Шахрайство з QR-кодами: як розпізнати фальшивий код і що робити

Шахрайство з QR-кодами працює так: код веде вас на фальшиву сторінку, яка просить оплату, пароль або встановлення застосунку. Перш ніж довіряти будь-якому коду, подивіться на адресу, яку телефон показує до відкриття, і ніколи не вводьте дані картки чи паролі на сторінці, куди ви потрапили, відсканувавши код, якого не чекали.

QR-коди тепер усюди: на паркоматах, столиках у кафе, повідомленнях про посилки, плакатах і вхідних дверях. Саме тому їх так люблять шахраї. У цьому посібнику пояснюємо, як зазвичай працюють ці схеми, даємо швидку перевірку на кілька секунд, розповідаємо, що робити, якщо ви вже відсканували небезпечний код, і показуємо, як захистити код, який ви розміщуєте самі.

Як працює шахрайство з QR-кодами

QR-код — це просто посилання, надруковане у вигляді візерунка з квадратиків. Прочитати його очима неможливо, тож ви не знаєте, куди він веде, доки телефон його не розпізнає. Шахраї користуються саме цією сліпою зоною. Таку практику часто називають «квішинг» — від QR і фішингу.

Сам код нешкідливий. Небезпека — у сторінці, яку він відкриває. Зазвичай ця сторінка намагається отримати від вас одне з трьох:

• Гроші: фальшива сторінка оплати паркування, проїзду, доставки або штрафу.
• Ваші дані для входу: копія сторінки входу вашого банку, пошти чи служби доставки, яка зберігає все, що ви вводите.
• Встановлення: пропозиція завантажити застосунок або файл не з офіційного магазину застосунків.

Надрукований код майже нічого не коштує, а наліпку можна приклеїти поверх справжньої за лічені секунди. Тому найпоширеніші схеми трапляються в громадських місцях, де ніхто не перевіряє, хто приклеїв наліпку.

Поширені схеми шахрайства з QR-кодами

Деталі змінюються, але більшість випадків повторює кілька знайомих сценаріїв:

• Наліпка поверх справжнього коду. Фальшивий код приклеюють поверх оригінального на паркоматі, зарядній станції для електромобілів, станції прокату велосипедів чи самокатів або на столику в кафе.
• Фальшиві повідомлення про паркування чи штраф. Записка під двірником повідомляє, що ви маєте сплатити збір, і зробити це треба негайно, відсканувавши код.
• Повідомлення про посилки й доставку. Листівка в поштовій скриньці чи лист повідомляє, що на вас чекає посилка, і просить невелику оплату або ваші дані.
• Листи й повідомлення з кодом. Замість посилання в повідомленні QR-код, щоб ви сканували його телефоном, подалі від захисту вашого комп'ютера.
• Коди, які щось обіцяють. Плакати чи листівки з призами, знижками або безкоштовним Wi-Fi, які спершу просять увійти в обліковий запис.

Спільне в них одне — тиск. Справжня компанія з паркування чи кур'єрська служба рідко вимагає, щоб ви заплатили за кілька хвилин через код, приклеєний до стовпа.

Як перевірити QR-код, перш ніж йому довіряти

Спеціальні програми не потрібні. Камери більшості телефонів показують адресу в невеликій підказці, перш ніж її відкрити, і цей попередній перегляд — ваш найкращий інструмент. Якщо не знаєте, як це робить ваш телефон, наш посібник про те, як відсканувати QR-код на Android та iPhone, усе пояснює крок за кроком.

1. Огляньте сам код. Проведіть по ньому пальцем. Наліпка з піднятими краями, другий шар або код, що виглядає новішим за табличку навколо, — тривожний знак.
2. Прочитайте адресу, перш ніж натиснути. Перевірте домен: частину безпосередньо перед першою одинарною скісною рискою. Це має бути саме та компанія, на яку ви чекаєте, написана правильно, а не підробка із зайвими словами чи переставленими літерами.
3. Остерігайтеся скорочених посилань. Скорочена адреса приховує справжнє місце призначення. Якщо код для оплати, це привід зупинитися.
4. Подумайте, чого хоче сторінка. Меню чи розклад мають просто відкритися. Сторінка, яка просить номер картки, пароль або встановити застосунок, заслуговує на другий погляд.
5. Скористайтеся офіційним шляхом. Якщо код просить вас заплатити, відкрийте власний застосунок компанії або самі введіть адресу її сайту. Ви втратите хвилину, але приберете ризик.
6. Довіряйте контексту. Код, якого ви не чекали, у повідомленні, якого ви не просили, ще й із жорстким терміном — класична ознака шахрайства.

