QR-коды на улице и в письмах: как не попасть на фишинг

QR-код может вести не на полезную страницу, а на поддельный сайт. Мошенники размещают наклейки на объявлениях, парковочных автоматах и витринах, а также отправляют коды в письмах и сообщениях от имени банков, служб доставки и бирж.

Такая схема называется фишингом через QR-коды, или quishing. Ниже разберём, как проверить код до перехода, какие данные нельзя вводить и какие действия предпринять после ошибки.

Коротко:

• Источник — не доверяйте QR-коду только потому, что он напечатан на официально выглядящем объявлении.
• Предпросмотр — сначала посмотрите адрес, который распознал телефон, и не открывайте его автоматически.
• Данные — банк, биржа и почта не должны требовать пароль, seed-фразу или код подтверждения на случайной странице.
• Оплата — не переводите деньги по QR-коду, если реквизиты и получатель не проверены отдельно.
• Ошибка — если данные уже введены, срочно заблокируйте доступы и свяжитесь с банком или сервисом через официальное приложение.

⚠️ Важно: сам QR-код не подтверждает подлинность отправителя. Он лишь быстро открывает ссылку, а мошенническая страница может выглядеть почти так же, как настоящая.

Где мошенники размещают QR-коды

На улице код могут наклеить поверх настоящего объявления. В письмах он часто сопровождается тревожным текстом: «аккаунт заблокируют», «нужно подтвердить доставку», «получите возврат» или «срочно пройдите проверку».

Опасность в том, что человек видит знакомый логотип и сканирует код, не проверяя адрес. После этого его могут попросить войти в аккаунт, установить приложение, оплатить небольшую комиссию или подтвердить операцию.

• Наклейка — проверьте, не приклеен ли новый код поверх старого и не отличается ли бумага от остального объявления.
• Письмо — сравните адрес отправителя с тем, который обычно использует организация, но не считайте одно это доказательством подлинности.
• Срочность — требования действовать немедленно, иначе потеряете деньги или доступ, являются сильным тревожным признаком.
• Неожиданность — если вы не оформляли доставку, не запрашивали выплату и не начинали проверку, не переходите по коду.

Как безопасно проверить QR-код

Сканирование и открытие страницы — не одно и то же. Используйте камеру или приложение, которое показывает адрес до перехода, и внимательно прочитайте домен целиком.

Не ориентируйтесь только на значок замка или наличие HTTPS. Защищённое соединение может быть и у мошеннического сайта: оно шифрует передачу данных, но не доказывает, кому принадлежит ресурс.

1. Предпросмотр — наведите камеру на код и дождитесь появления адреса, не нажимая на него сразу.
2. Домен — смотрите на основное имя сайта, а не на длинную строку поддоменов, папок и случайных символов.
3. Опечатки — ищите подмену букв, лишние дефисы, необычные окончания домена и слова, похожие на название настоящего сервиса.
4. Проверка отдельно — откройте официальный сайт или приложение вручную и сравните, есть ли там такое уведомление или операция.
5. Отмена — если адрес непонятен, просит скачать файл или ведёт на неизвестный сервис, закройте страницу.

Какие просьбы после QR-кода выдают фишинг

Фишинговая страница обычно пытается получить не только логин и пароль. Она может запрашивать код из SMS или приложения-аутентификатора, данные карты, фотографию документа либо разрешение на подключение кошелька.

Особенно опасны страницы, которые предлагают подписать транзакцию в криптокошельке. В окне кошелька нужно читать, что именно разрешается сделать, а при малейшем сомнении — отменять операцию.

• Пароль — не вводите пароль от почты, банка или биржи на странице, открытой из неизвестного QR-кода.
• Код — не сообщайте одноразовый код сотруднику, «курьеру», юристу или оператору, который звонит после перехода.
• Карта — не вводите номер, срок действия и код безопасности ради «проверочной» оплаты или возврата.
• Seed-фраза — никогда не вводите секретную фразу восстановления на сайте и не отправляйте её в переписке.
• Подпись — не подтверждайте неизвестную операцию в кошельке, даже если сайт обещает разблокировать баланс.
• Приложение — не устанавливайте файл по предложению из QR-кода; ищите приложение в официальном магазине и проверяйте разработчика.

Что делать, если уже открыли подозрительную страницу

Сам факт открытия сайта ещё не означает, что деньги украдены. Риск появляется, если вы ввели данные, скачали файл, разрешили удалённый доступ, сообщили код или подтвердили перевод.

Действуйте по ситуации и не продолжайте переписку с отправителем QR-кода. Не пытайтесь «отменить взлом» по инструкции неизвестного специалиста: после первой ошибки мошенники нередко предлагают платное восстановление.

