QR-фишинг: как мошенники крадут деньги через код

QR-код стал привычным способом оплаты: им расплачиваются за парковку, кофе, коммунальные квитанции и доставку. Именно эта привычка и играет на руку мошенникам — поддельный код почти неотличим от настоящего, а переход по нему занимает секунды. Квишинг устроен просто: жертва сама сканирует стикер или наклейку, попадает на копию банковской страницы и вводит данные карты. Деньги уходят добровольно, поэтому банк не всегда возвращает их автоматически.

Разберём, как распознать поддельный QR-код и в каких местах он чаще всего встречается. Покажем, как за минуту проверить ссылку через превью и домен до перехода. Отдельно — что делать, если данные уже введены: как остановить списания, куда сообщить о фальшивом коде и какие настройки телефона и банковских приложений снизят риск повторной атаки.

QR-фишинг (квишинг): как поддельный код крадёт деньги

QR-фишинг, или квишинг (от англ. QR + phishing), — это атака, при которой жертву подталкивают отсканировать поддельный QR-код. Сам код не крадёт деньги: он лишь перенаправляет телефон по ссылке, которую вы не видите. Дальше открывается сайт-клон банка, платёжной страницы или «оплаты услуги», где просят ввести номер карты, CVV, срок действия, код из СМС или логин от личного кабинета. Как только данные введены, мошенник получает доступ к счёту или проводит списание.

Ключевое отличие квишинга от обычного фишинга — в способе доставки. Ссылку прячут не в письме и не в СМС, а в квадратном коде на бумаге, экране или в переписке. Человек видит привычный символ оплаты и не заподоз­вает подвох: визуально поддельный код ничем не отличается от настоящего. Именно поэтому квишинг так эффективен в офлайне — на парковках, в кафе, у платёжных терминалов.

Важно понимать механику: мошеннику не нужно взламывать ваш телефон. Он рассчитывает на то, что вы сами введёте данные на чужой странице. Поэтому защита строится вокруг одного навыка — проверять, куда ведёт код, до ввода любой информации. Ниже разберём, как выглядят подделки, где они встречаются чаще всего и что делать, если данные уже введены.

Как выглядит поддельный QR-код: наклейки, стикеры, подмена в меню

Настоящий QR-код наносится типографским способом или печатается вместе с чеком, меню, квитанцией. Подделка почти всегда — это физически наклеенный поверх элемент. Мошенники печатают свой код на самоклеящейся бумаге и закрывают им оригинал. Заметить это можно по нескольким признакам.

• Неровные края и «второй слой». Наклейка чуть выступает над поверхностью, отличается по цвету бумаги или бликует иначе. Подденьте уголок ногтем — если код отклеивается, это подделка.
• Код поверх другого кода. Иногда видно, что под наклейкой есть ещё один квадрат или часть старой печати.
• Несовпадение с контекстом. Рядом с кодом на парковке написано «оплата через приложение парковки», а код ведёт на сторонний сайт — это тревожный сигнал.
• Свежая наклейка на вывеске. Мошенники часто клеят свои коды на стеклянные двери, стойки оплаты, автоматы с кофе, зарядные станции.

В цифровой среде подмена выглядит иначе. В мессенджерах и соцсетях QR-код присылают как картинку в сообщении: «оплатите по коду», «получите выплату, отсканируйте». Здесь нет бумаги — есть только чужое изображение, и проверить его происхождение сложнее. Отдельный сценарий — подмена кода в электронном меню кафе или в рассылке от имени доставки.

Практический вывод прост: любой QR-код, который выглядит наклеенным, стоит считать подозрительным до проверки. Не сканируйте его «на автомате» — сначала осмотрите поверхность и убедитесь, что код напечатан, а не наклеен.

Сценарии квишинга: парковки, кафе, квитанции ЖКХ, доставка

Мошенники выбирают места, где человек торопится и действует по привычке. Разберём типовые сценарии и то, что именно теряет жертва.

• Парковки и зарядные станции. На стойке оплаты наклеен код «для быстрой оплаты парковки». Ссылка ведёт на сайт-клон, где просят данные карты. Списание выглядит как обычная оплата парковки, но сумма списывается в пользу мошенника, а иногда — повторно.
• Кафе и рестораны. Поддельный код наклеивают поверх кода меню или счёта. Вместо просмотра меню открывается платёжная форма «оплатите заказ онлайн». Жертва вводит карту, думая, что платит заведению.
• Квитанции ЖКХ. Код на бумажной квитанции или в подъезде ведёт на фальшивый «портал оплаты ЖКХ». Вводятся данные карты и лицевого счёта — мошенник получает и деньги, и персональные данные.
• Доставка и маркетплейсы. В переписке присылают код «для получения посылки» или «возврата средств». Ссылка ведёт на клон личного кабинета, где просят логин, пароль и код из СМС.

Общий признак всех сценариев — спешка и давление: «оплатите сейчас», «иначе штраф», «посылка вернётся отправителю». Мошеннику выгодно, чтобы вы не рассматривали код и не проверяли адрес.

Отдельно стоит упомянуть сценарий с оформлением кредита. Если жертва под давлением мошенников оформляет заём, вступает в силу «период охлаждения»: деньги от 50 до 200 тысяч ₽ банк выдаёт не раньше чем через 4 часа после одобрения, свыше 200 тысяч — через 48 часов. Эта пауза дана именно для того, чтобы человек успел распознать давление и отказаться. Если вы поняли, что вас подтолкнули к кредиту через поддельный QR, у вас есть время отменить операцию до выдачи денег.

Чем проверить QR за минуту: превью ссылки и домен

Проверка занимает меньше минуты и не требует специальных программ. Главное правило: никогда не вводите данные сразу после сканирования — сначала посмотрите, куда ведёт код.

