Распознать опасный QR-код по рисунку невозможно: черно-белые квадраты не показывают, какой адрес или команда скрыты внутри. Поэтому перед переходом проверьте источник кода, просмотрите адрес сайта, а перед оплатой сверьте получателя и сумму. Не продолжайте, если код наклеен поверх другого, ведет на подозрительный домен, требует установить приложение, сообщить секретные данные или срочно подтвердить операцию.
- Считайте QR-код обычной ссылкой или платежным поручением, а не знаком надежности.
- Сначала посмотрите, что распознал телефон, и только затем открывайте адрес.
- Проверяйте домен посимвольно: логотип и защищенное соединение не доказывают подлинность сайта.
- В банковском приложении сверяйте получателя, сумму и назначение платежа до подтверждения.
- Не пересылайте QR-коды, созданные для входа, снятия наличных или подтверждения операции.
Почему QR-код может быть опасным
QR-код — это способ записать данные в изображении. Внутри может находиться адрес сайта, текст, контакт, настройки подключения, реквизиты платежа или команда для приложения. Сам рисунок не сообщает, кому принадлежат эти данные.
Мошенник может заменить легальный код своей наклейкой, поместить его в объявление, письмо или сообщение либо скопировать оформление известной организации. После сканирования человека направляют на поддельный сайт, предлагают перевести деньги другому получателю, установить вредоносную программу или предоставить доступ к учетной записи.
Само распознавание изображения камерой обычно еще не означает оплату или передачу пароля. Наиболее опасны следующие шаги: открытие неизвестной страницы, загрузка файла, ввод данных, выдача разрешений приложению и подтверждение операции. Однако обновлять систему и приложения все равно необходимо: это закрывает известные уязвимости.
Основные схемы мошенничества с QR-кодами
Фишинговая страница
Код открывает копию сайта банка, магазина, службы доставки, государственной или другой знакомой организации. Посетителя просят войти в аккаунт, указать данные карты, одноразовый код или персональные сведения. Введенная информация попадает злоумышленникам.
Подмена платежных реквизитов
Наклейку мошенника размещают поверх настоящего кода на счете, терминале, парковочном автомате, стойке оплаты или благотворительном объявлении. Банковское приложение открывает реальную форму перевода, но деньги предназначаются не тому получателю.
Ложный штраф, подарок или выплата
Объявление обещает компенсацию, скидку, приз или бесплатную услугу либо, наоборот, пугает задолженностью и штрафом. QR-код ведет на форму оплаты или сбора данных. Банк России также описывал случаи размещения в общественных местах кодов с обещанием несуществующих выплат: пример такой схемы.
Установка приложения
После перехода сайт предлагает установить «защиту», «обновление», «сервис оплаты» или другой файл. Особенно опасны запросы на доступ к СМС, уведомлениям, управлению устройством, специальным возможностям или демонстрации экрана.
Захват учетной записи
Некоторые сервисы используют QR-код для входа на новом устройстве. Если отсканировать код, присланный незнакомцем или показанный на его экране, можно случайно разрешить чужой сеанс. Перед подтверждением всегда читайте, какое устройство и какое действие указаны приложением.
Кража через секретный банковский QR-код
Код, созданный банковским приложением для снятия наличных или другой операции, может фактически давать право распорядиться деньгами. Его нельзя отправлять «сотруднику банка» или публиковать. Об этой схеме отдельно предупреждает Банк России.
Признаки подозрительного QR-кода
Один признак не всегда означает мошенничество, но любого из перечисленных обстоятельств достаточно, чтобы остановиться и проверить источник другим способом:
- QR-код размещен без понятного объяснения, владельца и контактных данных.
- На поверхности заметна отдельная наклейка, особенно если под ней находится другой код.
- В сообщении обещают легкие деньги, компенсацию, подарок или необычно большую скидку.
- Вас торопят, запугивают блокировкой, штрафом, потерей доступа или денег.
- Адрес сайта не связан с заявленной организацией либо отличается от официального одной буквой, цифрой или дефисом.
- Используется сокращенная ссылка, из-за которой до перехода не виден конечный домен.
- Страница сразу запрашивает пароль, данные карты, код из СМС или сведения документа.
