Мошенничество с QR-кодами: как распознать поддельный код

Мошенничество с QR-кодами устроено просто: код ведёт на поддельную страницу, где у вас просят оплату, пароль или установку приложения. Прежде чем доверять любому коду, посмотрите на адрес, который телефон показывает до открытия, и никогда не вводите данные карты или пароли на странице, куда вы попали, отсканировав код, которого не ожидали.

QR-коды сейчас повсюду: на паркоматах, столиках в кафе, извещениях о посылках, афишах и входных дверях. Именно поэтому их так любят мошенники. В этом руководстве — как обычно устроены уловки, быстрая проверка на несколько секунд, что делать, если вы уже отсканировали опасный код, и как защитить код, который вы повесили сами.

Как работает мошенничество с QR-кодами

QR-код — это просто ссылка, напечатанная в виде узора из квадратиков. Прочитать его глазами нельзя, поэтому вы не знаете, куда он ведёт, пока телефон его не расшифрует. Мошенники пользуются именно этой слепой зоной. Такую схему часто называют «квишинг» — от QR и фишинга.

Сам код безвреден. Опасность — в странице, которую он открывает. Обычно эта страница пытается получить от вас одно из трёх:

• Деньги: поддельная страница оплаты парковки, платной дороги, доставки или штрафа.
• Ваши данные для входа: копия страницы входа в банк, почту, на Госуслуги или в службу доставки, которая сохраняет всё, что вы вводите.
• Установку: предложение скачать приложение или файл не из официального магазина приложений.

Напечатать код почти ничего не стоит, а наклейку поверх настоящего можно прилепить за секунды. Поэтому самые частые уловки случаются в общественных местах, где никто не проверяет, кто наклеил стикер.

Частые схемы мошенничества с QR-кодами

Детали меняются, но большинство случаев следуют нескольким знакомым сценариям:

• Наклейка поверх настоящего кода. Поддельный код клеят поверх оригинального на паркомате, зарядной станции для электромобилей, стойке проката велосипедов или самокатов или на столике в кафе.
• Фальшивые уведомления о парковке или штрафе. Записка под дворником сообщает, что вы должны оплатить сбор, причём прямо сейчас, отсканировав код.
• Извещения о посылках и доставке. Карточка в почтовом ящике или письмо сообщают, что вас ждёт посылка, и просят небольшую оплату или ваши данные.
• Письма и сообщения с кодом. Вместо ссылки в сообщении QR-код, чтобы вы отсканировали его телефоном, подальше от защиты компьютера.
• Коды, которые что-то обещают. Афиши или листовки с призами, скидками или бесплатным Wi-Fi, которые сначала просят войти в аккаунт.

Общее у них одно — давление. Настоящей парковочной компании или курьерской службе редко нужно, чтобы вы заплатили за несколько минут через код, приклеенный к столбу.

Как проверить QR-код, прежде чем ему доверять

Специальные программы не нужны. Камеры большинства телефонов показывают адрес в маленькой плашке перед открытием, и этот предпросмотр — ваш лучший инструмент. Если не знаете, как это делает ваш телефон, в нашем руководстве о том, как отсканировать QR-код на Android и iPhone, всё разобрано по шагам.

1. Осмотрите сам код. Проведите по нему пальцем. Наклейка с приподнятыми краями, второй слой или код, который выглядит новее таблички вокруг, — тревожный знак.
2. Прочитайте адрес, прежде чем нажать. Проверьте домен: часть прямо перед первой одиночной косой чертой. Это должна быть именно та компания, которую вы ожидаете, написанная правильно, а не подделка с лишними словами или переставленными буквами.
3. Остерегайтесь коротких ссылок. Сокращённый адрес скрывает настоящий пункт назначения. Если код предназначен для оплаты, это повод остановиться.
4. Подумайте, чего хочет страница. Меню или расписание должны просто открыться. Страница, которая просит номер карты, пароль или установить приложение, заслуживает второго взгляда.
5. Идите официальным путём. Если код просит заплатить, откройте собственное приложение компании или сами введите адрес её сайта. Вы потеряете минуту, зато уберёте риск.
6. Доверяйте контексту. Код, которого вы не ждали, в сообщении, которое вы не запрашивали, да ещё и с жёстким сроком — классическая форма мошенничества.

