Квишинг: как мошенники используют QR-коды и как защититься

QR-коды стали повсеместными — и это не прошло мимо мошенников. Квишинг (quishing, от QR + phishing) — это разновидность фишинга, при котором жертву обманывают через поддельный QR-код. Вместо безопасного сайта банка или ресторана код ведёт на мошеннический ресурс. Разберём, как работает эта атака и как её избежать.

Что такое квишинг

Классический фишинг — это письмо со ссылкой «Обновите пароль на вашем банке» с поддельным URL. Антиспам-фильтры научились распознавать такие ссылки. Мошенники нашли обходной путь: вместо ссылки в письмо вставляется QR-код-изображение. Фильтры не видят URL — они видят картинку.

Жертва сканирует QR своим телефоном. Телефон открывает браузер с поддельным сайтом, который выглядит как страница банка, государственного портала или службы доставки. Жертва вводит данные — они попадают к мошенникам.

Типичные сценарии квишинга

Поддельные QR-коды в общественных местах

Мошенники наклеивают поддельные QR-коды поверх настоящих:

• Парковочные счётчики и штрафные квитанции с QR для оплаты.
• Рекламные стенды и вывески.
• Меню в кафе.
• QR-коды для «подключения к WiFi» в общественных местах.

Жертва думает, что сканирует официальный код, и попадает на поддельную платёжную страницу.

Фишинговые письма с QR-кодом

Письмо от «банка» или «Госуслуг» с QR-кодом: «Сканируйте для подтверждения аккаунта» или «Получите компенсацию». Ссылка в QR ведёт на поддельный сайт.

Антиспам-системы не блокируют письмо, так как в тексте нет подозрительных URL — только изображение.

Поддельные коды для оплаты через СБП

Мошенник генерирует QR-код СБП, но указывает свой расчётный счёт вместо настоящего продавца. Жертва думает, что платит за товар или услугу — деньги уходят мошеннику.

Вредоносные QR в документах и PDF

Скачанный файл (накладная, счёт, инструкция) содержит QR-код. Код ведёт на страницу загрузки вредоносного ПО.

Как распознать вредоносный QR-код

Проверяйте URL перед переходом

Современные камеры и приложения для сканирования показывают URL до того, как вы перейдёте по нему. Это главная точка защиты.

Красные флаги в URL:

• Доменное имя не совпадает с ожидаемым: gosuslugi-pay.ru вместо gosuslugi.ru.
• Использование цифр вместо букв: g0suslugi.ru (ноль вместо «о»).
• Дополнительные слова в домене: sber-bank-login.com вместо sberbank.ru.
• Необычные доменные зоны: .xyz, .top, .tk вместо .ru или .com.
• Очень длинный URL с бессмысленным набором символов.
• HTTP вместо HTTPS для страниц с вводом данных.

Физические признаки поддельного QR

• QR-код наклеен поверх другого кода (видны края подложки).
• Код напечатан на самоклеящемся стикере поверх оригинала.
• Качество печати отличается от остального дизайна.
• Код находится там, где его появление не объяснено логически.

Контекстные признаки

• QR-код пришёл по email или в мессенджере от неизвестного отправителя.
• Отправитель торопит: «Срочно сканируйте», «Акция истекает через час».
• Обещание награды, компенсации, выигрыша.
• Запрос конфиденциальных данных (пароль, номер карты) после сканирования.

Как защититься при сканировании QR-кодов

Правило 1: всегда проверяйте URL до перехода

Не позволяйте приложению или браузеру сразу открывать ссылку. Прочитайте URL. Если адрес выглядит подозрительно или не совпадает с ожидаемым сайтом — не переходите.

Правило 2: не вводите данные на странице, открытой через QR

Если QR-код ведёт на страницу с просьбой ввести пароль, номер карты или SMS-код — закройте браузер. Легитимные сервисы не запрашивают авторизационные данные через QR-ссылки в общественных местах.

Правило 3: используйте приложения-сканеры с превью URL

Некоторые приложения (Google Lens, встроенная камера iOS 16+) показывают URL перед переходом. Убедитесь, что ваше устройство настроено на показ превью.

Правило 4: для платежей используйте только официальные приложения

Если QR-код предназначен для оплаты, открывайте его в официальном банковском приложении (Тинькофф, Сбербанк, ВТБ), а не через камеру телефона напрямую. Банковское приложение проверяет реквизиты получателя.

Правило 5: физически проверяйте QR в публичных местах

Перед сканированием кода в кафе, магазине или парковке убедитесь, что он не наклеен поверх оригинала. Потрогайте — нет ли выпуклого края стикера.

Правило 6: будьте скептичны к QR-кодам в письмах

Банки и государственные органы не присылают письма с просьбой сканировать QR-код для «подтверждения аккаунта» или «получения выплаты». При любом сомнении — звоните на официальный номер организации.

Что делать, если вы попались на квишинг

1. Немедленно закройте страницу. Не вводите никаких данных.
2. Если ввели пароль — смените его немедленно в официальном приложении или на сайте.
3. Если ввели данные карты — позвоните в банк и заблокируйте карту.
4. Если перевели деньги — немедленно свяжитесь с банком для попытки отзыва платежа и подайте заявление в полицию (статья 159 УК РФ — мошенничество).
5. Сообщите об инциденте на сайт Банка России (cbr.ru) или через Госуслуги — это помогает предупредить других.

Квишинг и безопасное использование QRcito

QRcito — это генератор QR-кодов, который работает полностью в браузере пользователя. Никакие введённые URL не хранятся на серверах и не передаются третьим лицам. Это означает, что ваши данные не попадут к третьим лицам через сам инструмент генерации.

Тем не менее, QR-код — это просто контейнер для URL. Ответственность за то, на какой адрес ведёт код, несёт его создатель. Всегда проверяйте URL перед сканированием — вне зависимости от того, какой инструмент использовался для создания кода.

Итог

Квишинг — растущая угроза, которая эффективна именно потому, что люди не привыкли проверять URL в QR-кодах так же внимательно, как ссылки в письмах. Главное правило: всегда смотрите на адрес, который открывается после сканирования, и никогда не вводите конфиденциальные данные на странице, открытой по QR-коду, если вы не уверены в его источнике на 100%.

Создавайте безопасные QR-коды для своих клиентов и партнёров на QRcito — бесплатно, без регистрации и без сохранения данных.