В чем может быть опасность поддельных QR-кодов

В чем может быть опасность поддельных QR-кодов: как работает квишинг, схемы обмана с квитанциями и паркоматами и рабочие способы защиты от QR-мошенничества.

В чём опасность поддельных QR-кодов и как их распознать

QR-код давно перестал быть просто способом быстро открыть меню в кафе — сегодня через него оплачивают парковку, коммунальные услуги, аренду самоката и даже подают заявки на работу. Но именно эта вездесущность сделала QR-коды удобным инструментом для мошенников: киберпреступники освоили отдельный вид атак — квишинг (от англ. QR + phishing), и, по оценкам исследователей, распознать поддельный QR-код людям удаётся значительно хуже, чем подозрительную ссылку в обычном текстовом виде.

Почему QR-коды — идеальный инструмент для обмана

Главная проблема в том, что QR-код визуально не выдаёт, куда именно он ведёт, — в отличие от текстовой ссылки, которую человек может прочитать и заподозрить неладное по странному домену или явным опечаткам. Исследования показывают: около 70% людей считают, что способны распознать вредоносный адрес по его привычному текстовому виду, но лишь 35% уверены, что смогут отличить вредоносный QR-код от настоящего по его точечному узору. Разница почти вдвое — и именно этим активно пользуются мошенники: к 2025 году мировые расходы с использованием QR-кодов превысили 5,3 триллиона долларов, а вместе с популярностью технологии стремительно растёт и число атак через неё.

Что такое квишинг

Квишинг (quishing) — разновидность фишинга, при которой вредоносная ссылка прячется не в тексте письма или сообщения, а зашифрована в самом QR-коде. Отсканировав такой код, пользователь попадает на поддельную страницу, внешне неотличимую от настоящего сайта банка, государственного портала или популярного маркетплейса, и, ничего не подозревая, вводит там свои логин, пароль или данные банковской карты.

Более продвинутая схема — так называемый квишинг 2.0 — устроена ещё хитрее: сам QR-код при первом сканировании действительно ведёт на легитимный, настоящий сервис, а уже оттуда пользователя незаметно перенаправляют на фишинговую страницу, замаскированную под тот же доверенный ресурс. Такая многослойная схема обходит большинство автоматических систем безопасности, поскольку формально «чистый» QR-код не вызывает подозрений при первичной проверке.

Квишинг сегодня используют не только для кражи паролей, но и для установки вредоносного программного обеспечения, похищения токенов многофакторной аутентификации, а также для обхода систем безопасности официальных магазинов приложений — путём прямой загрузки вредоносных программ, замаскированных под официальные.

Реальные схемы обмана

За последние пару лет мошенники успели адаптировать квишинг под самые разные бытовые ситуации:

• Поддельные квитанции за коммунальные услуги. Мошенники изготавливают аккуратные фальшивые квитанции с QR-кодом для оплаты — не сверяя реквизиты получателя, люди оплачивают «долг» не организации, а напрямую мошеннику; иногда поддельный сайт дополнительно устанавливает на устройство вредоносное приложение.
• Паркоматы. Злоумышленники физически заклеивают настоящий QR-код на паркомате собственной наклейкой — спешащие водители сканируют подложный код и «оплачивают» парковку прямо на счёт мошенника.
• Кикшеринг. Зафиксированы массовые случаи подмены QR-кодов на прокатных самокатах и велосипедах — вместо настоящего приложения аренды пользователь попадает на поддельный сайт.
• Поддельные вакансии. Мошенники рассылают фальшивые предложения о работе по электронной почте или в социальных сетях с QR-кодом якобы для подачи заявления на трудоустройство.
• Меню в кафе и ресторанах. Удобные QR-коды на столиках — привычная и потому не вызывающая подозрений цель для подмены: заменить наклейку с кодом на собственную способен кто угодно.

Показательна и региональная статистика: по данным опроса Банка России, число атак с использованием поддельных QR-кодов в России в 2025–2026 годах выросло в 1,6 раза, а в Сибири — в 1,4 раза, что подтверждает: это не единичные случаи, а устойчивый и растущий тренд мошенничества.

Отдельный риск: сторонние приложения-сканеры

Дополнительную опасность создают сторонние приложения для сканирования QR-кодов, которые пользователи Android иногда скачивают вместо использования встроенной камеры смартфона. Такие приложения от непроверенных разработчиков сами способны оказаться вредоносными — то есть риск возникает ещё до того, как пользователь вообще отсканирует какой-либо конкретный код.

Как защититься

• Проверяйте QR-код на признаки подмены. Если код физически наклеен поверх другого изображения (особенно на паркоматах, в общественных местах, на столиках в кафе), присмотритесь — не наклейка ли это поверх оригинального кода.
• Смотрите на предпросмотр ссылки перед переходом. Большинство современных камер смартфонов показывают полный адрес сайта до того, как вы откроете страницу, — проверяйте его на предмет странных доменов, опечаток или несоответствия ожидаемому сервису.
• Не скачивайте отдельные приложения-сканеры QR-кодов. Используйте встроенную камеру телефона — этого достаточно для считывания практически любого QR-кода.
• Всегда сверяйте реквизиты получателя при оплате через QR-код — особенно если речь идёт о квитанциях, присланных по почте или обнаруженных на неофициальных стендах.
• Относитесь с подозрением к QR-кодам из непрошеных писем и сообщений — особенно если они связаны с «срочной» оплатой, вакансиями или неожиданными предложениями.
• Используйте актуальное защитное программное обеспечение на устройстве — часть современных решений способна распознавать вредоносные ссылки даже после сканирования QR-кода, до фактического перехода на опасный сайт.

Главное

QR-коды сами по себе — нейтральная технология, но именно их непрозрачность для человеческого глаза сделала их удобным инструментом мошенничества: пользователи гораздо хуже распознают опасность, зашифрованную в точечном узоре, чем ту же угрозу в виде обычной текстовой ссылки. Многослойные схемы вроде квишинга 2.0 лишь усугубляют ситуацию, обходя автоматические системы защиты. Привычка проверять QR-коды на признаки физической подмены, обращать внимание на предпросмотр ссылки перед переходом и не пренебрегать сверкой реквизитов при оплате — простые действия, которые закрывают большинство описанных рисков.

Предыдущая запись —
Следующая запись —