- Для просмотра меню, квитанции или статуса доставки предлагают скачать приложение.
- Браузер или операционная система предупреждают об опасном сайте или файле.
- В банковском приложении указан неожиданный получатель, другая сумма или перевод физическому лицу вместо оплаты организации.
- Код прислал незнакомец, который одновременно объясняет, что именно нужно нажать и подтвердить.
- Вас просят сфотографировать или переслать QR-код, сформированный внутри банковского приложения.
Как проверить QR-код перед переходом
- Оцените ситуацию. Подумайте, ожидали ли вы этот код и соответствует ли он месту размещения. Случайная наклейка на остановке менее надежна, чем код внутри приложения организации, которое вы открыли самостоятельно.
- Осмотрите носитель. Проверьте, не наклеен ли новый код поверх старого, нет ли следов переклейки и совпадает ли оформление с остальной информацией.
- Посмотрите предварительный адрес. Встроенная камера обычно показывает распознанную ссылку до ее открытия. Не нажимайте на уведомление автоматически.
- Найдите основной домен. Проверьте написание названия, доменную зону, лишние символы и переставленные буквы. В адресе вида bank.example.org владельцем является домен example.org, а слово bank — только его поддомен.
- Сравните с официальным источником. Если код якобы принадлежит банку, магазину или ведомству, самостоятельно откройте их приложение либо наберите известный адрес вручную. Не используйте контакты с подозрительной страницы.
- Проверьте требуемое действие. Меню не должно требовать доступа к интернет-банку, а просмотр квитанции — установки неизвестной программы. Несоответствие цели и запроса является серьезным сигналом.
- При оплате изучите экран подтверждения. Сверьте получателя, сумму и назначение. Если данные отличаются от ожидаемых, отмените операцию и обратитесь к сотруднику организации.
| Где находится код | Что проверить | Безопасное действие |
|---|---|---|
| Меню кафе или рекламный плакат | Адрес сайта и отсутствие требований войти в банк или скачать файл | Уточнить адрес у сотрудника или найти официальный сайт самостоятельно |
| Паркомат, счетчик, терминал | Нет ли второй наклейки, совпадают ли оператор и номер объекта | Использовать официальное приложение или адрес, указанный на самом устройстве |
| Квитанция или счет | Получатель, сумма, назначение и реквизиты документа | Сравнить с предыдущими счетами или подтвердить реквизиты у отправителя |
| Письмо или сообщение | Ожидали ли вы отправление и совпадает ли домен с официальным | Зайти в личный кабинет напрямую, не переходя по коду |
| Экран входа в сервис | Какое устройство и какой сеанс будут авторизованы | Сканировать только код, который вы сами открыли на своем устройстве |
Как безопасно оплачивать по QR-коду
Для оплаты лучше использовать приложение банка или другой сервис, которому вы доверяете. После сканирования приложение должно показать сведения об операции до подтверждения. Не ориентируйтесь только на название магазина рядом с наклейкой.
- Сверьте имя или наименование получателя с продавцом и документом на оплату.
- Проверьте сумму, валюту и назначение платежа. В статическом коде сумма может не содержаться, поэтому введенное вручную значение нужно перепроверить.
- Если вместо ожидаемой организации указан неизвестный человек или другая компания, не подтверждайте перевод до объяснения продавца.
- После оплаты смотрите статус в банковском приложении, а не только на странице, открывшейся в браузере.
- Не показывайте кассиру код для снятия наличных, входа в аккаунт или подтверждения банковской операции.
Некоторые законные продавцы принимают переводы на счет физического лица, а сокращенные ссылки применяют и добросовестные компании. Эти признаки сами по себе не доказывают обман, но требуют дополнительной проверки.
Что делать, если вы уже отсканировали подозрительный код
Действия зависят не от самого сканирования, а от того, что произошло после него.
- Увидели адрес, но не открыли его. Закройте подсказку. Если никаких действий не было, менять пароли или блокировать карту обычно не требуется.
- Открыли страницу, но ничего не вводили и не скачивали. Закройте вкладку, отмените загрузки и не разрешайте уведомления. Проверьте папку загрузок и удалите неизвестный файл, не открывая его.
