QR-коды на парковках: как работает подмена

QR-код на парковочном автомате, знаке, паркомате или зарядной станции сам по себе не повод для подозрений — во многих городах это обычный, официальный способ оплаты. Проблема в другом: наклейку легко напечатать и легко приклеить поверх настоящей, и зачастую просто по внешнему виду понять, оригинал перед вами или подделка, невозможно.

В этом руководстве разберём, как работает обман с поддельными наклейками, как проверить QR-код на парковке перед оплатой и что делать, если вы уже ввели данные карты на поддельной странице.

Как это работает

В основе этой схемы лежит не цифровая, а физическая подмена:

Мошенник печатает одну или несколько наклеек с QR-кодом, который контролирует сам.
Клеит её прямо поверх настоящего кода на автомате или размещает рядом, там, где код и ожидается увидеть.
Водитель сканирует его — часто потому, что альтернатива — искать мелочь, разбираться с незнакомым автоматом или ловить слабый сигнал, а QR-код кажется самым быстрым вариантом.
Код открывает страницу оплаты, оформленную под настоящего оператора парковки, иногда весьма убедительно.
Водитель вводит данные карты и платит. Деньги уходят мошеннику, а не оператору парковки.

Часто это оборачивается двойной потерей: человек уже кому-то заплатил, но саму парковочную сессию система оператора так и не зарегистрировала — а значит, настоящая оплата всё ещё не внесена, и следом может прийти уже реальный штраф, поверх уже потерянных денег.

Работает это потому, что убедительную страницу оплаты сделать несложно. Она может в точности скопировать логотип, цвета и оформление оператора парковки — и при этом принадлежать человеку, не имеющему к этому оператору никакого отношения. Профессиональный дизайн ничего не доказывает о том, кто на самом деле контролирует сайт.

Где это встречается

Парковочные автоматы — наклейка прямо поверх платёжного QR-кода на самом устройстве.
Дорожные знаки и таблички — код добавляется к знаку там, где оплата полностью завязана на QR и физического автомата вообще нет.
Платёжные терминалы — наклейки на корпусе устройства, особенно рядом со сломанным картоприёмником или монетоприёмником, который подталкивает людей выбрать оплату через QR.
Станции зарядки электромобилей — тот же приём, применённый к другому виду уличного оборудования с оплатой по факту использования.
Билетные автоматы — на транспортных или событийных парковках, где QR предлагается как быстрый способ оплаты.

Поддельные коды чаще всего появляются именно там, где люди с наибольшей вероятностью отсканируют код не задумываясь: в людных туристических местах, на автоматах, которые и так выглядят изношенными или частично неисправными, и там, где приложение или картоприёмник не работают.

Тревожные признаки

QR-код напечатан на отдельной наклейке, а не является частью оригинальной таблички или экрана автомата.
Край наклейки слегка приподнят, закручен или заметно отличается по материалу и фактуре от поверхности вокруг.
Наклейка держится под странным углом или частично перекрывает текст, логотип или другой код.
Адрес страницы оплаты никак не связан с оператором парковки, городом или местом, где вы стоите.
Страница запрашивает данные, которые обычно не нужны для оплаты парковки, — полный PIN-код карты, контрольный вопрос или вход в посторонний аккаунт.
Нет поля для номера машины или номера парковочного места, или процесс оплаты вообще не похож на то, что вы ожидали бы от этого оператора.
Код уже был на месте, когда вы приехали, и ничто на автомате или табличке не объясняет, кто его туда поместил.

Как проверить QR-код на парковке перед оплатой

Посмотрите и потрогайте, прежде чем сканировать. Проведите пальцем вдоль краёв кода. Слегка приподнятый край, вздутие или заметно другой материал наклейки — самый явный признак того, что что-то приклеено поверх оригинала.
Сначала посмотрите на предварительный адрес. Камера большинства смартфонов показывает ссылку до перехода — прочитайте домен, прежде чем открывать, а не после.
Убедитесь, что домен принадлежит именно оператору, а не просто похож на его сайт. Страница может выглядеть точь-в-точь как настоящая, но находиться на совершенно постороннем домене.
Найдите способ оплаты, указанный на самом автомате. Официальная табличка обычно называет оператора, телефон или приложение, которые можно проверить самостоятельно, — используйте эти данные вместо того, чтобы доверять наклейке.
Найдите официальное приложение или сайт оператора сами. Ищите оператора парковки или городскую парковочную службу по названию, а не переходя по ссылке из кода, и платите уже через проверенный канал.
Если что-то смущает — не сканируйте вообще. Воспользуйтесь картоприёмником, если он есть на автомате, приложением, которым вы уже пользовались раньше, или припаркуйтесь в другом месте.

Если вы уже отсканировали код и у вас есть ссылка, проверьте её через QR-сканер 2check.click или проверку ссылок, прежде чем открывать страницу в браузере, — это покажет адрес назначения и все редиректы без необходимости заходить на саму страницу.

