Коротко
QR-код — это просто ссылка, которую нельзя прочитать. Мошенники наклеивают фальшивые коды поверх настоящих — FTC упоминает паркоматы — или присылают их по почте, в SMS или бумажным письмом под предлогом неудачной доставки, проблемы с аккаунтом или обязательной смены пароля. Код открывает похожую на настоящую страницу входа или оплаты или загрузку. Перед открытием проверьте веб-адрес, который показывает камера; не сканируйте коды из неожиданных сообщений и платите через официальное приложение или сайт. Если вы ввели пароль, смените его с чистого устройства и выйдите из других сеансов; если ввели данные карты, позвоните в банк.
Где появляются фальшивые QR-коды
- Наклейки поверх настоящего кода на паркоматах, зарядных станциях, столиках в ресторанах или постерах.
- Письма о том, что аккаунт заблокируют, если вы не «подтвердите» его сканированием: почтовым фильтрам код проверить труднее, чем ссылку, и он переводит вас на телефон.
- SMS и бумажные письма о посылке, штрафе или возврате денег.
- Фальшивые сообщения «поддержки» в соцсетях с просьбой отсканировать код, чтобы подтвердить или разблокировать аккаунт.
Проверьте код до открытия
- Прочитайте предпросмотр веб-адреса до нажатия. Ищите опечатки или переставленные буквы, имитирующие знакомый сайт, — первый совет FTC.
- На паркомате или постере ищите наклейку поверх оригинального кода или другие следы вмешательства.
- Не сканируйте код из неожиданного письма или SMS, особенно если вас торопят. Свяжитесь с компанией через сайт или номер, в подлинности которых уверены.
- Для оплаты или входа предпочитайте официальное приложение или вводите адрес сами.
- Никогда не вводите пароль или код двухэтапной проверки на странице, куда вас привёл неожиданный код.
Если вы уже отсканировали код
| Что произошло | Что сделать сейчас |
|---|---|
| Вы только открыли страницу | Закройте её, ничего не вводя, и обновляйте ПО телефона |
| Вы ввели пароль | Смените его с чистого устройства (сначала почту), выйдите из других сеансов и включите 2FA |
| Вы ввели данные карты или банка | Позвоните в банк по номеру на карте; заблокируйте карту и оспорьте платёж |
| Вы установили приложение или файл | Удалите его, обновите и проверьте телефон, затем смените пароли с другого устройства |
| Вы сообщили код подтверждения | Считайте, что аккаунт захвачен, и используйте официальный путь восстановления платформы |
Защитите телефон и аккаунты
- Обновляйте операционную систему телефона, как советует FTC.
- Используйте надёжные пароли и многофакторную аутентификацию — в идеале ключ доступа, который нельзя ввести на фальшивой странице.
- Менеджер паролей не подставит данные на сайте-двойнике — это само по себе тревожный знак.
- После любой оплошности проверьте, где выполнен вход: устройства с входом.
Сообщите о мошенничестве
Сообщите владельцу паркомата, парковки или магазина о фальшивой наклейке и пожалуйтесь на сообщение почтовому провайдеру или в национальную службу — см. как сообщить о фишинге. В США сообщайте о мошенничестве на ReportFraud.ftc.gov; для других стран см. куда сообщать об онлайн-мошенничестве.
Часто задаваемые вопросы
Может ли сканирование QR-кода взломать телефон?
Сканирование только считывает ссылку. Опасно то, что дальше: ввод данных на фальшивой странице или установка чего-либо. FTC также предупреждает, что код может вести на вредоносную программу, поэтому обновляйте телефон и не устанавливайте приложения по ссылкам.
Как понять, что QR-код фальшивый?
Проверьте предпросмотр веб-адреса перед открытием, ищите наклейки поверх оригинального кода и настораживайтесь при кодах в неожиданных письмах или SMS, которые торопят действовать.
Что такое квишинг?
Фишинг через QR-код: QR-код вместо кликабельной ссылки, чтобы отправить людей на фальшивую страницу входа или оплаты.
Я оплатил парковку через фальшивый QR-код. Что теперь?
Сразу позвоните в банк или эмитенту карты, чтобы заблокировать карту и оспорить платёж, затем сообщите о коде оператору парковки и в полицию или службу по мошенничеству.
Источники: FTC — мошенники прячут вредоносные ссылки в QR-кодах, FTC — как распознать и избежать фишинга, NCSC — сообщить о мошеннических письмах, SMS и сайтах, FTC — ReportFraud.ftc.gov