QR-коды удобны именно потому, что скрывают URL — не нужно вводить длинный адрес. Но эта же особенность делает их инструментом мошенников. Разберём реальные угрозы и защиту от них.

Основная угроза: QRishing

QRishing (QR + phishing) — мошенничество через поддельные QR-коды. Схема проста: мошенник наклеивает свой QR-код поверх настоящего (например, на паркомате, в кафе или на рекламном стенде). Жертва сканирует — попадает на фишинговый сайт, вводит данные карты или логин.

Реальные случаи

• Паркоматы в США (2021): В нескольких городах Техаса мошенники заклеили QR-коды на паркоматах своими. Пользователи вводили данные карты на поддельных сайтах.
• Криптовалютные схемы: Поддельные QR-коды для «пополнения кошелька» — деньги уходят мошеннику.
• Ресторанные меню: Замена QR на поддельный со шпионским Wi-Fi или фишинговой страницей.

Правила безопасного сканирования

1. Проверьте URL перед переходом — большинство сканеров показывают ссылку до открытия. Убедитесь, что домен совпадает с ожидаемым.
2. Не сканируйте коды из email и мессенджеров от незнакомцев — это главный вектор атак на мобильные устройства.
3. Обратите внимание на физическое состояние кода: наклейка поверх оригинального кода — тревожный сигнал.
4. Не вводите данные карты на сайте, открытом по QR, если не уверены в источнике.
5. Используйте браузер с антифишинговой защитой — Chrome и Safari предупреждают об известных фишинговых сайтах.

Для бизнеса: как защитить клиентов

• Ламинируйте или вставляйте в акриловые держатели — так наклейку не переклеишь незаметно
• Добавляйте URL рядом с кодом: «qrportal.ru/menu» — клиент видит, что ожидать
• Используйте собственный домен в QR-коде, а не сокращатели ссылок (bit.ly, t.co и т.д.)
• Регулярно проверяйте свои коды — особенно в местах, доступных посторонним
• HTTPS обязательно — сайт, куда ведёт QR, должен работать по защищённому соединению

Технические угрозы (для разработчиков)

Помимо фишинга, злоумышленники могут кодировать в QR:

• Команды для уязвимых ридеров (SQL-инъекции в сканеры)
• Ссылки для автозагрузки вредоносных файлов
• Deeplink для открытия системных диалогов

Для приложений, обрабатывающих QR-коды: всегда валидируйте и санитизируйте прочитанные данные перед выполнением любых действий.

Итог

QR-код сам по себе безопасен — это просто способ кодирования данных. Угроза в том, куда он ведёт. Проверяйте URL перед переходом, используйте физически защищённые коды в бизнесе — и технология остаётся удобным и безопасным инструментом.

Создайте QR-код на QRPortal.ru

QRPortal.ru — бесплатный генератор QR-кодов без регистрации и без ограничений. Поддерживает 28 типов данных: URL, Wi-Fi, vCard, WhatsApp, Telegram, СБП, email, SMS и другие. Скачивайте в PNG, SVG или PDF. Для постоянного использования — зарегистрируйтесь и управляйте кодами в личном кабинете.

Технические угрозы и защита

QRLjacking (угон сессии)

Атака на сервисы, использующие QR для входа (WhatsApp Web, WeChat). Злоумышленник показывает жертве поддельный QR — при сканировании сессия передаётся атакующему. Защита: не сканируйте QR-коды для авторизации из ненадёжных источников.

QR в документах и PDF

QR-коды в официальных документах (счета, договоры) могут подменяться при распечатке или редактировании PDF. Перед оплатой по QR из документа сверяйте сумму и получателя с данными в платёжном приложении.

Как проверить QR-код перед переходом

Современные сканеры (в т.ч. встроенный в iOS и Android) показывают URL до перехода — в виде баннера. Это 2–3 секунды, за которые можно проверить домен:

• Убедитесь, что домен ожидаемый (qrportal.ru, а не qrportal.ru.evil.com)
• Проверьте наличие HTTPS — незащищённые сайты не стоит открывать
• Насторожитесь, если QR ведёт не туда, где вы его нашли (QR в ресторане → сайт онлайн-казино)

QR-коды в корпоративной среде

Для организаций важны дополнительные меры:

• Политика сканирования QR на корпоративных устройствах
• Блокировка неизвестных URL через корпоративный прокси
• Обучение сотрудников: QR могут быть вектором фишинга
• Использование MDM-систем с контролем доступа к URL

Защита собственных QR-кодов

Если вы размещаете QR-коды публично:

• Используйте динамические QR — если код скомпрометирован, можно изменить целевую ссылку
• Мониторьте аналитику — резкий скачок сканирований из неожиданной географии может означать копирование кода
• Добавьте визуальную защиту: наклейки с QR должны быть трудно подделать (голограмма, фирменный дизайн)