Как работает мошенничество с QR-кодами и как защититься

QR-коды стали неотъемлемой частью жизни: от онлайн-меню в кафе до быстрых платежей и авторизации в приложениях. Их простота и удобство сыграли ключевую роль в росте популярности, особенно во время пандемии. Но удобство для пользователей — это и удобство для атакующих. Киберпреступники активно используют QR-коды в мошеннических схемах, и эта угроза только растет.
В этой статье подробнее о защите и угрозах.
Почему QR-коды стали опасны
Главная проблема QR-кодов — пользователь не видит, куда он перейдет после сканирования. Код может вести на официальный сайт, а может — на фишинговую страницу или загружать вредоносное ПО.
Кибератаки, связанные с QR-кодами, уже получили название — quishing (QR-фишинг). Отличие от классического фишинга в том, что вместо текстовой ссылки злоумышленники встраивают вредоносный URL в QR-код. Жертва сканирует его, переходит на поддельный сайт и вводит данные, которые тут же оказываются у атакующих.
Недавно эксперты по кибербезопасности зафиксировали случай, когда мошенники рассылали письма с QR-кодами, ведущими на сайты с Android-вредоносами. Еще один популярный метод — подмена физических QR-кодов. Например, преступники наклеивают поверх реального кода свой, и человек, сам того не зная, переходит не на сайт парковки или кафе, а на мошенническую страницу.
Пример: мошенничество на парковках
В Великобритании злоумышленники подменяли QR-коды на паркоматах, перенаправляя водителей на фальшивые платежные страницы. Пользователи вводили данные банковских карт, не подозревая, что оплачивают не парковку, а спонсируют хакеров.
Как распознать и избежать атак через QR-коды
Чтобы не стать жертвой quishing, стоит соблюдать несколько простых правил:
✔ Осторожно с кодами в общественных местах и в письмах.
Если QR-код размещен в людном месте или пришел в почте, убедитесь, что он там не случайно. Лучше не сканировать код, если он выглядит подозрительно.
✔ Не вводите личные данные
QR-код может вести на сайт, который просит ввести логин, пароль или платежную информацию. Если попали на такую страницу, лучше ввести адрес вручную и проверить, настоящий ли сайт.
✔ Проверяйте подмену
Злоумышленники часто клеят поддельные QR-коды поверх настоящих. Если код выглядит странно или наклеен небрежно, не сканируйте его.
Если попали на такую страницу, лучше ввести адрес вручную и проверить, настоящий ли сайт.
✔ Вводите URL вручную
Если QR-код должен привести на известный сайт, проще ввести адрес вручную, чем рисковать.
✔ Используйте антивирусные приложения
Некоторые приложения могут анализировать QR-коды на наличие вредоносных ссылок и предупреждать пользователя.
Как бизнесу защитить QR-коды
Мошенничество с QR-кодами — угроза не только для пользователей, но и для компаний, использующих их в работе. Если злоумышленники подменят код, клиенты могут потерять деньги, а бренд — доверие.
- Используйте динамические QR-коды с ограниченным сроком действия. Они истекают через определенное время, снижая вероятность подмены.
- Добавляйте логотип или водяные знаки. Это поможет пользователям отличить оригинальный QR-код от подделки.
- Мониторьте активность. Если код начали сканировать из странных мест или в нерабочее время — это повод проверить, не подменили ли его.
- Используйте короткие ссылки с верификацией. Некоторые сервисы сокращения ссылок проверяют, куда они ведут, и блокируют фальшивые сайты.
Итог
QR-коды — удобный инструмент, но их безопасность зависит от внимательности пользователей и компаний. Пока мы видим рост quishing-атак, стоит применять многоуровневую защиту: не сканировать подозрительные коды, проверять URL вручную и использовать защитные механизмы. А бизнесу — следить за своими QR-кодами, чтобы не потерять доверие клиентов.
Если вы хотите узнать больше о таких атаках и научиться защищаться от них, обратите внимание на наши образовательные программы. Например, в программе B-301 «Аналитик Центра противодействия кибератакам (SOC Analyst)» вы научитесь не только обнаруживать, но и предотвращать подобные угрозы.