Как мошенники используют поддельные QR-коды в сфере услуг

Как работает схема?

QR-код – это лишь зашифрованная ссылка. Сам по себе он не представляет опасности. Опасно не изображение из черных квадратов, а то, куда именно оно ведет.

Создать QR-код можно за минуту с помощью любого онлайн-сервиса. И заменить настоящий тоже легко: достаточно распечатать новый код и наклеить его поверх оригинального. Пользователь сканирует коды и вместо официального сайта кафе, парковочного автомата или платежного сервиса открывает фишинговую страницу, внешне полностью идентичную настоящей. Логотипы, фирменные цвета, структура сайта – всё выглядит привычно и не вызывает подозрений.

Дальнейшее развитие событий может происходить по-разному. Мошенники просят ввести данные банковской карты для «оплаты» или «подтверждения заказа», запросить код из SMS «для выполнения операции», запросить установку «обновления приложения» или перейти по дополнительной ссылке. На некоторых страницах может сохраняться исполнительный скрипт, который запускается автоматически.

 

Реальные истории: как это происходит на практике?

Меню по QR

Посетительница одного из кафе в крупном городе отсканировала QR-код на столе. Меню открылось, всё выглядело официально. Позже при оплате ее попросили «подтвердить платеж» – ввести код из SMS. Через 20 минут со счета было списано более 180 тысяч тенге. Позже выяснилось, что поверх оригинального QR была наклеена прозрачная пленка с поддельным кодом. Заведение узнало о проблеме только после жалобы.

Парковка по QR

Мужчина оплатил парковку через QR-код на терминале. Открывшийся сайт выглядел привычно – те же дизайн, логотип и структура. Подмена была незаметной: доменное имя отличалось всего на одну букву.

Он ввел данные карты для оплаты 500 тенге. Платеж прошел, но позже с карты произошло несколько списаний большими суммами.

Пропущенная доставка

Житель получил уведомление на двери с QR-кодом и подписью: «Для уточнения деталей доставки просим перейти по QR». Сообщение выглядело правдоподобно – без указания отправителя, но с формулировками, характерными для служб доставки. При сканировании кода открылся сайт, где предложили оплатить «повторную отправку» – 1200 тенге. Страница выглядела обычно: стандартная форма оплаты, минимум текста, поле для ввода данных карты и кнопка подтверждения. Мужчина ввел реквизиты, и позже эти данные были использованы для онлайн-покупок на внешних сайтах.

Почему такие схемы работают?

QR-код невозможно «прочитать» глазами – перед нами всего лишь черно-белый квадрат, а реальный адрес открывается только после сканирования. Человек заранее не видит, куда именно ведет ссылка, и поэтому ориентируется не на технические признаки, а на внешний контекст: табличку, логотип, знакомую обстановку.

Этим и пользуются мошенники. Они не пытаются сломать защиту банков, они используют поведение людей: привычку к бесконтактным оплатам, доверие к знакомому интерфейсу и оформлению, спешку в очередях, на парковке или при доставке и автоматизм действий.

В результате внимание переключается с проверки на скорость, и человек подтверждает действие, не задумываясь, что фактически открывает доступ к своим данным.

Как не попасться на уловки мошенников?

1. Внимательно осматривайте табличку или наклейку с QR-кодом. Если код наклеен поверх другого, отличается по цвету, размеру или выглядит новым на старой поверхности – лучше не сканировать.2. После перехода обязательно проверьте адрес сайта: он должен быть официальным, начинаться с https, содержать значок замка и не иметь лишних символов, цифр или ошибок в названии.

3. Перед оплатой убедитесь, что указаны название компании и сумма платежа. Если сайт просит ввести данные карты «просто для доступа», это повод остановиться.

4. Никогда не вводите CVV, PIN-код и коды подтверждения, если вы сами не инициировали платеж в проверенном источнике.

5. Не устанавливайте приложения и не обновляйте их по ссылкам из QR-кодов, официальные сервисы скачиваются только из App Store или Google Play.

6. Используйте для оплаты только знакомые банковские приложения, а при сомнениях попросите альтернативный способ оплаты (касса, терминал, бумажное меню).

7. Будьте осторожны с неожиданными посылками и уведомлениями: проверяйте информацию напрямую через службу доставки, а не через QR-код.

8. Подключите уведомления о движении средств и лимиты на онлайн-операции, это поможет вовремя заметить подозрительные списания.

Если подозрительный код уже отсканирован, то:

- незамедлительно свяжитесь с банком и при необходимости заблокируйте карту;

- смените пароли в интернет-банке, электронной почте и других важных сервисах;

- включите двухфакторную аутентификацию для всех аккаунтов;

- отключите Интернет на устройстве и проверьте его антивирусом.

Также в ближайшие дни нужно внимательно отслеживать все операции по счету.

Ранее казахстанцев предупредили о новой схеме телефонного мошенничества с несанкционированной блокировкой платежных карт.