1. Пароль — с чистого устройства смените его на официальном сайте, начиная с почты, затем измените пароли связанных сервисов.
2. Сессии — завершите незнакомые сеансы, удалите неизвестные устройства и проверьте правила пересылки писем.
3. Двухфакторная защита — включите её заново, если есть подозрение, что код или резервные данные могли попасть к злоумышленнику.
4. Карта — немедленно свяжитесь с банком по номеру из приложения или с карты, заблокируйте карту и уточните возможность оспаривания операции.
5. Кошелёк — отключите подозрительные разрешения, не подписывайте новые транзакции и переведите оставшиеся средства только после проверки безопасности.
6. Устройство — удалите неизвестные приложения, проверьте телефон антивирусом и при необходимости обратитесь к специалисту.

Если после QR-кода уже ушли деньги

Сначала остановите дальнейшие платежи. Если вам говорят, что для вывода нужно доплатить налог, комиссию, страховку, активацию или оплату юриста, не переводите новые суммы: это может быть продолжением той же схемы.

Например, к нам обращался человек, который после обещаний заработка на криптовалюте столкнулся с требованием оплатить Level-3 KYC, видеоидентификацию и активацию смарт-контракта. Ему рекомендовали не переводить деньги, не подключать кошелёк к незнакомому сайту и не подписывать неизвестные операции.

В другом обращении человеку после ошибок в торговых парах заблокировали счёт и потребовали дополнительные средства. Деньги он переводил конкретным людям банковскими переводами, а затем платформа стала недоступна.

• Банк — сообщите о мошеннической операции через официальный канал и уточните, какие действия доступны по конкретному платежу.
• Биржа — обратитесь в поддержку только через приложение или сайт, открытый вручную, и попросите зафиксировать инцидент.
• Полиция — подайте заявление в своей стране, приложив документы о переводах и переписку.
• Доказательства — сохраните письмо, QR-код, исходный адрес, скриншоты, чеки, реквизиты получателя и историю общения.
• Криптотранзакция — запишите TXID и адреса, если они отображаются в вашем кошельке или на бирже; не редактируйте исходные файлы.
• Контакты — не удаляйте переписку, но не отправляйте мошенникам новые документы, коды и деньги.

Как отличить настоящую оплату или проверку от подделки

Проверяйте не QR-код, а саму операцию через независимый официальный канал. Например, если письмо якобы от банка, откройте приложение банка самостоятельно и посмотрите уведомления там.

Настоящая организация не должна просить раскрывать пароль, код подтверждения или секретную фразу. Сотрудник не может требовать перевести деньги на личную карту, криптокошелёк или счёт «для разблокировки».

• Получатель — перед оплатой проверьте название организации, сумму и назначение платежа на официальном экране.
• Канал — перезвоните по номеру из договора или официального приложения, а не по номеру из письма.
• Ссылка — не используйте QR-код из пересланного сообщения, если можете выполнить действие вручную.
• Документы — не считайте PDF, печать и логотип доказательством лицензии или законности сервиса.
• Давление — остановитесь, если собеседник торопит, запрещает советоваться с банком или требует держать разговор в тайне.

Частые вопросы

Можно ли заразить телефон просто после сканирования QR-кода?

Обычно риск возникает не от самого наведения камеры, а после перехода, загрузки файла, установки приложения или ввода данных. Если вы только увидели адрес и закрыли страницу, проверьте историю загрузок и ничего не устанавливайте.

Как проверить QR-код из письма от банка?

Не используйте его. Откройте банковское приложение вручную и найдите нужное уведомление, а при сомнении свяжитесь с банком через официальный канал.

Что делать, если я ввёл пароль на поддельном сайте?

Смените пароль с безопасного устройства, завершите чужие сеансы и включите или перенастройте двухфакторную защиту. Если пароль использовался где-то ещё, измените его и там.

Можно ли вернуть деньги после оплаты по QR-коду?

Нельзя заранее обещать результат. Сразу сообщите банку или платёжному сервису о мошенничестве, сохраните документы и обратитесь в правоохранительные органы.

Безопасно ли подключать криптокошелёк к странице из QR-кода?

Нет, если сайт неизвестен и вы не проверили его назначение. Не подписывайте операции и не вводите seed-фразу: такие действия могут дать злоумышленнику доступ к активам.

Вывод

QR-код — это только способ открыть адрес, а не знак доверия. Сначала проверяйте домен и уведомление через официальный канал, а после ошибки немедленно защищайте аккаунты, связывайтесь с банком и сохраняйте доказательства.

Читайте также

• Письмо от банка или маркетплейса: как распознать фишинг
• Как не попасть на мошенников повторно: правила финансовой безопасности
• Как проверить ссылку перед переходом: сокращатели, подмена букв и QR-коды

Пострадали от мошенников?

Опишите свою ситуацию в форме на сайте — с вами свяжутся и подскажут, что можно сделать в вашем случае.

👉 Оставить заявку

Хочешь заниматься трейдингом, но не знаешь с чего начать?
Получи "Краткое пособие трейдера" бесплатно!