QR-код с подвохом: как работает квишинг и как проверить код до сканирования
Коротко. QR-код — это просто ссылка, закодированная в квадратиках. Вы не видите, куда она ведёт, пока не откроете. Квишинг использует это: поддельный код ведёт на копию сайта, на страницу оплаты или привязывает ваш аккаунт к чужому устройству. Главное правило — не сканировать коды из неожиданных сообщений и всегда проверять адрес, который открылся, до ввода данных.
Почему QR-код удобен мошенникам
В обычной ссылке видно домен. В QR-коде — только картинка. Сканирующий доверяет контексту: код на стойке, в меню, в письме «от банка».
Злоумышленник может наклеить свою наклейку поверх настоящего кода, подменить изображение в рассылке или прислать картинку в мессенджере. Внешне всё выглядит нормально.
Есть и второй слой: даже увидев адрес в предпросмотре, человек редко его читает. Ссылка выглядит длинной и незнакомой, и её пропускают.
Схемы, которые встречаются чаще
- Поддельная оплата. Код ведёт на страницу, где просят ввести данные карты. Настоящая оплата по QR обычно проходит внутри банковского приложения и не требует ввода реквизитов на сайте.
- Копия страницы входа. QR открывает сайт, похожий на почту или госуслуги, и просит пароль.
- Привязка устройства. Код в мессенджере «для входа на новом устройстве» привязывает ваш аккаунт к чужому телефону.
- Установка приложения. Код ведёт на APK-файл или страницу с «обновлением», которого не существует.
- «Код из письма». Вам присылают QR вместо кнопки — чтобы обойти фильтры почты, которые проверяют ссылки.
Третий пункт CISA описывает отдельно: в ноябре 2025 года агентство предупредило, что злоумышленники используют вредоносные QR-коды привязки устройств для захвата аккаунтов в мессенджерах.
Что проверить перед сканированием
- Источник. Код пришёл в сообщении от незнакомого или неожиданно от знакомого? Не сканируйте.
- Контекст. Наклейка на столбе, поверх другой наклейки, наклеена криво — повод насторожиться.
- Обещание. «Сканируй, чтобы получить выплату» — почти всегда мошенничество.
- Альтернатива. Если речь о платеже или штрафе, проверьте операцию в официальном приложении.
Отдельно проверьте, нет ли поверх кода плёнки или стикера с другим кодом. Если есть — не сканируйте.
Что делать сразу после сканирования
Камера обычно показывает предпросмотр адреса. Прочитайте его до перехода.
Если адрес не совпадает с ожидаемым — закройте. Если открылась страница с просьбой войти, оплатить или установить приложение — остановитесь и закройте её.
Не вводите пароль и не подтверждайте привязку устройства, если вы не инициировали это сами.
Если вы ввели данные
- Смените пароль аккаунта с другого устройства.
- Завершите все сеансы.
- Включите двухфакторную защиту.
- Если вводили карту — позвоните в банк по номеру с обратной стороны карты.
- Если привязали устройство в мессенджере — удалите его из списка активных устройств.
- Проверьте, не появились ли новые способы восстановления аккаунта.
Чем быстрее это сделать, тем меньше шансов, что доступ закрепят.
Если привязался чужой аккаунт
В мессенджерах привязка нового устройства обычно видна в настройках. Если вы видите незнакомое устройство:
- отвяжите его;
- смените пароль;
- завершите все сеансы;
- проверьте, не включена ли пересылка сообщений;
- предупредите контакты, что от вашего имени могли писать.
В некоторых мессенджерах после привязки злоумышленник может запросить код подтверждения, и вы получите его сами, ничего не подозревая.
Как оплачивать по QR безопасно
- Сканируйте код только внутри банковского приложения, а не камерой.
- Перед подтверждением проверьте получателя: имя, а не только сумму.
- Не вводите данные карты на странице, открывшейся по QR.
- Для постоянных платежей используйте сохранённые шаблоны.
Если после сканирования открылся сайт с формой оплаты, а не приложение банка, — это повод остановиться.
Где ещё встречаются поддельные коды
- на парковках и остановках;
- в меню кафе, особенно в туристических местах;
- в письмах о доставке и штрафах;
- в объявлениях о продаже;
- в квитанциях на оплату услуг.
В каждом случае работает одно правило: платёж — только через проверенное приложение.
Как вести себя в общественных местах
В кафе, на парковке и на вокзале код висит на видном месте, и соблазн отсканировать его велик. Проверяйте, не наклеен ли он поверх другого: край плёнки, неровные углы, следы клея — достаточные причины отказаться.
Если код ведёт на страницу оплаты, а не открывает приложение банка, закройте её. Настоящая оплата по QR обычно подтверждается внутри банковского приложения, где вы видите получателя.
Короткий итог
QR-код — удобный формат, который скрывает адрес. Это и есть его уязвимость. Проверяйте источник кода, читайте адрес в предпросмотре и никогда не вводите пароль на странице, открытой по картинке из сообщения. Этого достаточно, чтобы квишинг не сработал.
Почему предпросмотр не гарантирует безопасность
Ссылка в предпросмотре может выглядеть безобидно, а после открытия перенаправить на другой адрес. Поэтому даже прочитанный домен — не полная защита.
Надёжнее исходить из контекста: если вы не ждали этот код, не сканируйте его, каким бы аккуратным он ни казался и как бы правдоподобно ни выглядела наклейка.
FAQ
Можно ли понять, куда ведёт код, не сканируя?
Только если у вас есть декодер. Обычная камера показывает адрес после наведения — проверяйте его до нажатия.
Опасен ли QR-код сам по себе?
Нет, он не запускается. Опасен переход по адресу и действия, которые вы там совершите.
Что делать, если код наклеен поверх другого?
Не сканировать и сообщить владельцу заведения или объекта.
Может ли QR-код установить вирус без моего участия?
Нет. Для установки нужно подтверждение и разрешение на установку из неизвестного источника.
Как проверить, не привязан ли чужой телефон к мессенджеру?
Откройте настройки устройств в приложении и сверьте список. Лишнее — отвязать.
Если я просто посмотрел на код?
Ничего не произойдёт: опасность начинается со сканирования и перехода.