Что делать, если вы отсканировали поддельный QR-код

Само по себе сканирование кода редко вредит. Важно, что вы сделали на странице потом. Действуйте по ситуации:

• Вы только открыли страницу. Закройте её. Обычно достаточно закрыть эту вкладку.
• Вы ввели пароль. Сразу смените его на настоящем сайте и во всех других аккаунтах, где использовали тот же пароль. Включите двухфакторную аутентификацию, если она доступна.
• Вы ввели данные карты или заплатили. Позвоните в банк по номеру на обороте карты и попросите заблокировать карту и проверить списание.
• Вы что-то установили. Удалите это и проверьте в настройках телефона, нет ли приложений, которых вы не узнаёте.
• Код был на табличке в общественном месте. Сообщите владельцу паркомата, магазина или зарядной станции, чтобы код убрали, а если вы потеряли деньги, обратитесь в полицию.

Как защитить QR-код на своей двери

Всё больше людей клеят QR-код на дверь, калитку или прилавок: для меню, оплаты, Wi-Fi или дверного звонка. Тот же трюк с наклейкой могут провернуть и с вами, поэтому помогут несколько привычек:

1. Разместите его на виду. Повесьте его на уровне глаз, в дверном проёме или за стеклом, где посторонний не сможет незаметно его закрыть.
2. Время от времени смотрите на него. Возвращаясь домой, бросьте взгляд на код. Если он выглядит иначе, у него появился второй слой или он сдвинулся, отсканируйте его сами.
3. Защитите его от непогоды. Выцветший или отклеивающийся код так и просит его заменить. Заклейте его прозрачным скотчем или уберите в прозрачный чехол. Если он уже плохо сканируется, посмотрите наши 10 способов исправить напечатанный QR-код, который не сканируется.
4. Никогда не используйте его для платежей, которые вы не контролируете. Код на двери должен начинать разговор, а не просить деньги у ваших гостей.

QR-звонок вроде Qoorbell соблюдает это последнее правило по самой своей задумке. Посетитель сканирует код камерой телефона, открывается веб-страница без приложения и без аккаунта, и он может позвонить вам по видео или написать в чат. Ничто на этой странице не просит у посетителя денег или пароля. Он видит только название вашего звонка, но не ваш номер телефона, электронную почту или другие личные данные, так что код не раскрывает и вас.

Название звонка — это ещё и быстрая проверка для посетителей: если они сканируют код на вашей двери и видят не ваше название, что-то не так. А если код когда-нибудь повредят или сорвут, вы можете бесплатно напечатать новую копию из своего аккаунта, потому что никакое устройство менять не нужно.

Что стоит помнить

Никакой список проверок не даёт полной защиты. Хорошо сделанная поддельная страница может выглядеть точь-в-точь как настоящая, поэтому самая безопасная привычка проста: не платите и не входите в аккаунт на странице, куда попали через код, которого не ожидали.

QR-звонок не помешает кому-то наклеить поддельный код на вашу дверь; он лишь помогает это заметить. Qoorbell — не охранная система и не камера, которая следит за вашей дверью. Если хотите сделать безопаснее весь вход, наши недорогие советы по безопасности дома рассказывают о замках, освещении и привычках, которые важнее любого кода.

И наконец: это общие советы по безопасности, а не юридическая или финансовая консультация. Если вы потеряли деньги, звонить нужно в свой банк и в полицию.

Частые вопросы

Можно ли взломать телефон через QR-код?

Само сканирование очень редко к чему-то приводит. Риск — в том, что вы делаете дальше: вводите пароль, платите или устанавливаете приложение со страницы, которая открылась.

Как понять, что QR-код поддельный?

Ищите наклейку поверх другого кода, читайте адрес, который показывает телефон, прежде чем его открыть, и остерегайтесь любой страницы, которая торопит вас заплатить или войти.

Безопасны ли QR-коды на паркоматах?

Многие из них настоящие, но паркоматы — частая цель для наклеек. Если сомневаетесь, платите через официальное приложение или сайт оператора парковки, а не через код.

Могут ли наклеить поддельный код поверх моего QR-звонка?

Могут, поэтому код лучше разместить там, где вы видите его каждый день, и время от времени проверять. Посетители, которые сканируют ваш код Qoorbell, видят название вашего звонка, так что другое название — простой признак, что что-то не так.

Сканируйте без опаски

QR-коды полезны, и большинство из них — именно то, чем кажутся. Нескольких секунд, чтобы проверить наклейку, адрес и то, что просит страница, хватает, чтобы избежать большинства мошеннических схем. Если вам нужен на двери код, который связывает посетителей только с вами и не показывает ваш номер, создайте свой бесплатный звонок Qoorbell.