QR-код нельзя прочитать глазами. Это его главная проблема: вы видите чёрно-белый квадрат и доверяете месту, где он висит. Самокат известного сервиса, табличка на парковке, письмо «от налоговой». Мошенникам достаточно наклеить свой квадрат поверх настоящего.

У этой схемы есть название: квишинг, от QR и фишинга.

Где это уже происходит

  • Прокат самокатов и велосипедов. В марте 2025 года управление МВД по борьбе с киберпреступностью предупредило о поддельных QR-кодах на пунктах проката и на самих самокатах. Код ведёт на сайт, где просят войти или привязать карту, и данные уходят мошенникам.
  • Наклейки поверх фирменных кодов. В 2026 году киберполиция Петербурга и Ленобласти сообщила о стикерах с фальшивыми QR-кодами, которые клеят прямо на прокатные самокаты. Сайт по такому коду предлагает ввести данные карты «для аренды».
  • Письма и PDF. «Лаборатория Касперского» в обзоре фишинговых техник 2025 года описывает рассылки, где ссылку не пишут текстом, а прячут в QR-код внутри письма или PDF. Почтовый фильтр видит картинку, а не адрес, и пропускает письмо.

Почему QR-код опаснее обычной ссылки

С обычной ссылкой можно навести курсор и увидеть адрес. QR-код сначала сканируют, а потом думают. Ещё две причины:

  1. Код открывают на телефоне. На маленьком экране адресная строка короткая, и romashka.ru.secure-pay.top легко принять за romashka.ru.
  2. QR-код в письме часто сканируют личным телефоном, хотя письмо пришло на рабочий компьютер. Защита компании на телефон уже не действует.

Как проверить QR-код до перехода

Посмотрите на сам код

Проведите пальцем по краю. Наклейка поверх наклейки, неровные края, код на отдельном кусочке бумаги на фирменной табличке: всё это повод не сканировать. Сравните с соседними самокатами того же сервиса: код на них должен выглядеть одинаково.

Прочитайте адрес, а не открывайте его

Камера iPhone и большинство камер Android сначала показывают адрес под рамкой кода, и только по нажатию открывают сайт. Не нажимайте сразу. Прочитайте домен по буквам, от точки перед .ru или .com влево.

Если камера открывает сайт сразу, отсканируйте код через приложение, которое показывает текст ссылки, например через встроенный сканер в Google Объективе или «Яндексе», и скопируйте адрес.

Проверьте ссылку

Скопированный адрес вставьте в проверку сайта Filechek. Сайт откроется у нас на сервере, а не на вашем телефоне, без запуска скриптов. Отчёт покажет, похож ли адрес на известный сервис, куда ведут перенаправления, куда отправляются данные из формы входа и в какой доменной зоне сайт.

Для второго мнения ту же ссылку можно отправить в VirusTotal. Учтите, что свежий фишинговый сайт базы могут ещё не знать.

Правила, которые закрывают схему целиком

  • Арендуйте самокаты только из приложения сервиса. Сканируйте код кнопкой сканера внутри приложения, а не камерой телефона. Поддельный код приложение просто не распознает.
  • Не вводите данные карты на сайте, открытом по QR-коду. Сервисы проката, парковки и госорганы принимают оплату через своё приложение или проверенную платёжную страницу. Если код открыл сайт с полями для номера карты, закройте его.
  • Не сканируйте QR-коды из писем, особенно с требованием срочно «подтвердить», «оплатить штраф» или «обновить данные». Зайдите на сайт отправителя вручную через поиск или закладку.

Если вы уже ввели данные

  1. Позвоните в банк по номеру с обратной стороны карты, попросите заблокировать карту и оспорить списания. Сообщить о списании без вашего согласия нужно не позднее дня, следующего за днём, когда банк прислал уведомление об операции.
  2. Если вводили логин и пароль, смените пароль в настоящем приложении сервиса и включите вход с подтверждением.
  3. Сфотографируйте поддельный код и место, где он висел. Сообщите сервису проката: им важно снять наклейки с остальных самокатов.

Источники