Безопасны ли QR-коды: что нужно знать перед сканированием

QR-коды стали привычной частью жизни: меню в ресторане, оплата в магазине, регистрация на мероприятие, Wi-Fi в отеле. Мы сканируем их автоматически, не задумываясь. Именно этот автоматизм и привлекает мошенников — QR-коды скрывают адрес назначения, и многие пользователи не проверяют, куда именно они ведут.

Как работают QR-коды

QR-код (Quick Response) — это двумерный штрихкод, кодирующий текстовые данные: чаще всего URL, но также текст, номер телефона, контакт или инструкцию для оплаты. Камера смартфона сканирует код и декодирует данные за долю секунды.

Ключевая особенность: человек не может «прочитать» QR-код визуально. Вы смотрите на чёрно-белую матрицу и не видите, что в ней закодировано. Это в корне отличается от обычной ссылки, где адрес написан текстом.

Почему QR-коды создают риски

Скрытый адрес назначения. До сканирования невозможно узнать, куда ведёт код.
Физическая подделка. Наклейку с поддельным кодом можно разместить поверх настоящего — это неотличимо визуально.
Автоматический переход. Многие приложения-камеры переходят по ссылке автоматически, без паузы для проверки.
Часто использует сокращатели. QR + короткая ссылка = два слоя сокрытия адреса.
Обходит email-фильтры. Письмо с QR-кодом вместо текстовой ссылки не проверяется антифишинговыми системами.

Безопасные сценарии использования QR

QR-коды сами по себе не опасны — важен контекст:

Меню ресторана. Известное заведение, вы сидите за столиком — низкий риск, если код не выглядит как наклейка поверх другого кода.
Вход на Wi-Fi. QR-код для подключения к Wi-Fi в отеле или кафе — обычно безопасен (кодирует данные сети, а не URL).
QR на упаковке товара. Официальный производитель печатает код при производстве — его сложнее подменить.
QR на официальном мероприятии. Организованное мероприятие с проверкой билетов — низкий риск.

Опасные сценарии

QR на парковочных автоматах. Один из самых распространённых видов мошенничества в России: наклейка поверх официального кода.
QR в случайной рекламе и объявлениях. Листовки, наклейки в общественных местах — код легко подделать.
QR в email от незнакомых отправителей. Цель — обойти антифишинговые фильтры.
QR на «дополнительном сборе» при получении посылки. Курьер или сотрудник пункта выдачи показывает код для оплаты — несуществующего сбора.
QR в рекламных SMS. «Получите приз, отсканируйте код» — классическая приманка.

Как безопасно использовать QR-коды

Используйте сканер с предпросмотром. Большинство современных смартфонов показывают URL до открытия. Читайте его.
Проверяйте физическую целостность кода. Нет ли наклейки поверх? Подозрительно ли расположен код?
Скопируйте URL и проверьте через 2check.click до перехода.
Не платите по незнакомым QR-кодам. Официальные платёжные QR обычно встроены в известные приложения (СБП, банковское приложение).
Остерегайтесь QR в письмах вместо ссылок. Если отправитель заменил ссылку QR-кодом — это уже подозрительно.

Как 2check.click работает с QR-кодами

Загрузите изображение QR-кода в анализатор — сервис декодирует его прямо в браузере с помощью библиотеки jsQR. Извлечённый URL затем анализируется так же, как обычная ссылка: проверяются домен, редиректы, возраст, признаки обфускации. Изображение никуда не отправляется — всё происходит на вашем устройстве.

Проверьте подозрительную ссылку

Вставьте URL, SMS или QR-код в 2check.click — сервис проверит домен, редиректы, возраст домена и другие признаки фишинга.

Открыть анализатор 2check.click

Часто задаваемые вопросы

Может ли сканирование QR-кода само по себе взломать телефон?

Само сканирование безопасно. Угроза возникает при переходе по URL из кода на вредоносную страницу или при скачивании вредоносного приложения.

Как отличить настоящий QR-код от поддельного?

По внешнему виду — никак. Только проверкой URL после сканирования. Именно поэтому важен предпросмотр.

Безопасны ли QR-коды для оплаты через СБП?

QR-коды СБП (Система Быстрых Платежей) встроены в банковские приложения. Если вы сканируете QR прямо в официальном банковском приложении — оно проверяет получателя платежа. Если код ведёт на сторонний сайт с «формой оплаты» — это потенциальный фишинг.

Что делать, если я случайно перешёл по QR на подозрительную страницу?

Не вводите никаких данных. Закройте страницу. Если вы что-то ввели — следуйте инструкциям руководства что делать после перехода по фишинговой ссылке.

Могут ли QR-коды содержать вирусы напрямую?

Нет. QR-код кодирует текст (URL, контакт и т.д.), а не исполняемый код. Вредоносный код не может быть встроен непосредственно в QR-код.

Стоит ли отключить автоматический переход при сканировании QR?

Да, это разумная мера предосторожности. В настройках камеры или приложения-сканера обычно можно включить режим, при котором URL показывается и требует подтверждения перед открытием.