QR-код — это всего лишь способ передать текст, чаще всего ссылку. Проблема в том, что человек не умеет читать квадратики глазами и не знает, куда попадёт после сканирования. На этой слепоте и построен квишинг — фишинг через QR-коды, который всё чаще встречается на парковках, в подъездах и почтовых ящиках. Жертвами становятся не только туристы: под видом оплаты парковки мошенники собирают данные карт и у местных жителей.
Классические схемы обмана
- Фальшивая парковка. Наклейка с кодом поверх настоящей таблички ведёт на клон сайта оплаты — деньги и данные карты уходят мошенникам, а штраф за неоплату приходит вам.
- Поддельная квитанция. Листовка в подъезде или «штраф» под дворниками с QR для «быстрой оплаты» коммуналки или нарушения, которого не существует.
- Ложная доставка. Уведомление о посылке с кодом, ведущим на фишинговую страницу банка или маркетплейса.
- Вредоносная установка. Код открывает сайт, который под видом «обновления браузера» предлагает скачать троян.
Почему схема работает
Мошенники эксплуатируют три привычки: мы доверяем печатным материалам, спешим и редко читаем адрес ссылки до перехода. Добавьте сюда динамические QR-коды, владелец которых может подменить адрес назначения, не меняя саму картинку, — и масштаб риска становится понятен. Об отличиях форматов мы пишем в статье про статические и динамические QR-коды. По оценкам банков, ущерб от квишинга растёт из года в год вместе с распространением бесконтактной оплаты.
Чек-лист перед сканированием
- осмотрите код: свежая наклейка поверх старой печати — тревожный знак;
- после сканирования читайте адрес до перехода: подмена одной буквы в домене — классический приём;
- насторожитесь, если «оплата парковки» просит полные данные карты, CVV и код из SMS;
- не устанавливайте приложения, которые предлагает открывшийся сайт;
- сомневаетесь — введите адрес организации вручную или позвоните по официальному номеру.
Как проверить код до перехода
Безопаснее всего сканер, который сначала показывает содержимое и анализирует ссылку, а не молча открывает её. Во встроенном сканере QR StarCode ссылка проверяется по целому ряду признаков: голый IP вместо домена, сервисы-сокращатели, символ @ в адресе, домены-двойники на кириллице, отсутствие шифрования. Вердикт виден до того, как вы решите открыть ссылку. И помните обратное правило: честный код проверки не боится — например, содержимое QR-кода для гостевого Wi-Fi легко сверить с настройками роутера. Лучше потратить десять секунд на проверку, чем неделю на споры с банком о перевыпуске карты.