Коротко
QR-код — це просто посилання, яке не можна прочитати. Шахраї наклеюють фальшиві коди поверх справжніх — FTC згадує паркомати — або надсилають їх поштою, в SMS чи паперовим листом під приводом невдалої доставки, проблеми з акаунтом чи обов’язкової зміни пароля. Код відкриває схожу на справжню сторінку входу чи оплати або завантаження. Перед відкриттям перевірте вебадресу, яку показує камера; не скануйте кодів із неочікуваних повідомлень і платіть через офіційний застосунок чи сайт. Якщо ви ввели пароль, змініть його з чистого пристрою і вийдіть з інших сеансів; якщо ввели дані картки, зателефонуйте в банк.
Де з’являються фальшиві QR-коди
- Наліпки поверх справжнього коду на паркоматах, зарядних станціях, столиках у ресторанах чи постерах.
- Листи про те, що акаунт заблокують, якщо ви не «підтвердите» його скануванням: поштовим фільтрам код перевірити важче, ніж посилання, і він переводить вас на телефон.
- SMS і паперові листи про посилку, штраф чи повернення грошей.
- Фальшиві повідомлення «підтримки» в соцмережах із проханням відсканувати код, щоб підтвердити чи розблокувати акаунт.
Перевірте код до відкриття
- Прочитайте попередній перегляд вебадреси до натискання. Шукайте помилки чи переставлені літери, що імітують знайомий сайт, — перша порада FTC.
- На паркоматі чи постері шукайте наліпку поверх оригінального коду чи інші сліди втручання.
- Не скануйте коду з неочікуваного листа чи SMS, особливо якщо вас квапить. Зв’яжіться з компанією через сайт чи номер, у справжності яких упевнені.
- Для оплати чи входу віддавайте перевагу офіційному застосунку або вводьте адресу самі.
- Ніколи не вводьте пароль чи код двоетапної перевірки на сторінці, куди вас привів неочікуваний код.
Якщо ви вже відсканували код
| Що сталося | Що зробити зараз |
|---|---|
| Ви лише відкрили сторінку | Закрийте її, нічого не вводячи, й оновлюйте ПЗ телефону |
| Ви ввели пароль | Змініть його з чистого пристрою (спершу пошту), вийдіть з інших сеансів і ввімкніть 2FA |
| Ви ввели дані картки чи банку | Зателефонуйте в банк за номером на картці; заблокуйте картку й оскаржте платіж |
| Ви встановили застосунок чи файл | Видаліть його, оновіть і перевірте телефон, потім змініть паролі з іншого пристрою |
| Ви повідомили код підтвердження | Вважайте, що акаунт захоплено, і скористайтеся офіційним шляхом відновлення платформи |
Захистіть телефон і акаунти
- Оновлюйте операційну систему телефону, як радить FTC.
- Використовуйте надійні паролі й багатофакторну автентифікацію — в ідеалі ключ доступу, який не можна ввести на фальшивій сторінці.
- Менеджер паролів не підставить даних на сайті-двійнику — це саме по собі тривожний знак.
- Після будь-якої помилки перевірте, де виконано вхід: пристрої з входом.
Повідомте про шахрайство
Повідомте власника паркомата, паркування чи магазину про фальшиву наліпку й поскаржтеся на повідомлення поштовому провайдеру чи до національної служби — див. як повідомити про фішинг. У США повідомляйте про шахрайство на ReportFraud.ftc.gov; для інших країн див. куди повідомляти про онлайн-шахрайство.
Поширені запитання
Чи може сканування QR-коду зламати телефон?
Сканування лише зчитує посилання. Небезпечне те, що далі: введення даних на фальшивій сторінці чи встановлення чогось. FTC також попереджає, що код може вести на шкідливу програму, тож оновлюйте телефон і не встановлюйте застосунків за посиланнями.
Як зрозуміти, що QR-код фальшивий?
Перевірте попередній перегляд вебадреси перед відкриттям, шукайте наліпки поверх оригінального коду й насторожуйтеся щодо кодів у неочікуваних листах чи SMS, які квапить діяти.
Що таке квішинг?
Фішинг через QR-код: QR-код замість клікабельного посилання, щоб відправити людей на фальшиву сторінку входу чи оплати.
Я оплатив паркування через фальшивий QR-код. Що тепер?
Одразу зателефонуйте в банк чи емітенту картки, щоб заблокувати картку й оскаржити платіж, потім повідомте про код оператора паркування й поліцію чи службу з протидії шахрайству.
Джерела: FTC — шахраї ховають шкідливі посилання в QR-кодах, FTC — як розпізнати й уникнути фішингу, NCSC — повідомити про шахрайські листи, SMS і сайти, FTC — ReportFraud.ftc.gov