Що робити, якщо ви відсканували фальшивий QR-код

Саме сканування коду рідко шкодить. Важливо, що ви робили на сторінці потім. Дійте залежно від того, що сталося:

• Ви лише відкрили сторінку. Закрийте її. Зазвичай досить закрити цю вкладку.
• Ви ввели пароль. Негайно змініть його на справжньому сайті та в будь-якому іншому обліковому записі, де використовували той самий. Увімкніть двофакторну автентифікацію, якщо вона доступна.
• Ви ввели дані картки або заплатили. Зателефонуйте в банк за номером на звороті картки й попросіть заблокувати картку та перевірити платіж.
• Ви щось встановили. Видаліть це й перевірте в налаштуваннях телефона, чи немає застосунків, яких ви не впізнаєте.
• Код був на табличці в громадському місці. Повідомте власника паркомата, магазину чи зарядної станції, щоб код прибрали, а якщо ви втратили гроші, зверніться до поліції або кіберполіції.

Як захистити QR-код на власних дверях

Дедалі більше людей клеять QR-код на свої двері, хвіртку чи прилавок: для меню, оплати, Wi-Fi або дзвінка. Той самий трюк із наліпкою можуть застосувати й проти вас, тож допоможуть кілька звичок:

1. Розмістіть його там, де ви його бачите. Наліпіть його на рівні очей, в одвірку чи за склом, де чужа людина не зможе непомітно його закрити.
2. Час від часу поглядайте на нього. Коли повертаєтеся додому, киньте погляд на код. Якщо він виглядає інакше, має другий шар або змістився, відскануйте його самі.
3. Захистіть його від негоди. Вицвілий чи облізлий код — запрошення його замінити. Заклейте його прозорим скотчем або вставте в прозорий чохол. Якщо він уже погано сканується, перегляньте наші 10 способів виправити надрукований QR-код, який не сканується.
4. Ніколи не використовуйте його для оплат, які ви не контролюєте. Код на дверях має починати розмову, а не просити гроші у ваших гостей.

QR-дзвінок на кшталт Qoorbell дотримується цього останнього правила за самим задумом. Відвідувач сканує код камерою телефона, відкривається вебсторінка без застосунку й облікового запису, і він може подзвонити вам відеодзвінком або написати в чат. Ніщо на цій сторінці не просить у відвідувача гроші чи пароль. Він бачить лише назву вашого дзвінка, а не ваш номер телефону, електронну пошту чи інші особисті дані, тож код не розкриває й вас.

Назва дзвінка — ще й швидка перевірка для відвідувачів: якщо вони сканують код на ваших дверях і бачать не вашу назву, щось не так. А якщо код колись пошкодять чи зірвуть, ви можете безкоштовно надрукувати нову копію зі свого облікового запису, бо жодного пристрою міняти не треба.

Що варто пам'ятати

Жоден список перевірок не дає повного захисту. Добре зроблена фальшива сторінка може виглядати точнісінько як справжня, тож найбезпечніша звичка проста: не платіть і не входьте в обліковий запис на сторінці, куди потрапили через код, якого не чекали.

QR-дзвінок не завадить комусь приклеїти фальшивий код на ваші двері; він лише допомагає це помітити. Qoorbell — не охоронна система і не камера, що стежить за вашими дверима. Якщо хочете зробити безпечнішим увесь вхід, наші недорогі поради з безпеки житла розповідають про замки, освітлення та звички, які важать більше за будь-який код.

І насамкінець: це загальні поради з безпеки, а не юридична чи фінансова консультація. Якщо ви втратили гроші, телефонуйте у свій банк і в поліцію.

Часті запитання

Чи можна зламати телефон, просто відсканувавши QR-код?

Саме сканування дуже рідко щось робить. Ризик — у тому, що ви робите далі: вводите пароль, платите або встановлюєте застосунок зі сторінки, що відкрилася.

Як зрозуміти, що QR-код фальшивий?

Шукайте наліпку поверх іншого коду, читайте адресу, яку показує телефон, перш ніж її відкрити, і остерігайтеся будь-якої сторінки, що квапить вас заплатити чи увійти.

Чи безпечні QR-коди на паркоматах?

Багато з них справжні, але паркомати — часта ціль для наліпок. Якщо сумніваєтеся, платіть в офіційному застосунку чи на сайті оператора паркування, а не через код.

Чи можуть приклеїти фальшивий код поверх мого QR-дзвінка?

Можуть, тому варто розмістити код там, де ви бачите його щодня, і час від часу перевіряти. Відвідувачі, які сканують ваш код Qoorbell, бачать назву вашого дзвінка, тож інша назва — простий знак, що щось не так.

Скануйте безпечно щоразу

QR-коди корисні, і більшість із них — саме те, чим здаються. Кількох секунд, щоб перевірити наліпку, адресу й те, що просить сторінка, досить, щоб уникнути більшості шахрайських схем. Якщо хочете мати на дверях код, який з'єднує відвідувачів лише з вами й не показує ваш номер, створіть свій безкоштовний дзвінок Qoorbell.