Что такое квишинг: фишинг через QR-коды

Квишинг (QR + phishing) — это вид фишинга, при котором злоумышленники используют QR-коды для перенаправления жертв на вредоносные сайты. В отличие от обычной ссылки, QR-код скрывает адрес назначения — вы не видите URL до сканирования. Это делает квишинг особенно опасным: наш мозг воспринимает QR-код как нейтральный объект, а не как ссылку, которую нужно проверить.

Почему QR-коды опасны

Когда вы видите ссылку в тексте, у вас есть возможность прочитать адрес и заметить подозрительные детали. QR-код лишает вас этой возможности: до сканирования невозможно определить, куда именно он ведёт. Кроме того:

QR-коды легко печатать и наклеивать — физический поддельный код практически неотличим от настоящего.
Многие QR-коды ведут через сокращатели ссылок, добавляя ещё один слой сокрытия.
Люди привыкли сканировать QR-коды автоматически, не задумываясь.
Камера смартфона может автоматически переходить по ссылке, не давая времени на проверку.

Как работает квишинг-атака

Типичная схема выглядит так:

Мошенник создаёт QR-код, ведущий на поддельный сайт.
Размещает его физически (наклейка на парковке, поверх меню в кафе, в объявлении) или рассылает в цифровом виде (письмо, мессенджер, социальные сети).
Жертва сканирует код и попадает на страницу, имитирующую банк, сервис оплаты или доставки.
Страница запрашивает данные карты, логин и пароль или провоцирует установить вредоносное приложение.

Российские примеры квишинга

Парковочные автоматы

Один из самых известных видов квишинга в России — поддельные QR-коды на парковочных автоматах. Мошенники наклеивают свой код поверх официального, предлагая «оплатить парковку онлайн». Сайт, на который ведёт код, имитирует платёжный сервис и крадёт данные карты.

Меню кафе и ресторанов

После пандемии QR-коды для меню стали стандартом. Поддельный код, наклеенный на столик или стойку, может вести на страницу, имитирующую сайт ресторана с предложением «заказать и оплатить онлайн».

Фейковые QR-коды для оплаты в магазинах

Объявления типа «Оплатите через QR» в небольших торговых точках. Мошенники подменяют реальный QR-код своим — деньги уходят не продавцу.

QR-коды в письмах и мессенджерах

Письмо с темой «Подтвердите доставку» или «Ваш заказ готов к получению» содержит QR-код вместо ссылки — специально, чтобы обойти антифишинговые фильтры, которые проверяют текстовые URL, но не QR-коды.

Как проверить QR-код перед сканированием

Полностью избежать сканирования QR-кодов в современном мире сложно, но можно значительно снизить риск:

Используйте сканер с предпросмотром. Многие приложения показывают URL до перехода. Прочитайте адрес прежде чем открывать.
Проверьте физический код. Не наклеена ли поверх него дополнительная наклейка? Есть ли признаки подделки?
Скопируйте ссылку, а не переходите сразу. Вставьте скопированный URL в 2check.click для проверки.
Остерегайтесь QR в письмах. Легитимные компании редко заменяют кликабельные ссылки QR-кодами в email-рассылках.
Проверьте домен. Если после сканирования вы видите адрес типа parking-pay-online.ru — это не официальный сервис.

Инструменты для безопасного сканирования

Стандартная камера iPhone и Android показывает URL перед переходом — всегда читайте его. Существуют специализированные приложения-сканеры с расширенной проверкой безопасности. После получения URL из QR-кода его можно вставить в 2check.click: сервис проанализирует домен, проследит редиректы и оценит риск — всё это до того, как вы откроете страницу. Подробнее о безопасности QR-кодов — в руководстве безопасны ли QR-коды.

Проверьте подозрительную ссылку

Вставьте URL, SMS или QR-код в 2check.click — сервис проверит домен, редиректы, возраст домена и другие признаки фишинга.

Открыть анализатор 2check.click

Часто задаваемые вопросы

Опасно ли сканировать QR-код без перехода по ссылке?

Само по себе сканирование безопасно — угроза возникает при переходе по ссылке и взаимодействии с открывшейся страницей. Используйте сканер с предпросмотром URL, чтобы видеть адрес до открытия.

Как отличить настоящий QR-код от поддельного?

По внешнему виду отличить невозможно — оба выглядят одинаково. Единственный надёжный способ — проверить URL после сканирования и убедиться, что он ведёт на официальный домен организации.

Могут ли мошенники встроить вирус прямо в QR-код?

QR-код сам по себе — это просто ссылка. Вредоносный код в нём не хранится. Но ссылка может вести на страницу, которая эксплуатирует уязвимость браузера, или предлагает скачать вредоносное приложение.

Что делать, если я случайно перешёл по QR-коду на подозрительный сайт?

Не вводите никаких данных. Закройте страницу. Если вы что-то ввели — действуйте согласно руководству что делать после перехода по фишинговой ссылке.

Проверяет ли 2check.click QR-коды?

Да. Загрузите изображение QR-кода в анализатор — сервис декодирует его на стороне браузера с помощью jsQR и проанализирует содержащийся URL. Декодирование происходит локально, изображение никуда не отправляется.