза блокировки аккаунта.
- Странный отправитель: в имени указано «Служба поддержки IT» или известный бренд, но адрес почты не совпадает.
- Мало текста, большой код: письмо — это в основном картинка с QR-кодом и короткая инструкция.
- Безличное обращение вместо вашего имени.
- Страница входа после сканирования: код ведёт на страницу, где просят рабочую почту и пароль или одноразовый код.
Последний пункт — самый важный. Настоящему IT-отделу почти никогда не нужно, чтобы вы входили в систему через QR-код из письма.
Что делать, если вы получили такое письмо
Если вы сотрудник и пришло подозрительное письмо с QR-кодом:
- Не сканируйте его телефоном.
- Не пересылайте его коллегам с вопросом, настоящее ли оно: кто-то может его отсканировать.
- Сообщите о нём через кнопку «Сообщить о фишинге» или свяжитесь с IT по известному вам каналу.
- Проверьте аккаунт сами. Если в письме речь о пароле или документе, зайдите в сервис напрямую — по привычному адресу или через приложение.
- Удалите письмо после того, как сообщили о нём, если так предусмотрено правилами компании.
Если вы уже отсканировали код и ввели данные, действуйте быстро: смените пароль, сразу сообщите в IT и выполните шаги из нашего руководства о том, что делать, если вы отсканировали вредоносный QR-код.
Вне работы действуют те же привычки. Чтобы узнать, куда ведёт код, не открывая его, воспользуйтесь сканером, который сначала показывает адрес назначения, например онлайн-сканером QR-кодов QR-TH: посмотрите, прежде чем переходить.
Как компании защищают сотрудников
Ни один инструмент не остановит все попытки QR-фишинга. Надёжная защита сочетает технологии, процессы и людей.
Средства защиты почты и безопасности
- Используйте защиту почты, которая умеет находить QR-коды в изображениях и вложениях и проверять ссылки внутри них
- Держите включёнными проверку ссылок и защиту от опасных сайтов на корпоративных устройствах и, где уместно, на управляемых телефонах
- Чётко помечайте письма извне, особенно те, где используются «внутренние» имена отправителей
Надёжная защита входа
- Требуйте многофакторную аутентификацию для всех учётных записей сотрудников
- По возможности выбирайте методы, устойчивые к фишингу, — ключи доступа (passkeys) или аппаратные ключи безопасности: одноразовые коды всё ещё можно выманить на поддельной странице
- Предпочитайте приложения-аутентификаторы SMS-сообщениям. Варианты описаны в нашем руководстве по двухфакторной аутентификации.
- Отслеживайте необычные входы, например из новых стран или с новых устройств
Понятные процессы
- Сделайте общеизвестным правилом: IT никогда не просит сотрудников входить в систему через QR-код из письма
- Дайте один простой способ сообщать о подозрительных письмах и благодарите тех, кто им пользуется
- Подготовьте план быстрого сброса паролей и завершения сеансов, если кто-то сообщает об ошибке
Обучение, которое запоминается
- Показывайте на тренингах реалистичные примеры фишинговых писем с QR-кодами
- Учите задавать простой вопрос: «А зачем здесь вообще QR-код?»
- Проводите учебные фишинговые рассылки с QR-кодами и давайте доброжелательную обратную связь, а не ищите виноватых
Сотрудники, которые не боятся признаться в ошибке, сообщают о ней быстрее, и это ограничивает ущерб.
Легитимные QR-коды в письмах
Не каждый QR-код в письме вредоносен. Электронные билеты, посадочные талоны и привязка некоторых устройств или приложений законно используют QR-коды. Разница обычно в контексте: вы ждали письмо, оно связано с вашими действиями, а код нужно предъявить или использовать в знакомом приложении, а не ввести пароль на неизвестной странице.
Компании, которые отправляют настоящие QR-коды, могут помочь получателям: объяснять, для чего код, давать рядом узнаваемую ссылку в качестве альтернативы и использовать надёжные домены.
FAQ
Почему фишинговые письма используют QR-коды вместо ссылок?
Потому что ссылка скрыта и от людей, и от части фильтров, а сканирование переносит жертву на телефон, где средства защиты и визуальные подсказки часто слабее.
Может ли мой почтовый сервис блокировать QR-фишинг?
Многие сервисы защиты почты уже ищут QR-коды в изображениях и проверяют ссылки, но ни один не ловит всё. Ваша собственная осторожность остаётся важным уровнем защиты.
Безопасно ли сканировать QR-код в письме от моего банка?
Будьте осторожны. Банки редко просят входить через QR-код из письма. Лучше откройте официальное приложение банка или введите его адрес вручную.
Что делать, если я ввёл рабочий пароль после сканирования?
Немедленно смените пароль, сообщите в IT или службу безопасности и попросите проверить подозрительные входы. Скорость здесь действительно важна.
Посмотрите, прежде чем открыть
QR-фишинг работает, когда люди сканируют не задумываясь. Сделайте проверку привычкой: если пришёл неожиданный код, используйте инструмент QR-TH, чтобы отсканировать QR-код онлайн и увидеть, куда он ведёт, прежде чем что-либо открывать.