На что не стоит полагаться

Насколько «официально» выглядит страница. Логотип, цвета и оформление можно скопировать в точности — это ничего не доказывает о том, кому принадлежит сайт.
HTTPS и значок замка. Это означает лишь то, что соединение зашифровано, а не то, что страница принадлежит настоящему оператору парковки.
Телефон или контакты поддержки на наклейке или странице. Если сам код поддельный, то и всё, что напечатано рядом с ним, вполне может быть поддельным.
Успешное прохождение платежа. Завершённая транзакция подтверждает лишь то, что деньги списались, — она не говорит, кто их получил и была ли на самом деле зарегистрирована ваша парковочная сессия.

Что делать, если вы уже ввели данные карты на поддельной странице

Немедленно свяжитесь с банком или платёжной системой. Объясните, что платёж мог уйти мошеннику, и уточните возможность оспорить операцию или заблокировать карту.
Проверьте, не грозит ли вам теперь реальный штраф за парковку. Поскольку настоящая оплата так и не прошла, вам могут выписать штраф. Обратитесь напрямую к настоящему оператору парковки или в соответствующую городскую службу — найденную самостоятельно, а не через поддельный код, — и объясните ситуацию.
Сфотографируйте наклейку и место до того, как её уберут. Чёткое фото самого кода, автомата или знака и окружения пригодится банку, оператору парковки и, возможно, полиции.
Сохраните адрес страницы оплаты и любое подтверждение или чек. Это поможет тем, кто будет разбираться, куда ушёл платёж.
Сообщите о наклейке оператору парковки, городской службе или владельцу объекта, чтобы её физически убрали и другие водители не попались на тот же код.
Если вы также ввели пароль или вошли в аккаунт, а не только указали данные карты, относитесь к этому как к более широкому инциденту с фишингом — см. руководство что делать, если вы перешли по фишинговой ссылке.

Чем может помочь 2check.click

2check.click может декодировать QR-код и показать адрес назначения, цепочку редиректов и распространённые признаки фишинга — ещё до того, как вы откроете страницу в браузере. Это полезно, чтобы понять, похожа ли ссылка на сайт настоящего оператора парковки или на его двойника.

Сервис не может сказать, настоящая ли конкретная наклейка и не подменена ли она физически, — эту проверку можно сделать только своими глазами и руками прямо у автомата, — и не может гарантировать безопасность какого-то конкретного платежа.

Пример: разные системы, один и тот же приём

Устройство подмены не зависит от того, как именно устроена оплата парковки в конкретном городе или стране — принцип «напечатать наклейку и приклеить поверх настоящего кода» работает одинаково независимо от системы. Например, в некоторых городах, где парковка оплачивается через официальное мобильное приложение, мошенники всё равно клеят QR-коды с призывом «оплатить онлайн», рассчитывая на водителей, которые ещё не установили нужное приложение и ищут быстрый способ заплатить прямо на месте. Это лишь один пример того, как выглядит эта схема на практике, а не универсальное правило для всех парковочных систем.

Часто задаваемые вопросы

QR-коды на парковках вообще безопасны?

Многие из них настоящие и используются официальными операторами парковки каждый день. Риск не в самом QR-коде, а в возможности, что поверх настоящего кода или рядом с ним приклеили поддельный.

Как отличить поддельную наклейку от оригинального кода?

Присмотритесь и потрогайте края. Слегка приподнятый или закручивающийся край, другой материал или фактура, код, перекрывающий часть оригинального текста или логотипа автомата, — самые явные физические признаки подмены.

Почему мне может грозить штраф за парковку, даже если я уже заплатил по QR-коду?

Потому что деньги ушли мошеннику, а не оператору парковки, ваша парковочная сессия так и не была зарегистрирована в системе оператора — и поэтому за неоплаченную парковку всё равно может быть выписан настоящий штраф.

Это проблема только в отдельных странах?

Нет. О поддельных QR-наклейках на парковочном оборудовании сообщают в самых разных местах, потому что сам приём — напечатать наклейку и приклеить её поверх настоящего кода — работает одинаково независимо от того, какая система парковки используется под ней.

Что делать, если я уже ввёл данные карты?

Немедленно свяжитесь с банком или платёжной системой, проверьте, не остался ли неоплаченным реальный парковочный сбор, и сообщите о наклейке оператору парковки или соответствующей городской службе, чтобы её убрали.

Итог

QR-код на парковке заслуживает нескольких лишних секунд перед сканированием. Проверьте саму наклейку на признаки подмены, убедитесь, что адрес страницы действительно принадлежит оператору, и в случае сомнений найдите официальное приложение или номер оператора самостоятельно, а не доверяйте тому, что напечатано рядом с кодом. Эти несколько секунд обходятся куда дешевле, чем мошенническое списание и штраф за парковку в один и тот же день.