- Ввели логин или пароль. С доверенного устройства смените пароль на настоящем сайте, завершите посторонние сеансы и включите дополнительную защиту входа. Если пароль повторялся в других сервисах, замените его и там. Сначала защитите электронную почту, через которую можно восстанавливать доступ.
- Сообщили данные карты или код подтверждения. Немедленно свяжитесь с банком по номеру из официального приложения, с карты или официального сайта. Опишите переданные сведения и выполняйте инструкции банка по блокировке платежного средства и оспариванию неизвестных операций.
- Подтвердили перевод. Как можно скорее сообщите банку о мошенничестве. Сохраните чек, адрес страницы, переписку, телефон отправителя и фотографию наклейки. Затем обратитесь в полицию и сообщите владельцу места, где был размещен код.
- Установили приложение. Отключите устройство от сети, не открывайте банковские приложения и с другого доверенного устройства свяжитесь с банком. Проверьте права установленной программы, особенно доступ к СМС, уведомлениям, управлению устройством и специальным возможностям. Удалите подозрительное приложение и проведите проверку штатными средствами защиты. Если программа получила расширенные права или продолжает работать, обратитесь к специалисту; может потребоваться полный сброс устройства после сохранения важных данных.
Как снизить риск в будущем
- Сканируйте коды встроенной камерой, официальным банковским приложением или другим доверенным средством, которое показывает содержимое до перехода.
- Не устанавливайте отдельный сканер без необходимости, особенно если он запрашивает доступ к контактам, СМС или специальным возможностям.
- Регулярно обновляйте операционную систему, браузер, банковские и платежные приложения.
- Запретите установку программ из неизвестных источников, если она не нужна.
- Используйте разные пароли и дополнительное подтверждение входа там, где оно доступно.
- Включите уведомления банка об операциях и установите подходящие лимиты на переводы и покупки.
- Объясните близким, что QR-код от «сотрудника банка» нельзя сканировать или пересылать по его инструкции.
- Сообщайте владельцу помещения о подозрительной наклейке, не повреждая ее до фиксации обстоятельств.
Частые ошибки
Частые вопросы
Можно ли определить опасный QR-код по внешнему виду?
Нет. Поддельный и настоящий коды могут выглядеть одинаково, содержать логотип и быть качественно напечатаны. Оценивайте место размещения, предварительный адрес, домен, получателя платежа и действие, которое от вас требуют.
Может ли телефон заразиться сразу после сканирования QR-кода?
Обычно простое распознавание изображения не устанавливает программу. Риск возрастает после открытия страницы, загрузки файла, установки приложения или выдачи разрешений. Систему и приложения следует обновлять, а предупреждения устройства — не игнорировать.
Как проверить ссылку из QR-кода, не открывая ее?
Используйте встроенную камеру или доверенное приложение с предварительным просмотром. Проверьте написание домена и связь адреса с организацией. Конфиденциальные банковские QR-коды нельзя загружать в случайные онлайн-сервисы проверки.
Безопасен ли QR-код, если сайт открывается по HTTPS?
Не обязательно. HTTPS защищает соединение с выбранным сайтом, но не подтверждает честность его владельца. Мошенники также могут получать сертификаты для поддельных страниц.
Что делать, если я отсканировал код, но ничего не вводил?
Если вы только увидели адрес или открыли страницу без ввода данных, загрузки файлов и подтверждения действий, закройте ее и отмените возможные загрузки. Блокировка карты обычно не нужна, если банковские сведения не передавались и операции не совершались.
Что делать, если после оплаты обнаружился другой получатель?
Сразу свяжитесь с банком через официальное приложение или номер на карте, сообщите о подозрении на мошенничество и следуйте его инструкциям. Сохраните чек, переписку, ссылку и фотографию кода, затем обратитесь в полицию.
Можно ли пересылать QR-код из банковского приложения?
Нельзя пересылать коды для снятия наличных, входа, подтверждения операции или иного распоряжения деньгами. Такой код может работать как одноразовый ключ. Обычный код для получения платежа тоже следует отправлять только тем людям, от которых вы ожидаете перевод.