QR-фишинг

(от англ. QRishing, сокращение от QR code phishing) — это современный вид кибератаки, при котором злоумышленники используют QR-коды для обмана пользователей с целью кражи личных данных, доступа к банковским счетам, установки вредоносного ПО или получения конфиденциальной информации.

С развитием технологий и массовым использованием QR-кодов в ресторанах, банках, на транспорте и в интернет-магазинах растёт число атак, связанных с их подделкой. В отличие от классических фишинговых писем или поддельных сайтов, QR-фишинг эксплуатирует доверие пользователей к визуальному коду, который кажется безопасным.

В 2024 году количество атак с использованием QR-кодов увеличилось более чем на 85% по сравнению с предыдущим годом, а в 2025-м эксперты прогнозируют новый рост из-за активного применения QR-технологий в сфере банковских операций и онлайн-платежей.

1. Что такое QR-фишинг

QR-фишинг — это способ мошенничества, при котором злоумышленники создают или изменяют QR-коды так, чтобы они вели на фальшивые сайты, заражали устройства вредоносным ПО или похищали личные данные пользователя.

Главная проблема в том, что перед сканированием невозможно увидеть, куда ведёт QR-код. Пользователь, считавший код камерой телефона, автоматически перенаправляется на поддельный ресурс, который выглядит как оригинальный сайт банка, маркетплейса или сервиса доставки.

2. Как работает QR-фишинг

Схема атаки выглядит следующим образом:

1. Создание поддельного QR-кода

   • Ссылка ведёт на фишинговый сайт, который маскируется под легальный.

2. Размещение кода

   • QR-коды размещают на банкоматах, терминалах, парковках, афишах, чеках или даже в письмах от «банка».

3. Сканирование пользователем

   • Жертва сканирует код и попадает на сайт или приложение злоумышленников.

4. Сбор данных

   • Пользователь вводит логин, пароль, CVV-код, данные карты, которые сразу передаются атакующим.

5. Возможная установка вредоносного ПО

   • Иногда QR-код запускает автоматическую загрузку приложений или троянов.

3. Виды QR-фишинга

3.1. Поддельные платежные страницы

Злоумышленники размещают QR-коды, ведущие на сайты, которые визуально копируют страницы банков или платёжных систем.

3.2. Замена оригинальных QR-кодов

В местах, где используются официальные QR-коды (парковка, меню кафе, банкоматы), преступники наклеивают сверху свои фальшивые коды.

3.3. QR-фишинг через email и мессенджеры

Пользователю приходит письмо или сообщение якобы от банка, госуслуг или службы доставки с просьбой «подтвердить данные» через QR-код.

3.4. Вредоносные QR-коды

QR-коды могут содержать ссылку на загрузку приложений или скриптов, которые автоматически устанавливают трояны, шпионские программы или вирусы-вымогатели.

3.5. Социальная инженерия через QR-коды

Например, пользователю обещают скидку, бонус или подарок за сканирование кода, что побуждает его действовать без проверки.

4. Цели атакующих

• Кража персональных данных: логинов, паролей, паспортных данных.

• Финансовое мошенничество: получение доступа к банковским счетам.

• Установка вредоносного ПО: заражение смартфонов и ПК.

• Взлом корпоративных систем: QR-фишинг часто используется против сотрудников компаний.

• Распространение рекламы и спама: перенаправление пользователей на страницы с фальшивыми предложениями.

5. Примеры реальных случаев

6. Законодательное регулирование

В России QR-фишинг квалифицируется как киберпреступление и подпадает под следующие статьи УК РФ:

• Ст. 159 — мошенничество;

• Ст. 272 — неправомерный доступ к компьютерной информации;

• Ст. 273 — создание и распространение вредоносного ПО;

• Ст. 187 — незаконный оборот средств платежей.

За использование QR-фишинга предусмотрено наказание от крупных штрафов до 10 лет лишения свободы.

7. Как распознать QR-фишинг

Признаки, на которые стоит обращать внимание:

• Код находится в неожиданном месте (на банкомате, двери подъезда, скамейке).

• QR-код выглядит как наклейка, наложенная поверх оригинала.

• Сообщения о «скидках», «подарках» или «возврате денег» приходят без контекста.

• После сканирования появляется подозрительный сайт с просьбой ввести личные данные.

• Браузер предупреждает о небезопасном соединении.

8. Методы защиты от QR-фишинга

8.1. Для пользователей

• Использовать проверенные сканеры QR-кодов, которые показывают ссылку до перехода.

• Проверять URL-адрес: если домен странный — не вводить личные данные.

• С осторожностью относиться к QR-кодам в письмах, мессенджерах и соцсетях.

• Не устанавливать приложения, скачанные по QR-кодам из неизвестных источников.

• Использовать антивирусы и защиту браузера.

8.2. Для компаний

• Настроить многофакторную аутентификацию для сотрудников и клиентов.

• Обучать сотрудников методам выявления QR-фишинга.

• Размещать оригинальные QR-коды в защищённых местах и регулярно проверять их на подмену.

• Использовать DMARC, SPF и DKIM для защиты корпоративной почты.

• Мониторить домены-клоны и требовать их блокировки.

9. Сравнение QR-фишинга с классическим фишингом

10. Что делать, если вы стали жертвой

1. Немедленно изменить пароли всех учетных записей.

2. Проверить историю платежей и заблокировать карты при подозрении на мошенничество.

3. Сообщить банку о компрометации данных.

4. Проверить устройство антивирусом.

5. Подать заявление в правоохранительные органы и в Роскомнадзор.

Заключение

QR-фишинг — это новый виток развития киберугроз, который сочетает в себе простоту реализации и высокую эффективность.
Рост популярности QR-кодов делает этот метод особенно опасным, ведь пользователи привыкли доверять таким кодам и не всегда проверяют ссылки, на которые они ведут.

Чтобы защитить себя и свой бизнес, необходимо:

• повышать цифровую грамотность,

• использовать современные средства киберзащиты,

• проверять подлинность QR-кодов,

• не вводить конфиденциальные данные на подозрительных сайтах.

В условиях стремительной цифровизации QR-фишинг будет развиваться, а значит, важно уже сейчас внедрять профилактику атак и обучать пользователей методам самозащиты.