1. Отсканируйте код камерой, но не переходите. Большинство смартфонов показывают всплывающее превью с адресом сайта ещё до открытия. Прочитайте этот адрес целиком.
2. Сверьте домен с официальным. Домен — это часть адреса до первого слэша. Мошенники используют похожие написания: лишние буквы, дефисы, замену символов. Официальный адрес банка или сервиса вы знаете заранее — сравните посимвольно.
3. Насторожитесь при сокращённых ссылках. Если превью показывает короткий адрес-редирект, конечный сайт скрыт. Не вводите данные, пока не увидите полный адрес.
4. Проверьте, есть ли защищённое соединение. Отсутствие замка и «https» в адресной строке — повод закрыть страницу.
5. Не доверяйте дизайну. Клон банка может выглядеть идентично настоящему сайту. Единственный надёжный ориентир — адрес в строке браузера, а не внешний вид.

Полезная привычка — открывать банковские приложения и платёжные сервисы только из собственного списка приложений, а не по ссылке из QR. Если код ведёт на «оплату», но вы можете провести платёж через официальное приложение — сделайте это там. Тогда даже поддельный код не даст мошеннику ничего.

Если адрес вызывает сомнение, не переходите по нему и не вводите данные. Лучше потратить минуту на проверку, чем часы на разбирательства со списаниями.

Что делать, если перешли по коду и ввели данные

Скорость здесь важнее всего: чем раньше вы среагируете, тем выше шанс остановить списание. Действуйте по шагам.

1. Позвоните в банк по номеру с обратной стороны карты. Не по номеру из СМС или с сайта, куда вас привёл QR. Сообщите, что данные карты могли попасть к мошенникам, и попросите заблокировать карту и операции.
2. Заблокируйте карту в приложении. Если под рукой нет телефона банка, сделайте это через официальное приложение — функция блокировки доступна в один клик.
3. Смените пароли. Если вы вводили логин и пароль от личного кабинета или почты, смените их немедленно, а также везде, где использовался тот же пароль.
4. Проверьте операции. Просмотрите историю по счёту: не появилось ли незнакомых списаний, переводов, оформленных кредитов или подписок.
5. Зафиксируйте следы. Сохраните адрес сайта, скриншоты, номер, с которого звонили, — это пригодится для заявления.

Если мошенники успели оформить на вас кредит, помните о «периоде охлаждения»: деньги от 50 до 200 тысяч ₽ выдаются не раньше чем через 4 часа после одобрения, свыше 200 тысяч — через 48 часов. В этот промежуток можно обратиться в банк и отменить выдачу, объяснив ситуацию.

Не переводите никому деньги «для отмены операции» — это повторная атака. Настоящий банк никогда не просит перевести средства на «безопасный счёт».

Как сообщить о поддельном QR и заблокировать списания

После того как списания остановлены, важно зафиксировать факт мошенничества — это нужно и для возврата денег, и для того, чтобы поддельный код убрали.

1. Подайте заявление в банк о несогласии с операцией. Банк проведёт проверку и при наличии оснований вернёт средства. Чем быстрее подано заявление, тем лучше.
2. Напишите заявление в полицию. Приложите скриншоты, адрес сайта, фото поддельного кода, выписку по счёту. Заявление можно подать в любом отделении.
3. Сообщите владельцу места. Если поддельный код наклеен на парковке, в кафе, на квитанции — сообщите администрации или управляющей компании, чтобы наклейку сняли и предупредили других.
4. Пожалуйтесь в банк-эмитент карты, если списание прошло по чужому сайту, — это поможет заблокировать счёт получателя.
5. Сообщите в Центробанк через интернет-приёмную, если банк отказывает в возврате средств, — регулятор рассматривает такие обращения.

Если по вашим данным мошенники пытаются взыскать долг или звонят коллекторы, помните о законных границах: по ФЗ-230 коллекторы не вправе звонить чаще 1 раза в сутки, 2 раз в неделю и 8 раз в месяц, а также беспокоить ночью с 22:00 до 8:00. Нарушения фиксируйте и жалуйтесь в ФССП.

Сохраняйте все документы по обращению: номер заявления, дату, имя принявшего сотрудника. Это ускорит разбирательство и поможет, если дело дойдёт до суда.

Защита на будущее: настройки телефона и банковских приложений

Проще предотвратить квишинг, чем разбираться с последствиями. Настройте телефон и банковские приложения заранее — это займёт несколько минут.

• Включите превью ссылок в камере. Убедитесь, что при сканировании телефон показывает адрес до перехода. Это базовая защита от слепого перехода.
• Отключите автопереход по ссылкам в мессенджерах. Пусть ссылка сначала отображается целиком, а не открывается автоматически.
• Настройте уведомления по всем операциям. Мгновенные push-сообщения о списаниях позволяют заметить мошенничество в первые минуты.
• Установите лимиты на переводы и платежи. Ограничьте суммы, которые можно списать без дополнительного подтверждения. Это снизит возможный ущерб.
• Включите двухфакторную аутентификацию в банковском приложении и на почте. Даже при утечке пароля мошенник не войдёт без второго фактора.
• Пользуйтесь только официальными приложениями. Оплачивайте парковку, ЖКХ и заказы через проверенные приложения, а не по ссылкам из QR.

Отдельная привычка — проверять физический код перед сканированием: напечатан он или наклеен, совпадает ли подпись рядом с ним с тем, что открывается. Если сомневаетесь — не сканируйте, воспользуйтесь официальным способом оплаты.

Предупредите близких, особенно пожилых родственников: поддельный QR выглядит как обычный, и распознать его помогает только привычка проверять адрес. Договоритесь, что при любом сомнении человек сначала звонит вам, а не вводит данные.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.